Windows Server 2025 / Cómo habilitar Escritorio remoto y comprobar el firewall

El acceso por Escritorio remoto a Windows Server 2025 requiere que el servidor lo permita, que la cuenta tenga derechos de acceso y que la red y el firewall dejen pasar la conexión. En este laboratorio de administración, use una red interna de confianza y mantenga activada la autenticación a nivel de red (NLA, Network Level Authentication).

Separe Escritorio Remoto de otras herramientas de administración

Escritorio Remoto abre una sesión interactiva del servidor. Server Manager, Windows Admin Center y la administración remota de PowerShell utilizan sus propias rutas de comunicación y autenticación. Habilitar uno no habilita todos los demás.

La práctica trata de acceso administrativo, no de desplegar aplicaciones multiusuario con Servicios de Escritorio remoto (RDS). No necesita instalar todo ese rol para administrar el servidor. En Server Core, la sesión sigue siendo un entorno de administración Core y no añade el escritorio estándar. Conecte FS1 y CLIENT1 a la misma red aislada.

Habilite el acceso al servidor mientras mantiene NLA

1. En la consola de FS1, con permisos de administrador, abra Administrador del servidor → Servidor local → Escritorio remoto.
2. Permita conexiones remotas mientras mantiene el requisito de NLA. En Core, use la configuración de Escritorio Remoto en SConfig.
3. Abra la selección de usuarios permitidos y añada la cuenta que deba conectarse. Si corresponde un usuario estándar, concédale el acceso necesario sin añadirlo innecesariamente a Administradores.
4. Guarde e inspeccione el perfil de red activo y las reglas de entrada de Escritorio Remoto.

NLA autentica a un usuario antes de establecer la sesión completa. La guía de Escritorio Remoto de Microsoft lo recomienda para los clientes compatibles. No comience la solución de problemas deshabilitando NLA o todo el firewall.

Verifique los perfiles y los rangos de direcciones permitidos

Abra wf.msc, entre en Reglas de entrada y revise las propiedades de las reglas de Escritorio remoto. El nombre puede estar traducido: compruebe también protocolo, puerto local, perfiles y direcciones remotas. El Protocolo de Escritorio remoto (RDP) usa TCP 3389 de forma predeterminada; si lo cambió, compruebe el puerto real. La guía de reglas de Windows Firewall explica perfiles y alcance.

1. Identifique si el perfil de red activo es Dominio, Privado o Público.
2. Verifique que la regla prevista se aplique a ese perfil en lugar de permitir indiscriminadamente todos los perfiles.
3. En las propiedades de la regla, revise las direcciones IP remotas y restrínjalas al equipo o subred de administración cuando corresponda. Use las direcciones reales del plan de red.
4. Busque otras reglas que permitan el mismo puerto de manera más amplia. Una nueva regla estrecha no elimina una regla de permiso amplia existente.

No cambie una red no confiable a Privada ni oculte un fallo de autenticación del dominio para que una regla se aplique. Compruebe el contexto real de la red y la conectividad del sistema de nombres de dominio (DNS).

Conéctese desde el cliente

En CLIENT1, abra PowerShell y pruebe la conexión TCP al puerto predeterminado antes de abrir el cliente con mstsc. Test-NetConnection mostrará TcpTestSucceeded: True si esa conexión TCP tiene éxito. Esto no verifica las credenciales ni los derechos de inicio de sesión; si muestra False, revise primero la ruta de red y las reglas.

Test-NetConnection -ComputerName 172.24.50.20 -Port 3389
mstsc

1. Ingrese la dirección IP de FS1 o el nombre resolvible en Conexión a Escritorio Remoto.
2. Antes de unir el equipo al dominio, identifique la cuenta local con FS1\username; sustituya username por el usuario real de FS1. Después de la unión, seleccione la identidad de dominio prevista.
3. Para una advertencia de certificado desconocido, verifique el destino y el certificado en lugar de aceptar ciegamente un servidor desconocido.
4. Después de conectar, abra PowerShell dentro de la sesión remota y ejecute hostname y whoami para confirmar tanto el servidor como la cuenta.

Cerrar una ventana puede desconectar en lugar de cerrar sesión. Guarde el trabajo y cierre sesión al finalizar, y no guarde credenciales en una computadora compartida.

Use el error para elegir la siguiente verificación

Si deja de necesitar el acceso, desactívelo desde la consola y revierta solo los cambios de usuarios y reglas de este laboratorio. Para administrar desde fuera de la red, diseñe una red privada virtual (VPN) controlada o una puerta de enlace de administración, siguiendo las opciones de acceso externo de Microsoft, en lugar de exponer directamente el puerto 3389 del router a internet.