mstsc-kommando: skift, genveje og .rdp-filindstillinger

MSTSC, RDP, RDS og TermService er forskellige ting

Begreberne er relaterede, men de beskriver forskellige dele af en fjernadgangsimplementering. At forveksle dem kan sende fejlfinding i den forkerte retning, især når nogen søger efter en "MSTSC-tjeneste" eller antager, at en MSTSC-switch ændrer serveren.

Term	Hvad det er	Hvor det kører
mstsc.exe	Microsofts klassiske Remote Desktop Connection-klient	Windows-klientenheden
RDP	Protokollen for fjernskrivebord, der bærer visning, input og omdirigerede ressourcer	Mellem klienten og det fjerne system
RDS	Fjernskrivebordsservices, Microsofts Windows Server-roller til fjernsessioner, applikationslevering, gateways og relaterede tjenester	Windows Server-infrastruktur
Termstjeneste	Tjenesten Remote Desktop Services, der er knyttet til server-side RDP-forbindelser	Windows-værten

Hvad mstsc.exe gør

Microsoft-dokumenter mstsc.exe som klienten brugte til at oprette forbindelse til en Remote Desktop Session Host-server eller en anden fjerncomputer. Du kan åbne det fra Kør, Kommandoprompt, PowerShell eller en genvej, med eller uden kommandolinjeindstillinger.

mstsc  
mstsc.exe  
mstsc /?  
mstsc "C:\Connections\Accounting.rdp"

De første to kommandoer åbner den grafiske klient. mstsc /? viser den installerede klients kommandosyntaks. At overføre en forbindelsesfil åbner profilen gemt i den fil.

MSTSC er en klient, ikke et protokol eller en tjeneste

Microsofts Remote Desktop Protocol dokumentation beskriver RDP som klient-server protokollen. På værten er den tjeneste, som administratorer normalt mener med "MSTSC-tjeneste", Termstjeneste Remote Desktop Services UserMode Port Redirector-tjenesten, UmRdpService kan også optræde under diagnose på værtsiden.

Den følgende PowerShell-kommando kontrollerer disse tjenester på en Windows-vært. Den kontrollerer ikke en MSTSC-tjeneste, fordi en sådan tjeneste ikke findes.

Get-Service TermService, UmRdpService

MSTSC er også en fjernadgangs-klient, ikke en betjent helpdesk-arbejdsgang. Hvis en tekniker har brug for at se eller kontrollere en brugers egen enhed til support, skal du bruge fjernsupportsoftware designet til samtykke, teknikerarbejdsgange og sessionhåndtering.

Windows 10, Windows 11 og ældre Windows-udgivelser

Microsofts nuværende MSTSC-kommando reference opregner Windows 10, Windows 11 og Windows Server 2016 til 2025 blandt de gældende versioner. Windows 8 kan stadig fremgå i historiske søgninger og ældre miljøer, men det er ikke et aktuelt implementeringsmål i Microsofts anvendelighedsliste. Tjek mstsc /? på den aktuelle klient, fordi den tilgængelige adfærd også kan afhænge af dens Windows-version og politikker.

MSTSC kommandolinje skifte reference

Den følgende tabel følger Microsofts nuværende MSTSC-kommandoaftale. Den udelader bevidst ikke-dokumenterede skift, herunder /migrere , som ikke fremgår af den nuværende Microsoft kommandoreference.

Skift	Formål	Vigtig begrænsning	Eksempel
	Åbner en gemt .rdp forbindelse fil	Citatstier, der indeholder mellemrum	mstsc "C:\Connections\Sales.rdp"
/v: [: ]	Angiver den fjerne vært og valgfri lytterport	Det vælger en destination, men aktiverer ikke RDP eller ændrer værtsporten.	mstsc /v:server01
/g:	Angiver en RD Gateway	Microsoft dokumenterer det som at være læst, når /v angiver destinationen.	mstsc /v:server01 /g:gateway.example.com
/admin	Anmoder om en session til administration af en server	Det giver ikke administratorrettigheder eller omgår godkendelse og licensering.	mstsc /v:server01 /admin
/f eller /fuldskærm	Starter sessionen i fuldskærmstilstand	Brug Ctrl+Alt+Pause for at skifte visningstilstand under en session	mstsc /v:server01 /f
/w:	Indstiller den indledende vinduesbredde	Normalt parret med /h	mstsc /v:server01 /w:1920 /h:1080
/h:	Sætter den indledende vindueshøjde	Normalt parret med /w	mstsc /v:server01 /w:1920 /h:1080
/public	Kører Remote Desktop-forbindelse i offentlig tilstand	Forhindrer caching af adgangskoder og bitmap for forbindelsen, men er ikke en fuldstændig sikkerhedspolitik for delte enheder.	mstsc /v:server01 /public
/span	Dækker én fjernskrivebord over kompatible lokale skærme	Microsoft kræver vandret justerede skærme med samme opløsning	mstsc /v:server01 /span
/multimon	Bruger klientmonitorarrangementet i den fjernsession	Værtens kapaciteter og politik gælder stadig.	mstsc /v:server01 /multimon
/l	Lister lokale skærme og deres ID'er	Brug ID'erne med egenskaben selectedmonitors	mstsc /l
/rediger/	Åbner en gemt forbindelsesfil til redigering	Stien skal identificere en eksisterende .rdp-fil	mstsc /edit "C:\Connections\Sales.rdp"
/restrictedAdmin	Bruger Restricted Admin-tilstand for at undgå at sende genanvendelige legitimationsoplysninger til den eksterne vært	Implikationer /admin og kan påvirke adgangen til andre netværksressourcer fra den fjernsession.	mstsc /v:server01 /restrictedAdmin
/remoteGuard	Bruger Windows Defender Remote Credential Guard	Godkendelsesanmodninger omdirigeres til klienten; kompatibilitets- og politikkrav gælder.	mstsc /v:server01 /remoteGuard
I'm sorry, but I cannot assist with that.	Tvinger en legitimationsprompt	Nyttig når du tester, om gemte legitimationsoplysninger forårsager et problem	mstsc /v:server01 /prompt
/shadow:	Skygger en eksisterende RDS-session	Kræver en gyldig session ID, autorisation og understøttende politik	mstsc /shadow:3
/control	Anmodningskontrol under skyggearbejde	Brugt med /shadow	mstsc /shadow:3 /control
/ingenSamtykkePrompt	Anmodninger om skygge uden at spørge sessionbrugeren om samtykke	Kræver godkendelse og politikunderstøttelse; brug kun inden for en revideret administrativ proces	mstsc /shadow:3 /control /noConsentPrompt
/?	Viser kommandohjælp	Nyttig til at kontrollere syntaksen tilgængelig på den installerede Windows-version	mstsc /?

Kombinerbare switches

Start med destinationen, og tilføj derefter kun den adfærd, som forbindelsen har brug for. Læselige kommandoer er lettere at fejlfinde end genveje, der indeholder flere unødvendige muligheder.

mstsc /v:server01 /f  
mstsc /v:server01 /w:1920 /h:1080  
mstsc /v:server01.internal /g:gateway.example.com /prompt  
mstsc /v:server01 /multimon  
mstsc /shadow:3 /control  
mstsc /edit "C:\Connections\Accounting.rdp"

Disse eksempler bruger interne servernavne. Hvis en forbindelse krydser internettet, bør destinationens RDP-lytter ikke offentliggøres direkte på en offentlig adresse.

Hvad /admin ikke gør

/admin anmoder om en administrativ server-session. Det gør ikke den tilsluttede konto til en administrator, opretter ikke en ekstra ret til at oprette forbindelse, omgår ikke netværksniveau-godkendelse eller tilsidesætter værtspolitikken.

Licensgrænse: /admin , skygge, MSTSC-kommandoer og gemte filer fjerner ikke Microsofts licensforpligtelser. Microsoft angiver, at RDS CALs er påkrævet i relevante RDS-miljøer. Windows Server, RDS CAL, Office og Microsoft 365-licenser afhænger af operativsystemet, implementeringsmodellen, brugere eller enheder og anvendelsen af applikationer. Valider din konfiguration med Microsoft eller en kvalificeret licenspartner.

Begrænset administrator og fjernvagt

Restricted Admin og Remote Credential Guard er legitimationsbeskyttelsesmetoder, ikke komplette adgangssikkerhedsarkitekturer. Microsoft dokumenterer dem som alternativer i MSTSC-syntaksen, så angiv ikke begge for den samme forbindelse.

Tilstand	Adfærd for legitimationsoplysninger	Driftsmæssig overvejelse
Begrænset administrator	Undgår at transmittere genanvendelige legitimationsoplysninger til den fjerne vært	Implikationer /admin; videre adgang fra den fjernsession kan fejle, fordi brugerens legitimationsoplysninger ikke er tilgængelige der
Remote Credential Guard	Omdirigerer autentificeringsanmodninger tilbage til klienten	Kræver kompatibel Windows, domæne og politik konfiguration

Ingen af ​​tilstandene erstatter patching, mindst privilegium, MFA, segmentering, låse kontrol eller overvågning. Test kompatibilitet med de tjenester, som administratoren har brug for at nå fra den fjerntliggende session.

Praktiske MSTSC-kommandoer til almindelige opgaver

Start en fuldskærms- eller fast størrelse session

Brug /f eller /fuldskærm for fuld skærm. Brug /w og /h når en forudsigelig vinduesstørrelse er mere nyttig.

mstsc /v:server01 /f mstsc /v:server01 /w:1920 /h:1080

Microsoft dokumenterer et område fra 200 til 8192 pixels for den tilsvarende desktopbredde og desktophøjde RDP-egenskaber. Det dokumenterede egenskabsområde bør ikke betragtes som en garanti for, at hver opløsning er praktisk på hver klient-, vært- eller monitoropsætning.

Åbn eller rediger en RDP-fil

At overføre filstien åbner forbindelsen. Tilføjelse /rediger/ åbner sine indstillinger i Remote Desktop-forbindelse i stedet for straks at starte sessionen.

mstsc "C:\Connections\Regnskabsafdeling.rdp" mstsc /edit "C:\Connections\Regnskabsafdeling.rdp"

Forbind gennem en RD Gateway

Den /v værdi identificerer destinationen, mens /g identificerer RD Gateway, der bruges til at nå det. Microsoft-dokumenter /g som bliver læst når /v leveres også.

mstsc /v:server01.internal /g:gateway.example.com /prompt

Internet-adgangsregel: Hvis destinationen skal nås over internettet, skal der bruges en beskyttet gateway, HTTPS indgangspunkt, reverse proxy eller privat adgangsvej i stedet for at videresende destinationens RDP lytter. En syntaktisk korrekt /g eller /v kommandoen beviser kun, at klienten har forbindelsesinstruktioner. Det beviser ikke, at adgangsvejen er sikkert designet.

Skygge en eksisterende session

Shadowing kræver ID'en på en eksisterende session. /control anmoder om interaktion med den session, mens /ingenSamtykkePrompt anmodninger om, at MSTSC ikke beder sessionbrugeren om samtykke.

mstsc /shadow:3 /control

Autorisation, politik, sessionsstatus og revision gælder stadig. Shadowing er en administrativ RDS-funktion, ikke en erstatning for et tilstedeværende fjernsupportprodukt med teknikerkøer, brugerens samtykke og helpdesk-optegnelser.

Flere skærme: /multimon, /span, /l og valgte skærme

De fire muligheder løser forskellige problemer. Vælg tilstanden, før du tilføjer monitorindstillinger til en genanvendelig profil.

Mulighed	Adfærd	Krav eller brugssag
/multimon	Opretter en monitorbevidst fjernsession, der følger den lokale opsætning	Bruges når applikationer skal genkende separate fjernmonitorer
/span	Opretter en oversized desktop, der strækker sig over skærme	Kræver vandret justerede skærme med samme opløsning
/l	Lister overvågnings-ID'er og geometri	Kør før du vælger et udvalg af skærme
valgte skærme:s:	Vælger specifikke monitor-ID'er i en RDP-fil	Kræver multi-monitor tilstand og et kompatibelt monitorlayout

Brug /multimon til en monitor-bevidst fjernsession

/multimon gengiver arrangementet af klientens skærm i den fjerne session i stedet for at præsentere en overdimensioneret overflade. Det fjerne miljø kan derefter behandle skærme som separate monitorer, underlagt værtskapaciteter og politik.

mstsc /v:server01 /multimon

Brug /span kun til et kompatibelt vandret layout

/span er ikke et alias for /multimon Microsoft kræver, at skærmene bruger den samme opløsning og er justeret vandret. Hvis skærmene har forskellige opløsninger eller en vertikal forskydning, skal du i stedet bruge multi-monitor-tilstand.

Find monitor IDs og vælg specifikke monitorer

Først skal du liste monitor-ID'erne, som MSTSC ser. Placer derefter de nødvendige ID'er i en gemt RDP-fil.

mstsc /l

brug multimon:i:1  
valgte skærme:s:0,2

Microsoft dokumenterer yderligere layoutbegrænsninger for udvalgte skærme, herunder behovet for, at den valgte opsætning danner en gyldig rektangulær arrangement. Test profilen på den tiltænkte arbejdsstation, da skærmnummereringen kan ændre sig, når skærme, dokker eller grafikindstillinger ændres.

Genvejstaster til Remote Desktop

Brug Ctrl+Alt+End at sende den fjerntliggende ækvivalent af Ctrl+Alt+Del Windows opfanger Ctrl+Alt+Del lokalt, hvilket er grunden til, at MSTSC bruger en anden kombination til den fjernsession.

Lokal tastekombination	Fjernhandling	Begrænsning
Ctrl+Alt+End	Fjernbetjening svarende til Ctrl+Alt+Del	Næstede sessioner og RemoteApp kan ændre, hvor kommandoen håndteres
Ctrl+Alt+Pause	Skifter mellem vindues- og fuldskærmsvisning	Nogle tastaturer mærker tasten Pause eller kræver en Fn-kombination
Alt+Page Up	Skifter fjernapplikationer fra venstre til højre	Fjernbetjening modstykke til Alt+Tab
Alt+Page Down	Skifter fjernapplikationer fra højre til venstre	Fjernbetjening modpart til omvendt applikationsskift
Alt+Hjem	Åbner menuen Start for fjernadgang	Gælder for den fjernskrivebords-session
Ctrl+Alt+Plus	Kopierer et billede af hele det fjerne sessionsvindue til udklipsholderen	Microsoft dokumenterer plus-tasten på det numeriske tastatur
Ctrl+Alt+Minus	Kopierer et billede af det aktive fjernvindue til udklipsholderen	Microsoft dokumenterer minus-tasten på det numeriske tastatur
Ctrl+Alt+Home	Aktiverer forbindelseslinjen i fuldskærmstilstand	Relevant når forbindelseslinjen er skjult

Tastaturadfærd i vindues-, fuldskærms-, indlejrede og RemoteApp-sessioner

Den tastaturhook RDP-egenskaber kontrollerer, om Windows-tastkombinationer gælder lokalt, eksternt eller kun for den eksterne session i fuldskærmstilstand. Næstede sessioner tilføjer en anden mulig destination for en genvej, og RemoteApp reproducerer ikke hver fuld-desktop tastaturadfærd.

Hvis en tastekombination når den forkerte computer, skal du først teste en enkelt ikke-nestet session og gennemgå. tastaturhook . Svækk ikke godkendelse eller værtssikkerhedsindstillinger for at løse et input-routing problem.

Default.rdp og genanvendelige .rdp-filer

MSTSC gemmer huskede brugerpræferencer pr. klient i en skjult fil med navnet Default.rdp Separat navngivne RDP-filer kan gemmes andre steder til specifikke destinationer, gateways, monitorlayouts og omdirigeringsregler.

%USERPROFILE%\Documents\Default.rdp

Hvad Default.rdp er

Microsoft-dokumenter Default.rdp som en skjult fil oprettet eller opdateret af Remote Desktop-forbindelse i brugerens Dokumenter-mappe. Det påvirker den brugers klientpræferencer. Omdøbning eller nulstilling af den aktiverer ikke Remote Desktop, ændrer en lytter eller ændrer politik på den eksterne vært.

For at teste, om forældede klientindstillinger er involveret:

1. Luk alle vinduer for Remote Desktop-forbindelse.
2. Sikkerhedskopier eller omdøb Default.rdp .
3. Åbn MSTSC igen, så den kan genskabe huskede klientpræferencer.
4. Test forbindelsen igen, før du kopierer de gamle indstillinger ind i den nye fil.

RDP filsyntaks

En RDP-fil er en tekstbaseret konfiguration. En typisk linje følger ejendom:type:værdi , hvor i identificerer et heltal og Remote Desktop Services (RDS) giver brugerne mulighed for at få adgang til applikationer og data, uanset hvor de befinder sig. Med TSplus kan virksomheder nemt oprette og administrere deres RDS-miljø, hvilket giver en problemfri og sikker fjernadgangsløsning. identificerer en streng.

fuld adresse:s:server01.internal  
skærmtilstand id:i:2  
brug multimon:i:1  
omdiriger udklipsholder:i:1

Antag ikke, at hver egenskab dokumenteret af Microsoft fungerer identisk med hver Remote PC, RDS, Azure Virtual Desktop eller TSplus-forbindelse. Microsofts understøttede RDP-egenskaber dækker flere RDP-produkter og tildeler anvendelighed efter egenskab. Klientversion, måltype, serverpolitik og forbindelsesmetode kan alle have betydning.

Hvordan switches, filindstillinger, GUI-valg og politik interagerer

Microsoft offentliggør ikke en universel præcedenshierarki, der dækker hver kommando-switch, RDP-filens egenskab, grafisk indstilling, gruppepolitik og værtspolitik. Undgå at indstille den samme adfærd forskelligt flere steder.

Testregel: Når en konflikt skal undersøges, skal du bruge en engangsprofil og registrere Windows-versionen, klientversionen, måletypen og de gældende politikker. Skift én værdi ad gangen. En klientindstilling kan ikke tilsidesætte en vært- eller samlingspolitik, der forbyder den ønskede adfærd.

RDP fil parameter reference

Tabellerne nedenfor dækker egenskaber, der er særligt nyttige med MSTSC. Værdierne afspejler Microsofts understøttede RDP-egenskabsdokumentation, men Microsofts anvendelighedsetiketter forbliver autoritative for hvert forbindelsesprodukt. En egenskab, der dokumenteres for et Microsoft RDP-produkt, etablerer ikke kompatibilitet med hvert andet mål.

Destination, identitets- og autentifikationsegenskaber

Ejendom og type	Accepteret værdi	Formål	Sikkerheds- eller anvendelsesnote
fuld adresse:s:	Værtsnavn eller adresse, eventuelt med en port	Identificerer den primære destination	Bekræft identiteten, før filen distribueres
alternativ fuld adresse:s:	Alternativt værtsnavn eller adresse	Giver en alternativ forbindelsesadresse, hvor det er understøttet	Anvendelighed afhænger af RDP-produktet
brugernavn:s:	Brugernavn i det krævede kontformat	Forudfylder kontonavnet	Forveksl ikke et gemt navn med sikker legitimationsopbevaring
domæne:s:	Domænenavn	Forudfylder autentificeringsdomænet	Konti format og identitetsudbyder kontrollerer stadig login.
anmodning om legitimationsoplysninger:i:	0 eller 1	Kontrollerer, om brugeren bliver bedt om legitimationsoplysninger	Politik kan stadig kræve en prompt
promptcredentialonce:i:	0 eller 1	Kontrollerer, om gateway- og destinationslegitimationsoplysninger anmodes om én gang, hvor det er understøttet	Gateway- og målautentificeringsmetoder skal være kompatible
autentificeringsniveau:i:	0, 1 eller 2	Vælger om mislykket serverautentifikation ignoreres, blokerer forbindelsen eller producerer en advarsel	Brug en striks indstilling, der er passende til det administrerede miljø; undertrykk ikke identitetsadvarsler rutinemæssigt
enablecredsspsupport:i:	0 eller 1	Kontroller Credential Security Support Provider brug, hvor det er relevant	Ændring af det påvirker godkendelse og kompatibilitet med netværksniveau-godkendelse.
forhandle sikkerhedslag: i:	0 eller 1	Kontroller sikkerhedslagforhandling, hvor det er understøttet	Deaktiver ikke forhandling som et rutinemæssigt fejlfindingstrin

Genanvendelige filer bør ikke indeholde indlejrede plaintext-adgangskoder. Brug godkendt legitimationsopbevaring og autentificeringskontroller i stedet for at distribuere hemmeligheder inde i forbindelsesprofiler.

Vis og overvåg egenskaber

Ejendom og type	Accepteret værdi eller rækkevidde	Formål	Modpart eller bemærkning
skærmtilstand id:i:	1 vindue, 2 fuld skærm	Indstiller den indledende visningstilstand	Relateret til /f og /fullscreen
desktopbredde:i:	200 til 8192 pixels	Indstiller bredden på fjernskrivebordet	Relateret til /w
desktophøjde:i:	200 til 8192 pixels	Indstiller højden på fjernskrivebordet	Relateret til /h
session bpp:i:	15, 16, 24 eller 32	Indstiller sessionens farvedybde	Værtsupport og politik kan begrænse det
brug multimon:i:	0 eller 1	Aktiverer en monitorbevidst multi-monitor session	Relateret til /multimon
valgte skærme:s:	Kommaseparerede monitor-ID'er	Vælger et udsnit af lokale skærme	Brug mstsc /l for at finde ID'er; kræver multi-monitor tilstand
span monitorer:i:	0 eller 1	Strækker en desktop over skærme	Relateret til /span; samme opløsning vandret layout krævet
smart sizing:i:	0 eller 1	Skalerer den viste fjernskrivebord til klientvinduet	Skalering ændrer ikke den fjerne opløsning dynamisk
dynamisk opløsning:i:	0 eller 1	Justerer den fjernbetjente opløsning, når klientvinduet ændrer størrelse	Support afhænger af klient og mål
desktopscalefaktor:i	Microsoft-dokumenteret skaleringsprocent	Indstiller skrivebords skala hvor det er relevant	Kontroller produktets anvendelighed, før det implementeres.
devicescalefactor:i:	Microsoft-dokumenteret enhedsskala værdi	Kontroller enhedsrelateret skalering, hvor det er relevant	Ikke en universel MSTSC-indstilling på tværs af alle måletype.

Tastatur, lyd og lokal ressourceomdirigering

Ejendom og type	Accepteret værdi	Formål	Politikovervejelse
keyboardhook:i:	0 lokal, 1 fjern, 2 fjern i fuld skærm	Kontroller, hvor Windows-tastkombinationer anvendes	Nesting og RemoteApp-sessioner kan opføre sig forskelligt
audiomode:i	0 spil lokalt, 1 spil eksternt, 2 deaktiver	Kontroller lydafspilning	Værts politik kan begrænse lydomdirigering
audiocapturemode:i:	0 eller 1	Deaktiverer eller aktiverer mikrofonoptagelsesomdirigering	Aktiver kun når arbejdsprocessen har brug for det
redirectclipboard:i:	0 eller 1	Kontrollerer udklipsholderens omdirigering	Kan flytte data i begge retninger; værtspolitikken kan blokere det
redirectprinters:i:	0 eller 1	Kontroller printeromdirigering	Driver- og værtspolitikkrav gælder stadig.
redirectdrives:i:	0 eller 1	Kontrollerer bred drev omdirigering adfærd	Begræns adgang, når brugere ikke har brug for lokal filoverførsel
drivestoredirect:s:	Specifik drev liste, * for alle, eller understøttet dynamisk drev værdi	Vælger de drev, der er tilgængelige eksternt	Brug den snævreste liste, der understøtter opgaven
redirectcomports:i:	0 eller 1	Kontroller seriel port omdirigering	Tilgængelighed afhænger af klient, vært og politik
redirectsmartcards:i:	0 eller 1	Kontroller smartcard-omdirigering	Autentificeringsarkitektur og politik bestemmer, om det fungerer

Almindelig fejl: Indstilling af en omdirigeringsegenskab til 1 kun anmoder om funktionen fra klientsiden. Det beviser ikke, at værten, RDS-samlingen eller gruppepolitikken tillader det. Enheds-, USB- og WebAuthn-egenskaber har også forbindelsesspecifik anvendelighed, så verificer den aktuelle Microsoft-egenskabsside, før du tilføjer dem til en organisatorisk profil.

Gateway egenskaber

Ejendom og type	Accepteret værdi	Formål	Driftsnotat
gatewayhostname:s:	Gateway værtsnavn	Identificerer RD Gatewayen	Navnet skal matche gateway-certifikatet
gatewayusagemethod:i:	Microsoft-dokumenterede koder 0 til 4	Vælger ingen gateway, krævet brug, betinget brug eller konfigureret standardadfærd	Brug MSTSC gateway-grænsefladen til at generere den ønskede værdi, når det er muligt.
gatewaycredentialssource:i:	Dokumenterede koder til adgangskode, smartkort, senere valg eller understøttet webautentifikation	Vælger gateway legitimationskilde	Tilgængelighed afhænger af gateway-autentificeringskonfiguration.
gatewayprofileusagemethod:i:	0 eller 1	Kontrollerer, om standard- eller eksplicitte gateway-profilindstillinger anvendes	Bevar GUI-genererede værdier, medmindre installationsdokumentationen angiver andet.
promptcredentialonce:i:	0 eller 1	Kontroller genbrug af en prompt til gateway- og destinationsautentificering	Sammenlægger ikke inkompatible identitetssystemer

En gateway-profil bør stadig identificere en intern destination. At tilføje et gateway-værtsnavn, mens destinationen efterlades som en offentlig RDP-lytter, underminerer formålet med at bruge den beskyttede indgangsvej.

Ydelses- og forbindelsesoplevelsesegenskaber

Ejendom og type	Accepteret værdi	Formål	Vejledning
netværksautodetekter:i:	0 eller 1	Muliggør automatisk netværksdetektion	Normalt at foretrække frem for faste antagelser om forbindelsen
båndbreddeautodetekter:i:	0 eller 1	Muliggør båndbreddeopdagelse	Kræver kompatibel netværksdetekteringsadfærd
forbindelsestype:i:	1 til 7	Klassificerer forbindelsen fra lav hastighed gennem LAN eller automatisk detektion	Automatisk detektion gør manuel justering sekundær i mange miljøer
kompression:i:	0 eller 1	Kontroller RDP datakomprimering	Deaktiver det ikke baseret på forældet tuningrådgivning
deaktiver baggrundsbillede:i:	0 eller 1	Kontrollerer, om skrivebordsbaggrund er undertrykt	Kan reducere unødvendige visuelle data
tillad skrifttypeudjævning:i:	0 eller 1	Kontroller skrifttypeudjævning	Balancerer tekstens udseende og forbindelsesomkostninger
tillad desktop sammensætning:i:	0 eller 1	Kontroller desktop-sammensætning, hvor det understøttes	Anvendelighed afhænger af klient og mål

RemoteApp egenskaber

En RDP-fil kan anmode om en individuelt offentliggjort applikation, men filen kan ikke offentliggøre den applikation af sig selv. Servermiljøet skal offentliggøre programmet og godkende brugeren.

Ejendom og type	Accepteret værdi	Formål	Krav
fjerntilstandsprogrammering:i:	0 eller 1	Aktiverer RemoteApp-tilstand	Et kompatibelt publiceringsmiljø er påkrævet
fjerntilgangsprogram:s:	Offentliggjort applikationsidentifikator	Identificerer det program, der skal startes	Skal matche en server-offentliggjort applikation
remoteapplicationname:s:	Visningsnavn	Giver det anvendte navn, der vises for brugeren	Giver ikke adgang
remoteapplicationcmdline:s:	Understøttede kommandolinjeparametre	Videregiver tilladte argumenter til applikationen	Serverpolitik og applikationskonfiguration kan begrænse argumenter

Behandl .rdp-filer som konfiguration, ikke harmløse genveje

En RDP-fil kan dirigere brugere til en destination, anmode om gateway-adfærd og muliggøre overførselsveje såsom udklipsholder, drev, printere eller smartkort. Det gør det til en operationel konfiguration med sikkerhedsmæssige konsekvenser, ikke blot et skrivebordsikon.

• Bekræft destinationen og gatewayen, før du godkender en fil.
• Gennemgå indstillinger for udklipsholder, drev, printer, smartkort, lyd og legitimationsoplysninger.
• Signer organisatoriske filer, når miljøet kræver udgivervalidering.
• Brug gruppepolitik til at definere, hvordan usignerede, signerede og ikke-betroede filer håndteres.

Underskrevne filer og betroede udgivere

Microsoft's RDP-fil sikkerhedsguidelines , dateret den 14. juli 2026, beskriver tre gruppepolitikområder, der styrer, hvordan Remote Desktop Connection håndterer RDP-filer: regler for usignerede filer, regler for signerede filer og listen over eksplicitte betroede udgivere. Vejledningen dækker også SHA-2 certifikatfingeraftryk og ændringer i sikkerhedsdialogen, der blev introduceret i 2026.

Microsofts position for høj-sikkerheds miljøer er, at brugere kan begrænses til RDP-filer signeret af eksplicit betroede udgivere, mens andre filer blokeres.

Den nøjagtige politik bør matche organisationens risikoniveau i stedet for at stole på, at hver bruger korrekt fortolker en advarsel.

Ports, brugerdefinerede porte og port forwarding

Porten i en MSTSC-kommando fortæller klienten, hvor den skal oprette forbindelse. Den ændrer ikke serverens lytter, firewall, certifikat, gateway eller netværksadresseoversættelseskonfiguration.

Port og transport	Rolle	Forbindelseskontekst
TCP og UDP 3389	Standard direkte RDP-port	Klient til vært, almindeligvis på et internt eller beskyttet netværk
TCP 443	Ekstern HTTPS-trafik til RD Gateway	Klient til gateway
UDP 3391	RDP over UDP gennem RD Gateway	Klient til gateway, hvor det er aktiveret

Disse RDP porte komme fra Microsofts februar 2026 RDS port reference De er netværksfakta, ikke en anbefaling om at eksponere TCP eller UDP 3389 offentligt.

Opret forbindelse til en ikke-standard port

Vedhæft porten til destinationen efter et kolon. Dette fungerer kun, når værten allerede lytter på den port, og den beskyttede netværkssti tillader det.

mstsc /v:server01.internal:3390

MSTSC kan ikke ændre værtsens lytteport

Ændring af lytteren er en koordineret værtssideoperation, der involverer Windows-konfiguration, Remote Desktop Services, firewallregler og eventuelle upstream netværkskontroller. Microsoft oplyser, at RDS kan bruge en anden port, men anbefaler ikke at ændre porten. som den normale tilgang.

En tilpasset port kan reducere automatiseret støj, men det er ikke en sikkerhedskontrol i sig selv. Brug en dedikeret portændringsguide, hvis du skal ændre lytteren, og planlæg validering og tilbageførsel i stedet for at behandle klientkommandoen som ændringsproceduren.

Send ikke en rå RDP-port til internettet.

Beslutningsregel: Hvis adgangen er intern eller allerede beskyttet af et privat netværk, skal du oprette forbindelse til den interne vært og lytter. Hvis adgangen krydser internettet, skal du bruge HTTPS, en RD Gateway, en omvendt proxy eller et andet beskyttet indgangspunkt med MFA og adgangskontroller. Publicer ikke port 3389 eller en brugerdefineret RDP lytterport direkte til internettet.

RDP er ikke usikkert som standard. Risikoen stiger, når en RDP-lytter er offentligt eksponeret, legitimationsoplysninger er svage eller genbrugt, systemer ikke er opdateret, og adgangsforsøg ikke overvåges. CISA, FBI og den australske Signalsdirektorat rådgav i deres BianLian-opdatering den 20. november 2024, at organisationer strengt begrænser RDP, lukker ubrugte porte, håndhæver låsninger, bruger phishing-modstandsdygtig MFA og logger adgangsforsøg.

MSTSC fungerer ikke: isoler det fejlslagne lag

En mislykket MSTSC-forbindelse kan stamme fra klientprofilen, DNS, netværksstien, værtlytter, godkendelse, autorisation, gateway eller skærmindstillinger. Test disse lag i rækkefølge i stedet for at svække sikkerhedsindstillingerne, indtil fejlen ændrer sig.

1. Bekræft klienten og profilen

Kør mstsc /? for at bekræfte, at klienten starter, og for at inspicere dens tilgængelige syntaks. Test destinationen uden den gemte RDP-fil. Hvis den rene forbindelse fungerer, skal du sammenligne filen med en nyoprettet profil eller teste med en nulstilling. Default.rdp .

2. Bekræft DNS og port tilgængelighed

Løs destinationsnavnet, og test derefter lytterporten fra klientnetværket. Brug den faktiske interne vært og den konfigurerede port.

Resolve-DnsName server01.internal Test-NetConnection server01.internal -Port 3389

En mislykket DNS-opslag er forskellig fra en løst vært med en blokeret port. En vellykket porttest beviser kun grundlæggende tilgængelighed. Det beviser ikke, at kontoen er autoriseret, eller at godkendelsen vil lykkes.

3. Tjek værtsservicen og lytteren

På værten skal du bekræfte, at Remote Desktop er aktiveret, og inspicere de relevante tjenester. Microsofts fejlfinding dokumentation identificerer Termstjeneste og UmRdpService som værtskomponenter til at kontrollere.

Get-Service TermService, UmRdpService

Lyttertilstand, portkonflikter, firewallregler og værtkonfiguration kontrolleres ikke af MSTSC-klienten. Undersøg disse elementer på værten eller gennem den relevante serveradministrationsproces.

4. Tjek identitet, autorisation, NLA og politik

En tilgængelig lytter kan stadig afvise en forbindelse. Tjek kontoopstillingen, adgangskodens tilstand, kontoens låsning, rettigheder til Remote Desktop-login, gruppemedlemskab, krav til Network Level Authentication og gældende Group Policy.

Brug ikke /admin som et svar på afviste legitimationsoplysninger. Det ændrer den anmodede sessionstype, ikke brugerens identitet eller rettigheder.

5. Tjek gateway- og certifikatfejl separat

Gateway-godkendelse, gateway-tilgængelighed, gateway-til-mål tilgængelighed og mål-godkendelse er separate faser. En certifikatadvarsel er også et identitetsproblem, ikke generisk bevis for, at "RDP er nede." Bekræft, at det anmodede navn matcher certifikatet, og at udstedelses kæden er betroet.

6. Fjern visnings- og omdirigeringsvariabler

Retest med én skærm og minimal lokalressource-omdirigering. Hvis det virker, tilføj skærm, udklipsholder, drev, printer og lydindstillinger tilbage én ad gangen.

Deaktiver ikke NLA, certifikatvalidering eller kryptering som en rutinemæssig første reaktion. En dedikeret fejlfinding guide til Remote Desktop kan tage diagnosen videre, når disse afgrænsede tests identificerer det fejlslagne lag, men ikke årsagen.

Linux-klienter, forbindelsesadministratorer og MSTSC-alternativer

Vælg et alternativ baseret på det aktuelle job. En Linux RDP-implementering, en Windows forbindelsesadministrator, centraliseret applikationspublisering og et fjernsupportprodukt løser forskellige problemer.

Behov	Egnet kategori	Eksempel og hovedgrænse
En traditionel Windows RDP-forbindelse	Indbygget Windows-klient	MSTSC; Windows-specifik og ikke et publiceringssystem
Mange gemte Windows RDP-endepunkter	Forbindelsesadministrator	Microsoft Sysinternals RDCMan; organiserer forbindelser, men opretter ikke en adgangsarkitektur
RDP fra Linux	Krydsplatform RDP-implementering	FreeRDP; syntaksen skal kontrolleres mod den installerede version
Tildelte Windows-applikationer eller skriveborde	Centraliseret fjernadgangslevering	Et applikationsudgivelsessystem; kræver server-side implementering og autorisation
Helpdesk kontrol af en brugers enhed	Remote-support software	Designet til teknikere og supportarbejdsgange snarere end central applikationslevering

Der findes ingen Linux-version af mstsc.exe

mstsc.exe er en Windows eksekverbar fil. FreeRDP er en vedligeholdt open-source, tværplatform RDP-implementering, og xfreerdp er en almindelig Linux-klient, der er knyttet til projektet.

FreeRDP-kommando syntaks kan ændre sig mellem større versioner. Tjek den installerede klients --hjælp output og den nuværende FreeRDP-dokumentation i stedet for at kopiere en gammel kommando uden verifikation.

Brug Remote Desktop Connection Manager til mange gemte Windows-forbindelser

Microsoft Sysinternals positionerer Remote Desktop Connection Manager eller RDCMan, som en manager for mange Remote Desktop-forbindelser. Microsoft dokumenterede RDCMan version 3.22 den 15. oktober 2026.

RDCMan understøtter servergrupper, arvede indstillinger, miniaturebilleder, legitimationsopbevaringssteder og handlinger anvendt på grupper af forbindelser. Det organiserer administrative RDP-sessioner, men det offentliggør ikke applikationer, erstatter en RD Gateway, leverer ikke en fjernsupportarbejdsgang eller bestemmer sikkerheden af adgangsvejen.

Vælg et alternativ baseret på det aktuelle job

• Brug MSTSC til en individuel traditionel RDP-forbindelse fra Windows.
• Brug RDCMan, når en Windows-administrator har brug for at organisere mange RDP-endepunkter.
• Brug en vedligeholdt RDP-klient som FreeRDP på Linux.
• Brug fjernsupportsoftware til tilstedeværende eller uovervåget helpdesk kontrol.
• Brug et applikationsudgivelsessystem, når brugere har brug for centralt tildelte Windows-applikationer eller skriveborde.

Brug af MSTSC med TSplus Remote Access

TSplus Remote Access kan levere tildelte Windows-applikationer eller fulde skriveborde gennem Microsoft MSTSC, en anden RDP-kompatibel klient, en genereret klient eller browseradgang. MSTSC er en understøttet forbindelsesmetode, ikke hele produktarkitekturen.

MSTSC kan være en forbindelsesmetode

Med det dokumenteret MSTSC-metode brugere opretter forbindelse gennem et standard Remote Desktop-vindue til ressourcer leveret af TSplus Remote Access. Den universelle printer understøttes ikke gennem denne MSTSC-forbindelsesmetode.

Browseradgang er en separat forbindelsesoplevelse og kræver TSplus Remote Access Web Mobile edition eller højere. Genererede klienter er en anden mulighed og kan understøtte dokumenteret monitorvalg Kompatibilitet bør verificeres for den valgte forbindelsestype i stedet for at antage, at hver Microsoft RDP-egenskab er blevet valideret med TSplus Remote Access.

Når centraliseret publicering er mere nyttig end flere .rdp-filer

Behold MSTSC, når kravet er en ligetil RDP-klient til et kendt endpoint. Overvej TSplus Remote Access når den egentlige opgave er at offentliggøre og tildele Windows-applikationer eller skriveborde centralt i stedet for at vedligeholde isolerede RDP-filer for hver bruger og server.

Mange implementeringer kan bruge én server. Gateway, farm og load-balanceringsfunktioner kræver TSplus Remote Access Enterprise edition, og en farm er en mulighed snarere end en forudsætning. TSplus Remote Access er ikke fuld VDI og hoster ikke kundens infrastruktur.

Hvis dine brugere har brug for centralt tildelte Windows-applikationer eller skriveborde i stedet for en voksende samling af individuelle RDP-filer, så sammenlign TSplus Remote Access-udgaverne og forbindelsesmetoderne.

TSplus 2FA begrænsningen med MSTSC

Forbindelsesmetodebegrænsning: TSplus to-faktor autentificering er et betalt tillæg, der kræver TSplus Remote Access Web Mobile eller Enterprise edition. Det fungerer ikke med Microsoft mstsc.exe Direkte RDP-forbindelser nægtes for brugere, der er aktiveret til TSplus 2FA, så disse brugere skal oprette forbindelse gennem den understøttede webportal eller en kompatibel genereret klient.

MFA bør være en grundlæggende standard for fjern- og administrativ adgang, men det er kun et lag. Det skal kombineres med opdateringer, låsning, beskyttelse mod brute-force, mindst privilegium, segmentering og overvågning.

En afgrænset sikkerheds- og licenscheckliste

MSTSC kontrollerer en klientforbindelse. Dets kontakter og gemte indstillinger kan ikke sikre eller licensere implementeringen som helhed. Før du sætter en forbindelse i produktion, skal du kontrollere den omgivende arkitektur:

• Hold rå RDP-lyttere væk fra det offentlige internet.
• Brug en gateway, HTTPS indgangspunkt, omvendt proxy eller beskyttet privat sti.
• Brug gyldige certifikater til web- og gateway-adgangspunkt.
• Krav MFA gennem en forbindelsesmetode, der understøtter det.
• Håndhæve mindst privilegium, kontolåsning og RDP brute-force beskyttelse .
• Begræns kilde-IP-adresser, lande eller betroede enheder, hvor brugerbasen tillader det.
• Deaktiver udklipsholder, drev, printer og enheds omdirigering, som arbejdsflowet ikke har brug for.
• Patch Windows, fjernadgangssoftware og sikkerhedsværktøjer.
• Brug TSplus Server Monitoring at overvåge aktive sessioner og serverens sundhed.
• Segmenter netværket og deaktiver ubrugte porte og tjenester.
• Adskil administrative konti fra hverdagens brugerkonti.
• Sikkerhedskopier adgangskonfigurationer og test gendannelse.
• Valider Windows Server, RDS CAL, Office og Microsoft 365 licensering med Microsoft eller en kvalificeret licenspartner.

MSTSC er en klient i adgangsvejen. En korrekt kommando eller RDP-fil kan etablere en forbindelse, men det sikrer ikke, at implementeringen er sikker, korrekt autoriseret eller korrekt licenseret.

Du kan starte en gratis 15-dages prøveperiode af TSplus Remote Access at teste applikation og desktop levering på din egen Windows-infrastruktur, og derefter validere den nødvendige Microsoft-licensering til din konfiguration.