Windows Server 2025 / 원격 데스크톱을 설정하고 방화벽과 접근 권한을 확인하는 방법

Windows Server 2025에 원격 데스크톱으로 접속하려면 서버의 원격 데스크톱 허용, 사용자 권한, 방화벽과 네트워크 경로가 모두 맞아야 합니다. 관리 실습에서는 신뢰할 수 있는 내부망에서만 허용하고, 네트워크 수준 인증(NLA)을 유지한 상태로 접속을 확인합니다.

원격 데스크톱과 원격 관리는 다릅니다

원격 데스크톱은 서버의 대화형 세션에 접속하는 방식입니다. 서버 관리자, Windows Admin Center, PowerShell 원격 관리는 각각 필요한 통신과 인증 방식이 다릅니다. 한 기능을 켰다고 다른 관리 경로도 모두 열리는 것은 아닙니다.

이 글은 서버를 관리하기 위한 접속 실습입니다. 여러 사용자가 업무용 앱을 실행하는 Remote Desktop Services 배포와 라이선스 구성은 별도 주제입니다. 관리 목적으로 접속하려고 RDS 역할 전체를 설치할 필요는 없습니다.

서버가 Core이면 원격으로 로그인해도 일반 데스크톱 관리 화면이 생기지 않습니다. 해당 설치 옵션에서 제공하는 관리 환경으로 접속하게 됩니다. 실습은 FS1과 CLIENT1을 같은 격리망에 연결한 상태로 진행합니다.

서버에서 접속과 NLA를 허용합니다

1. FS1의 콘솔에서 서버 관리자 → 로컬 서버 → 원격 데스크톱 항목을 엽니다.
2. 원격 연결을 허용하고 네트워크 수준 인증을 사용하는 연결 조건을 유지합니다. Core에서는 SConfig의 원격 데스크톱 설정을 사용합니다.
3. 접속할 계정과 관리자 권한 필요 여부를 결정합니다. 일반 계정은 허용 사용자에 추가하되 불필요하게 Administrators에 넣지 않습니다.
4. 설정을 저장한 뒤 현재 방화벽 프로필과 원격 데스크톱 인바운드 규칙을 확인합니다.

NLA는 세션을 완전히 만들기 전에 사용자를 인증하는 기능입니다. Microsoft의 원격 데스크톱 허용 안내도 일반적인 환경에서 NLA 사용을 권장합니다. 접속 오류를 없애려고 먼저 NLA를 끄거나 서버 방화벽을 전부 해제하지 마세요.

방화벽의 프로필과 허용 범위를 확인합니다

실행 창에서 wf.msc를 열고 인바운드 규칙에서 원격 데스크톱 관련 규칙을 찾습니다. 운영체제 언어에 따라 표시 이름이 다를 수 있으므로 프로토콜·로컬 포트·적용 프로필을 함께 확인하세요. TCP 3389는 기본 RDP 포트이며 변경된 구성에서는 실제 포트를 사용합니다.

1. 현재 네트워크가 Domain, Private, Public 중 어느 프로필로 인식되는지 확인합니다.
2. 허용할 규칙이 해당 프로필에 적용되는지 확인합니다. 관리 목적으로 모든 프로필을 무조건 허용하지 않습니다.
3. 규칙의 범위에서 관리 PC의 IP 또는 관리 서브넷처럼 필요한 원격 주소만 허용할 수 있는지 검토합니다.
4. 같은 포트를 더 넓게 허용한 다른 규칙이 있는지도 확인합니다. 좁은 규칙을 하나 추가해도 기존의 넓은 허용이 사라지지는 않습니다.

네트워크가 Public으로 표시된다는 이유만으로 도메인 인증 문제를 덮거나 신뢰하지 않는 망을 Private으로 바꾸지 않습니다. 실제 망의 성격과 도메인 DNS·연결 상태를 먼저 확인하세요.

클라이언트에서 연결합니다

CLIENT1에서 아래 조회 명령으로 기본 TCP 경로를 먼저 확인합니다. TcpTestSucceeded가 True여도 계정 인증과 로그온 권한까지 성공했다는 뜻은 아닙니다.

Test-NetConnection -ComputerName 172.24.50.20 -Port 3389
mstsc

1. 원격 데스크톱 연결 창의 컴퓨터에 FS1의 IP 또는 이름을 입력합니다.
2. 도메인 가입 전 로컬 계정은 FS1\계정명 형식으로 구분해 입력합니다. 도메인 가입 후에는 해당 도메인 계정을 선택합니다.
3. 처음 나타나는 인증서 경고는 접속 대상 이름과 인증서 정보를 확인하고 판단합니다. 모르는 서버의 경고를 무조건 통과하지 않습니다.
4. 접속 후 hostname과 whoami를 실행해 원하는 서버와 계정인지 확인합니다.

창을 닫는 것은 로그아웃과 다를 수 있습니다. 사용을 끝낼 때는 필요한 작업을 저장하고 로그아웃하여 세션이 남지 않도록 합니다. 자격 증명을 공유 PC에 저장하지 않습니다.

오류 메시지에 따라 점검 순서를 바꿉니다

테스트가 끝나 더 이상 필요 없다면 콘솔에서 원격 데스크톱 허용을 해제하고 추가한 사용자·규칙 변경을 정리합니다. 외부에서 관리할 필요가 생겨도 공유기의 3389 포트를 인터넷에 바로 노출하는 것을 기본 방법으로 삼지 말고 VPN이나 관리 게이트웨이 등 통제된 경로를 설계하세요.