Windows Server 2025 / 如何启用远程桌面并检查防火墙访问

要通过远程桌面访问 Windows Server 2025，必须在服务器上启用访问、授予用户相应的登录权限，并保证网络路径和防火墙规则匹配。本管理实验应使用可信的内部网络，并保持网络级别身份验证（NLA，Network Level Authentication）启用。

将远程桌面与其他管理工具分开

远程桌面会打开交互式服务器会话。服务器管理器、Windows Admin Center 和 PowerShell 远程管理各自使用不同的通信与身份验证路径；启用其中一项不会自动启用其他管理工具。

本练习用于管理服务器，并非部署供多用户使用的远程桌面服务（RDS，Remote Desktop Services）应用程序。仅为管理服务器，无须安装完整的 RDS 角色。连接 Server Core 时，远程会话仍是 Core 管理环境，不会因此获得完整的标准桌面。将 FS1 和 CLIENT1 连接到同一隔离网络。

在保留 NLA 的情况下启用服务器访问

1. 使用管理员权限，在 FS1 控制台打开服务器管理器 → 本地服务器 → 远程桌面。
2. 允许远程连接，同时保留 NLA 要求。在 Core 上，使用 SConfig 中的远程桌面设置。
3. 打开允许用户的选择窗口，添加计划使用的账户。需要时授予普通用户相应的登录权限，不要为此将其加入 Administrators 管理员组。
4. 保存并检查活动的网络配置文件和远程桌面入站规则。

NLA 在建立完整会话之前对用户进行身份验证。微软的远程桌面指南建议在受支持的客户端上使用它。不要通过禁用 NLA 或整个防火墙来开始故障排除。

检查配置文件和允许的地址范围

打开 wf.msc → 入站规则，查看远程桌面规则的属性。名称可能因系统语言而不同，因此还要检查协议、本地端口、配置文件和远程 IP 地址。远程桌面协议（RDP，Remote Desktop Protocol）的默认端口是 TCP 3389；如已修改，应检查实际端口。配置文件与作用范围可参考 Microsoft 的 Windows 防火墙规则说明。

1. 确定当前网络使用域、专用还是公用配置文件。
2. 检查预期规则是否适用于当前配置文件，不要为了连通而启用所有配置文件。
3. 在规则属性中检查远程 IP 地址，必要时限制为管理电脑或管理子网，并使用网络规划中的实际地址。
4. 查找其他以更大范围允许相同端口的规则。新增一条范围较窄的规则，不会删除已有的广泛允许规则。

不要为了让规则生效而将不可信网络改为专用网络，也不要掩盖域身份验证问题。应检查实际网络环境，以及能否访问域的域名系统（DNS，Domain Name System）服务。

从客户端连接

在 CLIENT1 上打开 PowerShell，先测试到默认端口的 TCP 连接，再用 mstsc 打开连接工具。Test-NetConnection 返回 TcpTestSucceeded: True 表示 TCP 连接成功，不能证明凭据或登录权限有效；返回 False 时，应先检查网络路径和规则。

Test-NetConnection -ComputerName 172.24.50.20 -Port 3389
mstsc

1. 在远程桌面连接中输入 FS1 的 IP 地址或可解析名称。
2. 加入域之前，使用 FS1\username 指定本地账户，并将 username 替换为 FS1 上的实际用户名。加入域之后，应选择预期的域身份。
3. 对于不熟悉的证书警告，请验证目标和证书，而不是盲目接受未知服务器。
4. 连接后，在远程会话内打开 PowerShell，运行 hostname 和 whoami，确认服务器和当前账户。

关闭窗口可能只是断开连接，并未注销用户会话。完成操作后应保存工作并注销，不要在共享电脑上保存凭据。

根据错误选择下一项检查

不再需要访问时，应从控制台禁用远程桌面，并撤销本次实验专门添加的用户与规则更改。对于外部管理，应按照 Microsoft 的外部访问说明设计受控的虚拟专用网络（VPN）或管理网关，不要将路由器的 3389 端口直接暴露到互联网。