Windows Server 2025 / Habilitar a Área de Trabalho Remota e verificar o firewall

O acesso pelo protocolo RDP (Remote Desktop Protocol) ao Windows Server 2025 exige que a Área de Trabalho Remota esteja habilitada, que a conta tenha direito de logon e que a rede e o firewall permitam esse tráfego. Para este laboratório de administração, use uma rede interna confiável e mantenha a Autenticação em Nível de Rede (NLA) ativada.

Separe a Área de Trabalho Remota de outras ferramentas de gerenciamento

A Área de Trabalho Remota abre uma sessão interativa do servidor. O Gerenciador de Servidores, o Windows Admin Center e o PowerShell Remoting usam seus próprios caminhos de comunicação e autenticação. Ativar um não ativa todos os outros.

Este exercício é para acesso administrativo, não uma implantação de aplicativo de Remote Desktop Services (RDS) multiusuário. Não instale a função completa de RDS apenas para administrar um servidor. Uma sessão Core também permanece em um ambiente de administração Core, em vez de adquirir a área de trabalho padrão. Conecte FS1 e CLIENT1 à mesma rede isolada.

Habilite o acesso ao servidor enquanto mantém a NLA

1. No console do FS1, entre com uma conta administrativa e abra o Gerenciador de Servidores → Servidor Local → Área de Trabalho Remota.
2. Permita conexões remotas enquanto mantém a exigência de NLA. No Core, use a configuração de Área de Trabalho Remota no SConfig.
3. Escolha a conta permitida e o privilégio necessário. Adicione um usuário comum aos usuários permitidos quando apropriado, sem associação desnecessária a Administradores.
4. Salve e inspecione o perfil de rede ativo e as regras de entrada da Área de Trabalho Remota.

A NLA autentica um usuário antes de estabelecer a sessão completa. As orientações da Microsoft para Área de Trabalho Remota recomendam-no para clientes suportados. Não inicie a solução de problemas desativando a NLA ou o firewall inteiro.

Verifique os perfis e os intervalos de endereços permitidos

Abra wf.msc e inspecione as regras de entrada da Área de Trabalho Remota. Os nomes podem estar traduzidos, então verifique também o protocolo, a porta local e o perfil. TCP 3389 é a porta padrão do Protocolo de Área de Trabalho Remota (RDP); use a porta real se ela tiver sido alterada.

1. Identifique se o perfil de rede ativo é Domínio, Privado ou Público.
2. Verifique se a regra pretendida se aplica a esse perfil em vez de permitir todos os perfis indiscriminadamente.
3. Considere restringir endereços remotos ao PC de gerenciamento ou à sub-rede de gerenciamento.
4. Procure outras regras que permitem a mesma porta de forma mais ampla. Uma nova regra restrita não remove uma regra de permissão ampla existente.

Não reclassifique uma rede não confiável como Privada ou oculte um problema de autenticação de domínio apenas para fazer uma regra se aplicar. Verifique o contexto real da rede e a conectividade do DNS do domínio.

Conecte-se a partir do cliente

No CLIENT1, teste o caminho TCP padrão, depois abra a ferramenta de conexão. TcpTestSucceeded sendo True não prova que as credenciais ou direitos de logon são válidos.

Test-NetConnection -ComputerName 172.24.50.20 -Port 3389
mstsc

1. Digite o endereço IP ou o nome resolvível do FS1 na Conexão de Área de Trabalho Remota.
2. Antes de ingressar no domínio, diferencie uma conta local com FS1\labuser. Após ingressar, selecione a identidade de domínio pretendida.
3. Para um aviso de certificado desconhecido, verifique o destino e o certificado em vez de aceitar cegamente um servidor desconhecido.
4. Após a conexão, execute hostname e whoami para confirmar tanto o servidor quanto a conta.

Fechar a janela RDP pode interromper a conexão sem encerrar a sessão do Windows. Salve o trabalho e encerre a sessão quando terminar; não salve credenciais em um computador compartilhado.

Use o erro para escolher a próxima verificação

Se o acesso não for mais necessário, desative-o do console e reverta as alterações específicas do usuário e regra do laboratório. Para administração externa, projete uma rede privada virtual (VPN) controlada ou gateway de gerenciamento em vez de expor diretamente a porta 3389 do roteador para a internet.