Windows Server 2025 / リモートデスクトップの接続とアクセス権を設定する

リモートデスクトップには、サーバー側の許可、ユーザーのサインイン権、ネットワーク経路、ファイアウォール規則が必要です。実習は信頼できる内部ネットワークで行い、ネットワークレベル認証（NLA）を有効にしたまま構成します。

他の遠隔管理やRDSと区別する

RDPはサーバーへ対話的なセッションを開きます。サーバーマネージャー、Windows Admin Center、PowerShellリモート処理は別の接続方式なので、RDPを有効にしても一緒には有効になりません。

ここでは管理用の接続を扱います。複数利用者へのアプリ配信を行うRDS全体の導入は不要です。Coreへ接続しても通常のデスクトップが追加されるわけではありません。FS1とCLIENT1を同じ隔離ネットワークに接続します。

NLAを維持して接続を許可する

1. FS1のコンソールで「サーバーマネージャー → ローカルサーバー → リモートデスクトップ」を開きます。
2. リモート接続を許可し、NLAの要件を維持します。CoreではSConfigの項目を使います。
3. 必要な利用者を許可し、不要なAdministrators所属を付与しません。
4. 保存して現在のネットワークプロファイルと受信規則を確認します。

NLAは完全なセッションを確立する前に認証します。Microsoftの接続許可の説明を確認し、障害対応の最初にNLAやファイアウォール全体を無効にしないでください。

規則のプロファイルと接続元を確認する

wf.mscを開き、RDPの受信規則を調べます。表示名は言語で変わるため、プロトコル、ローカルポート、Domain・Private・Publicの適用範囲も確認します。既定のTCPポートは3389ですが、変更済みなら実際の設定を使います。

管理PCや管理用サブネットに接続元を絞る場合、別の広い許可規則が残っていないかも確認します。狭い規則を追加しただけでは、既存の広い許可は消えません。規則を通すためだけに不明なネットワークをPrivateに変更しないようにします。

CLIENT1から接続して対象を確認する

Test-NetConnection -ComputerName 172.24.50.20 -Port 3389
mstsc

1. 接続ツールへFS1のIPまたは名前を指定します。
2. ドメイン参加前はFS1\ユーザー名など、ローカルアカウントを明示します。
3. 証明書の警告では接続先と証明書を確認し、未知のサーバーを無条件に信頼しません。
4. 接続後はhostnameとwhoamiでサーバーと利用者を照合します。

TcpTestSucceededがTrueでも、資格情報やサインイン権の成功は保証されません。作業後は保存してサインアウトします。ウィンドウを閉じるだけでは切断状態でセッションが残る場合があります。

症状から確認先を絞る

不要になった接続はコンソールから無効にし、実習で追加した利用者と規則を戻します。外部からの管理にはVPNなど管理した経路を設計し、ルーターで3389を直接公開する構成にしません。