Windows Server 2025 / Remotedesktop aktivieren und Firewallzugriff prüfen

Der Remotedesktopzugriff auf Windows Server 2025 setzt die Freigabe am Server, passende Benutzerrechte, eine funktionierende Netzwerkverbindung und passende Firewallregeln voraus. Verwenden Sie in diesem Administrationslabor ein vertrauenswürdiges internes Netz und lassen Sie die Authentifizierung auf Netzwerkebene (NLA, Network Level Authentication) aktiviert.

Trennen Sie den Remote-Desktop von anderen Verwaltungstools

Remote-Desktop öffnet eine interaktive Serversitzung. Server-Manager, Windows Admin Center und PowerShell-Remoting verwenden eigene Kommunikations- und Authentifizierungspfade. Das Aktivieren des einen aktiviert nicht automatisch alle anderen.

Diese Übung dient dem administrativen Zugriff, nicht der Bereitstellung von Mehrbenutzeranwendungen mit Remotedesktopdiensten (RDS, Remote Desktop Services). Für diese Serveradministration ist keine vollständige RDS-Rolleninstallation nötig. Auf Server Core bleibt auch die Remotesitzung eine Core-Verwaltungsumgebung ohne vollständigen Standarddesktop. Verbinden Sie FS1 und CLIENT1 mit demselben isolierten Netz.

Aktivieren Sie den Serverzugriff bei gleichzeitiger Beibehaltung von NLA.

1. Öffnen Sie mit Administratorrechten an der FS1-Konsole Server-Manager → Lokaler Server → Remotedesktop.
2. Erlauben Sie Remoteverbindungen, wobei die NLA-Anforderung beibehalten wird. Verwenden Sie auf Core die Remote Desktop-Einstellung in SConfig.
3. Öffnen Sie die Auswahl zugelassener Benutzer und fügen Sie das vorgesehene Konto hinzu. Gewähren Sie einem Standardbenutzer bei Bedarf die notwendigen Anmelderechte, ohne ihn unnötig in die Administratorengruppe aufzunehmen.
4. Speichern und überprüfen Sie das aktive Netzwerkprofil und die eingehenden Regeln für Remote Desktop.

NLA authentifiziert einen Benutzer, bevor die vollständige Sitzung hergestellt wird. Microsofts Remote Desktop-Anleitung empfiehlt dies für unterstützte Clients. Beginnen Sie das Troubleshooting nicht, indem Sie NLA oder die gesamte Firewall deaktivieren.

Überprüfen Sie Profile und erlaubte Adressbereiche

Öffnen Sie wf.msc und prüfen Sie unter Eingehende Regeln die Eigenschaften der Remotedesktopregeln. Namen können lokalisiert sein; prüfen Sie daher auch Protokoll, lokalen Port, Profile und Remoteadressen. Das Remote Desktop Protocol (RDP) verwendet standardmäßig TCP 3389. Wurde der Port geändert, prüfen Sie den tatsächlich konfigurierten Wert. Hinweise zu Profilen und Geltungsbereich enthält die Dokumentation der Windows-Firewallregeln.

1. Ermitteln Sie, ob das aktive Netzwerkprofil Domäne, Privat oder Öffentlich ist.
2. Prüfen Sie, ob die vorgesehene Regel zum aktiven Profil passt. Aktivieren Sie nicht pauschal sämtliche Profile.
3. Prüfen Sie in den Regeleigenschaften die Remote-IP-Adressen und begrenzen Sie sie gegebenenfalls auf den Verwaltungs-PC oder das Verwaltungsnetz. Verwenden Sie die tatsächlichen Adressen aus dem Netzplan.
4. Suchen Sie nach anderen Regeln, die denselben Port weiter gefasst zulassen. Eine neue eng gefasste Regel entfernt keine bestehende breit gefasste Zulassungsregel.

Stufen Sie ein nicht vertrauenswürdiges Netz nicht als Privat ein und verdecken Sie keine fehlerhafte Domänenanmeldung, nur damit eine Regel greift. Prüfen Sie den tatsächlichen Netzwerkzustand und die Erreichbarkeit des Domain Name System (DNS) der Domäne.

Verbinden Sie sich vom Client aus

Öffnen Sie auf CLIENT1 PowerShell und prüfen Sie zuerst die TCP-Verbindung zum Standardport. Anschließend öffnet mstsc das Verbindungsprogramm. Test-NetConnection gibt bei erfolgreicher TCP-Verbindung TcpTestSucceeded: True zurück; das bestätigt keine gültigen Anmeldedaten oder Anmelderechte. Bei False prüfen Sie zuerst Netzwerkpfad und Regeln.

Test-NetConnection -ComputerName 172.24.50.20 -Port 3389
mstsc

1. Geben Sie die IP-Adresse oder den auflösbaren Namen von FS1 in der Remotedesktopverbindung ein.
2. Verwenden Sie vor dem Domänenbeitritt für ein lokales Konto FS1\username und ersetzen Sie username durch den tatsächlichen Benutzernamen auf FS1. Wählen Sie nach dem Beitritt die beabsichtigte Domänenidentität.
3. Bei einer unbekannten Zertifikatswarnung überprüfen Sie das Ziel und das Zertifikat, anstatt blind einem unbekannten Server zu vertrauen.
4. Öffnen Sie nach dem Verbindungsaufbau PowerShell in der Remotesitzung und führen Sie hostname und whoami aus, um Server und Benutzerkonto zu bestätigen.

Das Schließen eines Fensters kann die Verbindung trennen, anstatt sich abzumelden. Speichern Sie die Arbeit und melden Sie sich ab, wenn Sie fertig sind, und speichern Sie keine Anmeldeinformationen auf einem gemeinsam genutzten Computer.

Verwenden Sie den Fehler, um die nächste Prüfung auszuwählen.

Wird der Zugriff nicht mehr benötigt, deaktivieren Sie ihn über die Konsole und nehmen Sie die laborspezifischen Benutzer- und Regeländerungen zurück. Planen Sie für externe Verwaltung ein kontrolliertes virtuelles privates Netzwerk (VPN) oder ein Verwaltungsgateway nach den Zugriffsoptionen von Microsoft, statt Routerport 3389 direkt im Internet bereitzustellen.