Windows Server 2025 / Abilitare Desktop remoto e verificare il firewall

L'accesso tramite Desktop remoto a Windows Server 2025 richiede l'abilitazione sul server, diritti utente appropriati, un percorso di rete funzionante e regole del firewall compatibili. In questo laboratorio di amministrazione, usa una rete interna attendibile e mantieni abilitata l'autenticazione a livello di rete (NLA, Network Level Authentication).

Distingui Desktop remoto dagli altri strumenti di gestione

Desktop remoto apre una sessione interattiva sul server. Server Manager, Windows Admin Center e la gestione remota di PowerShell usano percorsi di comunicazione e autenticazione propri. Abilitare uno di questi strumenti non abilita automaticamente tutti gli altri.

Questo esercizio riguarda l'accesso per amministrare il server, non la distribuzione di applicazioni multiutente tramite Servizi Desktop remoto (RDS, Remote Desktop Services). Non occorre installare il ruolo RDS completo soltanto per amministrare un server. Su Server Core, anche la sessione remota rimane un ambiente di gestione Core senza il desktop standard completo. Collega FS1 e CLIENT1 alla stessa rete isolata.

Abilita l'accesso al server mantenendo NLA

1. Dalla console di FS1, con privilegi di amministratore, apri Server Manager → Server locale → Desktop remoto.
2. Consenti connessioni remote mantenendo il requisito NLA. Su Core, usa l'impostazione Desktop Remoto in SConfig.
3. Apri la selezione degli utenti autorizzati e aggiungi l'account previsto. Se necessario, concedi a un utente standard i diritti di accesso richiesti senza aggiungerlo inutilmente al gruppo Administrators.
4. Salva e controlla il profilo di rete attivo e le regole in ingresso di Desktop Remoto.

NLA autentica un utente prima di stabilire la sessione completa. Le linee guida di Remote Desktop di Microsoft lo raccomandano per i client supportati. Non iniziare la risoluzione dei problemi disabilitando NLA o l'intero firewall.

Controlla i profili e gli intervalli di indirizzi consentiti

Apri wf.msc → Regole connessioni in entrata e controlla le proprietà delle regole di Desktop remoto. I nomi dipendono dalla lingua del sistema: verifica anche protocollo, porta locale, profili e indirizzi IP remoti. Il protocollo RDP (Remote Desktop Protocol) usa per impostazione predefinita la porta TCP 3389; se è stata cambiata, considera quella effettiva. La documentazione delle regole di Windows Firewall descrive profili e ambito di applicazione.

1. Identifica se il profilo di rete attivo è Dominio, Privato o Pubblico.
2. Verifica che la regola prevista si applichi al profilo attivo. Non abilitare indiscriminatamente tutti i profili.
3. Nelle proprietà della regola controlla gli indirizzi IP remoti e, quando opportuno, limitali al PC o alla subnet di gestione. Usa gli indirizzi effettivi del piano di rete.
4. Cerca altre regole che consentano la stessa porta con un ambito più ampio. Una nuova regola restrittiva non rimuove una regola di autorizzazione più ampia già esistente.

Non riclassificare una rete non attendibile come Privata e non nascondere un problema di autenticazione del dominio soltanto per far applicare una regola. Controlla lo stato effettivo della rete e la raggiungibilità del servizio DNS (Domain Name System) del dominio.

Connettiti dal client

Su CLIENT1, apri PowerShell e verifica la connessione TCP alla porta predefinita. Poi mstsc apre lo strumento di connessione. Se Test-NetConnection restituisce TcpTestSucceeded: True, la connessione TCP è riuscita, ma ciò non dimostra che credenziali e diritti di accesso siano validi. Se restituisce False, controlla prima il percorso di rete e le regole.

Test-NetConnection -ComputerName 172.24.50.20 -Port 3389
mstsc

1. Inserisci l'indirizzo IP di FS1 o un nome risolvibile in Connessione Desktop remoto.
2. Prima dell'aggiunta al dominio, usa FS1\username per un account locale e sostituisci username con il nome utente effettivo su FS1. Dopo l'aggiunta al dominio, seleziona l'identità di dominio prevista.
3. Per un avviso di certificato non familiare, verifica la destinazione e il certificato invece di accettare ciecamente un server sconosciuto.
4. Dopo la connessione, apri PowerShell nella sessione remota ed esegui hostname e whoami per verificare il server e l'account usato.

La chiusura della finestra può interrompere la connessione senza terminare la sessione utente. Salva il lavoro e termina la sessione dell’account (Sign out) quando hai finito. Non salvare le credenziali su un computer condiviso.

Usa l'errore per scegliere il controllo successivo.

Se non serve più, disabilita l’accesso dalla console e annulla le modifiche a utenti e regole introdotte per il laboratorio. Per amministrare il server dall’esterno, progetta una rete privata virtuale (VPN) controllata o un gateway di gestione secondo le indicazioni Microsoft per l’accesso esterno, anziché esporre direttamente su internet la porta 3389 del router.