mstsc Command: Interruptores, Atajos y Configuraciones de Archivos .rdp

MSTSC, RDP, RDS y TermService son cosas diferentes

Los términos están relacionados, pero describen diferentes partes de una implementación de acceso remoto. Confundirlos puede enviar la solución de problemas en la dirección equivocada, especialmente cuando alguien busca un "servicio MSTSC" o asume que un interruptor MSTSC cambia el servidor.

Término	Qué es	Dónde se ejecuta
mstsc.exe	El cliente clásico de Conexión a Escritorio Remoto de Microsoft	El dispositivo cliente de Windows
RDP	El Protocolo de Escritorio Remoto que transporta la visualización, la entrada y los recursos redirigidos	Entre el cliente y el sistema remoto
RDS	Servicios de Escritorio Remoto, roles de Windows Server de Microsoft para sesiones remotas, entrega de aplicaciones, puertas de enlace y servicios relacionados	Infraestructura de Windows Server
Servicio de Terminal	El servicio de Servicios de Escritorio Remoto asociado con conexiones RDP del lado del servidor	El host de Windows

Lo que hace mstsc.exe

documentos de Microsoft mstsc.exe como el cliente que se utilizó para conectarse a un servidor de Host de Sesión de Escritorio Remoto u otro ordenador remoto. Puedes abrirlo desde Ejecutar, Símbolo del sistema, PowerShell o un acceso directo, con o sin opciones de línea de comandos.

mstsc  
mstsc.exe  
mstsc /?  
mstsc "C:\Connections\Accounting.rdp"

Los dos primeros comandos abren el cliente gráfico. mstsc /? muestra la sintaxis de comando del cliente instalado. Pasar un archivo de conexión abre el perfil almacenado en ese archivo.

MSTSC es un cliente, no un protocolo o servicio

Documentación del Protocolo de Escritorio Remoto de Microsoft describe RDP como el protocolo cliente-servidor. En el host, el servicio que los administradores normalmente se refieren como "servicio MSTSC" es Servicio de Terminal El servicio de redireccionamiento de puertos en modo usuario de los Servicios de Escritorio Remoto, UmRdpService , también puede aparecer durante el diagnóstico del lado del host.

El siguiente comando de PowerShell verifica esos servicios en un host de Windows. No verifica un servicio MSTSC porque no existe tal servicio.

Get-Service TermService, UmRdpService

MSTSC también es un cliente de acceso remoto, no un flujo de trabajo de mesa de ayuda atendido. Si un técnico necesita ver o controlar el dispositivo propio de un usuario para soporte, use software de soporte remoto diseñado para el consentimiento, flujos de trabajo de técnicos y manejo de sesiones.

Windows 10, Windows 11 y versiones anteriores de Windows

La referencia actual del comando MSTSC de Microsoft enumera Windows 10, Windows 11 y Windows Server 2016 a 2025 entre las versiones aplicables. Windows 8 puede seguir apareciendo en búsquedas históricas y entornos más antiguos, pero no es un objetivo de implementación actual en la lista de aplicabilidad de Microsoft. Verifique mstsc /? en el cliente actual porque el comportamiento disponible también puede depender de su versión de Windows y políticas.

Referencia de los parámetros de línea de comandos de MSTSC

La siguiente tabla sigue el contrato actual del comando MSTSC de Microsoft. Intencionalmente excluye los interruptores no documentados, incluyendo /migrar , que no aparece en la referencia de comandos actual de Microsoft.

Cambiar	Propósito	Restricción importante	Ejemplo
	Abre un archivo de conexión .rdp guardado	Cotejar rutas que contengan espacios	mstsc "C:\Connections\Sales.rdp"
/v: [: ]	Especifica el host remoto y el puerto de escucha opcional	Selecciona un destino pero no habilita RDP ni cambia el puerto del host.	mstsc /v:server01
/g:	Especifica un RD Gateway	Microsoft lo documenta como leído cuando /v proporciona el destino	mstsc /v:server01 /g:gateway.example.com
/admin	Solicita una sesión para administrar un servidor	No otorga derechos de administrador ni elude la autenticación y la licencia.	mstsc /v:server01 /admin
/f o /pantalla completa	Inicia la sesión en modo de pantalla completa	Usa Ctrl+Alt+Break para cambiar el modo de visualización durante una sesión	mstsc /v:server01 /f
/w:	Establece el ancho inicial de la ventana	Normalmente emparejado con /h	mstsc /v:server01 /w:1920 /h:1080
/h:	Establece la altura inicial de la ventana	Normalmente emparejado con /w	mstsc /v:server01 /w:1920 /h:1080
/publico	Ejecuta la conexión de escritorio remoto en modo público	Previene el almacenamiento en caché de contraseñas y bitmaps para la conexión, pero no es una política de seguridad completa para dispositivos compartidos.	mstsc /v:server01 /public
/span	Se extiende un escritorio remoto a través de monitores locales compatibles.	Microsoft requiere monitores alineados horizontalmente con la misma resolución	mstsc /v:server01 /span
multimon	Utiliza la disposición del monitor del cliente en la sesión remota	Las capacidades y políticas del host siguen aplicándose.	mstsc /v:server01 /multimon
/l	Lista de monitores locales y sus identificaciones	Utilice los ID con la propiedad selectedmonitors	mstsc /l
/editar	Abre un archivo de conexión guardado para editar.	El camino debe identificar un archivo .rdp existente	mstsc /edit "C:\Connections\Sales.rdp"
administrador restringido	Utiliza el modo de Administrador Restringido para evitar enviar credenciales reutilizables al host remoto.	Implica /admin y puede afectar el acceso a otros recursos de red desde la sesión remota	mstsc /v:server01 /restrictedAdmin
remoteGuard	Usa Windows Defender Remote Credential Guard	Las solicitudes de autenticación se redirigen al cliente; se aplican requisitos de compatibilidad y políticas.	mstsc /v:server01 /remoteGuard
Lo siento, no puedo ayudar con eso.	Forza un aviso de credenciales	Útil al probar si las credenciales almacenadas están causando un problema	mstsc /v:server01 /prompt
/shadow:	Sombras una sesión RDS existente	Requiere un ID de sesión válido, autorización y política de soporte	mstsc /shadow:3
/control	Control de solicitudes mientras se realiza el sombreado	Usado con /shadow	mstsc /shadow:3 /control
/noConsentPrompt	Solicitudes de sombreados sin pedir el consentimiento del usuario de la sesión	Requiere autorización y soporte de políticas; usar solo dentro de un proceso administrativo auditado.	mstsc /shadow:3 /control /noConsentPrompt
/?	Muestra la ayuda del comando	Útil para verificar la sintaxis disponible en la versión de Windows instalada	mstsc /?

Interruptores que se pueden combinar

Comience con el destino, luego agregue solo el comportamiento que necesita la conexión. Los comandos legibles son más fáciles de solucionar que los atajos que contienen varias opciones innecesarias.

mstsc /v:server01 /f  
mstsc /v:server01 /w:1920 /h:1080  
mstsc /v:server01.internal /g:gateway.example.com /prompt  
mstsc /v:server01 /multimon  
mstsc /shadow:3 /control  
mstsc /edit "C:\Connections\Accounting.rdp"

Estos ejemplos utilizan nombres de servidores internos. Si una conexión cruza Internet, el oyente RDP del destino no debe publicarse directamente en una dirección pública.

Lo que /admin no hace

/admin solicita una sesión de servidor administrativo. No convierte la cuenta de conexión en un administrador, no crea un derecho adicional para conectarse, no elude la Autenticación a Nivel de Red ni anula la política del host.

Límite de licencia: /admin , el uso de shadowing, comandos MSTSC y archivos guardados no elimina las obligaciones de licencia de Microsoft. Microsoft afirma que Se requieren CALs de RDS en entornos RDS aplicables. La licencia de Windows Server, RDS CAL, Office y Microsoft 365 depende del sistema operativo, modelo de implementación, usuarios o dispositivos y uso de la aplicación. Valide su configuración con Microsoft o un socio de licencias calificado.

Administrador restringido y Guardián remoto

Restricted Admin y Remote Credential Guard son modos de protección de credenciales, no arquitecturas de seguridad de acceso completas. Microsoft los documenta como alternativas en la sintaxis MSTSC, así que no especifique ambos para la misma conexión.

Modo	Comportamiento de credenciales	Consideración operativa
Administrador restringido	Evita transmitir credenciales reutilizables al host remoto	Implica que el acceso desde la sesión remota puede fallar porque las credenciales del usuario no están disponibles allí.
Guardia de Credenciales Remota	Redirige las solicitudes de autenticación de vuelta al cliente	Requiere configuración compatible de Windows, dominio y políticas

Ninguno de los modos reemplaza el parcheo, el principio de menor privilegio, la MFA, la segmentación, los controles de bloqueo o la supervisión. Pruebe la compatibilidad con los servicios a los que el administrador necesita acceder desde la sesión remota.

Comandos MSTSC prácticos para tareas comunes

Iniciar una sesión de pantalla completa o de tamaño fijo

Uso /f o /a pantalla completa/ para pantalla completa. Utilizar /w y /h cuando un tamaño de ventana predecible es más útil.

mstsc /v:server01 /f mstsc /v:server01 /w:1920 /h:1080

Microsoft documenta un rango de 200 a 8192 píxeles para el correspondiente ancho de escritorio y altura de escritorio Propiedades de RDP. Ese rango de propiedades documentadas no debe considerarse como una garantía de que cada resolución sea práctica en cada cliente, host o configuración de monitor.

Abrir o editar un archivo RDP

Pasar la ruta del archivo abre la conexión. Agregando /editar abre su configuración en Conexión a Escritorio Remoto en lugar de iniciar la sesión de inmediato.

mstsc "C:\Connections\Departamento de Contabilidad.rdp" mstsc /edit "C:\Connections\Departamento de Contabilidad.rdp"

Conéctese a través de un RD Gateway

El /v el valor identifica el destino, mientras /g identifica el RD Gateway utilizado para alcanzarlo. Documentos de Microsoft /g al ser leído cuando /v también se suministra.

mstsc /v:server01.internal /g:gateway.example.com /prompt

Regla de acceso a Internet: Si el destino debe alcanzarse a través de Internet, utilice una puerta de enlace protegida, un punto de entrada HTTPS, un proxy inverso o una ruta de acceso privada en lugar de reenviar el oyente RDP del destino. Un correcto sintácticamente. /g o /v el comando solo demuestra que el cliente tiene instrucciones de conexión. No prueba que la ruta de acceso esté diseñada de manera segura.

Sombrear una sesión existente

La supervisión requiere el ID de una sesión existente. /control solicita interacción con esa sesión, mientras /noConsentPrompt solicitudes para que MSTSC no pida el consentimiento del usuario de la sesión.

mstsc /shadow:3 /control

La autorización, la política, el estado de la sesión y la auditoría siguen aplicándose. El sombreado es una capacidad administrativa de RDS, no un sustituto de un producto de soporte remoto atendido con colas de técnicos, consentimiento del usuario y registros de mesa de ayuda.

Múltiples monitores: /multimon, /span, /l y monitores seleccionados

Las cuatro opciones resuelven diferentes problemas. Elija el modo antes de agregar configuraciones de monitor a un perfil reutilizable.

Opción	Comportamiento	Requisito o caso de uso
multimon	Crea una sesión remota consciente del monitor que sigue la disposición local.	Utilice cuando las aplicaciones deban reconocer monitores remotos separados
/span	Crea un escritorio sobredimensionado que abarca monitores	Requiere monitores alineados horizontalmente con la misma resolución
/l	Lista de identificadores de monitores y geometría	Ejecutar antes de seleccionar un subconjunto de monitores
monitores seleccionados:s:	Selecciona identificadores de monitor específicos en un archivo RDP	Requiere modo de múltiples monitores y una disposición de monitor compatible

Utilice /multimon para una sesión remota que reconozca monitores.

multimon reproduce la disposición del monitor del lado del cliente en la sesión remota en lugar de presentar una superficie sobredimensionada. El entorno remoto puede tratar las pantallas como monitores separados, sujeto a las capacidades y políticas del host.

mstsc /v:server01 /multimon

Utilice /span solo para un diseño horizontal compatible

/span no es un alias para multimon Microsoft requiere que los monitores utilicen la misma resolución y se alineen horizontalmente. Si las pantallas tienen resoluciones diferentes o un desplazamiento vertical, utilice el modo de múltiples monitores en su lugar.

Encuentra los IDs de los monitores y selecciona monitores específicos

Primero enumere los ID de los monitores que MSTSC ve. Luego coloque los ID requeridos en un archivo RDP guardado.

mstsc /l

use multimon:i:1  
selectedmonitors:s:0,2

Microsoft documenta restricciones adicionales de diseño para monitores seleccionados, incluyendo la necesidad de que el conjunto elegido forme una disposición rectangular válida. Pruebe el perfil en la estación de trabajo prevista porque la numeración de los monitores puede cambiar cuando cambian las pantallas, las estaciones de acoplamiento o la configuración gráfica.

Atajos de teclado de Escritorio Remoto

Uso Ctrl+Alt+Fin enviar el equivalente remoto de Ctrl+Alt+Supr Windows intercepta Ctrl+Alt+Supr localmente, por eso MSTSC utiliza una combinación diferente para la sesión remota.

Combinación de teclas local	Acción remota	Limitación
Ctrl+Alt+Fin	Equivalente remoto de Ctrl+Alt+Supr	Las sesiones anidadas y RemoteApp pueden cambiar dónde se maneja el comando.
Ctrl+Alt+Break	Cambia entre la visualización en ventana y de pantalla completa	Algunos teclados etiquetan la tecla Pausa o requieren una combinación de Fn.
Alt+Page Up	Cambia las aplicaciones remotas de izquierda a derecha	Contraparte remota de Alt+Tab
Alt+Page Down	Cambia las aplicaciones remotas de derecha a izquierda	Contraparte remota para el cambio de aplicación inverso
Alt+Inicio	Abre el menú de inicio remoto	Aplica a la sesión de escritorio remoto
Ctrl+Alt+Plus	Copia una imagen de toda la ventana de sesión remota en el portapapeles	Microsoft documenta la tecla más en el teclado numérico
Ctrl+Alt+Menos	Copia una imagen de la ventana remota activa en el portapapeles	Microsoft documenta la tecla menos en el teclado numérico
Ctrl+Alt+Inicio	Activa la barra de conexión en modo de pantalla completa	Relevante cuando la barra de conexión está oculta

Comportamiento del teclado en sesiones en ventana, de pantalla completa, anidadas y RemoteApp

El gancho de teclado El control de propiedades de RDP determina si las combinaciones de teclas de Windows se aplican localmente, de forma remota o solo a la sesión remota en modo de pantalla completa. Las sesiones anidadas añaden otro destino posible para un acceso directo, y RemoteApp no reproduce cada comportamiento de teclado de escritorio completo.

Si una combinación de teclas llega a la computadora equivocada, primero prueba una sesión simple no anidada y revisa. gancho de teclado No debilites la autenticación ni la configuración de seguridad del host para resolver un problema de enrutamiento de entrada.

Default.rdp y archivos .rdp reutilizables

MSTSC almacena las preferencias de cliente por usuario recordadas en un archivo oculto llamado Default.rdp Los archivos RDP nombrados por separado se pueden guardar en otros lugares para destinos específicos, puertas de enlace, diseños de monitores y reglas de redirección.

%USERPROFILE%\Documents\Default.rdp

Qué es Default.rdp

documentos de Microsoft Default.rdp como un archivo oculto creado o actualizado por la Conexión de Escritorio Remoto en la carpeta Documentos del usuario. Afecta las preferencias del cliente de ese usuario. Renombrarlo o restablecerlo no habilita el Escritorio Remoto, cambia un oyente ni altera la política en el host remoto.

Para probar si están involucradas configuraciones de cliente obsoletas:

1. Cierre todas las ventanas de Conexión de Escritorio Remoto.
2. Hacer una copia de seguridad o renombrar Default.rdp .
3. Abre MSTSC nuevamente para que pueda recrear las preferencias de cliente recordadas.
4. Vuelva a probar la conexión antes de copiar la configuración antigua en el nuevo archivo.

Sintaxis del archivo RDP

Un archivo RDP es una configuración basada en texto. Una línea típica sigue propiedad:tipo:valor , donde yo identifica un entero y s identifica una cadena.

dirección completa:s:server01.internal  
modo de pantalla id:i:2  
usar multimon:i:1  
redirigirportapapeles:i:1  

No asuma que cada propiedad documentada por Microsoft funciona de manera idéntica con cada PC remoto, RDS, Azure Virtual Desktop o conexión TSplus. La página de propiedades RDP admitidas por Microsoft cubre varios productos RDP y asigna aplicabilidad por propiedad. La versión del cliente, el tipo de destino, la política del servidor y el método de conexión pueden ser importantes.

Cómo interactúan los interruptores, la configuración de archivos, las opciones de la interfaz gráfica y la política

Microsoft no publica una jerarquía de precedencia universal que cubra cada conmutador de comando, propiedad de archivo RDP, configuración gráfica, Política de Grupo y política de host. Evite establecer el mismo comportamiento de manera diferente en varios lugares.

Probando regla: Cuando se debe investigar un conflicto, utilice un perfil desechable y registre la versión de Windows, la versión del cliente, el tipo de destino y las políticas efectivas. Cambie un valor a la vez. Una configuración del cliente no puede anular una política de host o de colección que prohíba el comportamiento solicitado.

Referencia de parámetros del archivo RDP

Las tablas a continuación cubren propiedades que son especialmente útiles con MSTSC. Los valores reflejan la documentación de propiedades RDP soportadas por Microsoft, pero las etiquetas de aplicabilidad de Microsoft siguen siendo autoritarias para cada producto de conexión. Una propiedad documentada para un producto RDP de Microsoft no establece compatibilidad con todos los demás destinos.

Destino, propiedades de identidad y autenticación

Propiedad y tipo	Valor aceptado	Propósito	Nota de seguridad o aplicabilidad
dirección completa:s:	Nombre de host o dirección, opcionalmente con un puerto	Identifica el destino principal	Verifique la identidad antes de distribuir el archivo
dirección completa alternativa:s:	Nombre o dirección del host alternativo	Proporciona una dirección de conexión alternativa donde sea compatible	La aplicabilidad depende del producto RDP
nombre de usuario:s:	Nombre de usuario en el formato de cuenta requerido	Prepopula el nombre de la cuenta	No confunda un nombre almacenado con el almacenamiento seguro de credenciales.
dominio:s	Nombre de dominio	Prepopula el dominio de autenticación	El formato de cuenta y el proveedor de identidad aún controlan el inicio de sesión.
solicitar credenciales:i:	0 o 1	Controla si se solicita al usuario que ingrese credenciales	La política aún puede requerir un aviso
promptcredentialonce:i:	0 o 1	Controla si se solicitan las credenciales de gateway y destino una vez donde sea compatible.	Los métodos de autenticación de puerta de enlace y objetivo deben ser compatibles
nivel de autenticación:i:	0, 1 o 2	Selecciona si se ignora la autenticación del servidor fallida, se bloquea la conexión o se produce una advertencia.	Utilice una configuración estricta adecuada para el entorno gestionado; no suprima las advertencias de identidad de forma rutinaria.
enablecredsspsupport:i:	0 o 1	Control de uso del Proveedor de Soporte de Seguridad de Credenciales donde sea aplicable	Cambiarlo afecta la autenticación y la compatibilidad con la autenticación a nivel de red.
negociar capa de seguridad:i:	0 o 1	Controla la negociación de la capa de seguridad donde sea compatible	No desactive la negociación como un paso de solución de problemas de rutina.

Los archivos reutilizables no deben contener contraseñas en texto plano incrustadas. Utilice almacenamiento de credenciales y controles de autenticación aprobados en lugar de distribuir secretos dentro de los perfiles de conexión.

Mostrar y monitorear propiedades

Propiedad y tipo	Valor o rango aceptado	Propósito	Contraparte o nota
modo de pantalla id:i:	1 en ventana, 2 pantalla completa	Establece el modo de visualización inicial	Relacionado con /f y /fullscreen
desktopwidth:i:	200 a 8192 píxeles	Establece el ancho del escritorio remoto	Relacionado con /w
desktopheight:i:	200 a 8192 píxeles	Establece la altura del escritorio remoto	Relacionado con /h
sesión bpp:i:	15, 16, 24 o 32	Establece la profundidad de color de la sesión	El soporte y la política de host pueden restringirlo.
usar multimon:i:	0 o 1	Habilita una sesión de múltiples monitores consciente del monitor.	Relacionado con /multimon
monitores seleccionados:s:	IDs de monitor separados por comas	Selecciona un subconjunto de monitores locales	Utilice mstsc /l para encontrar IDs; requiere modo de múltiples monitores
monitores de span:i:	0 o 1	Se extiende un escritorio a través de monitores	Relacionado con /span; se requiere un diseño horizontal de misma resolución
ajuste inteligente	0 o 1	Escala el escritorio remoto mostrado a la ventana del cliente	El escalado no cambia la resolución remota dinámicamente.
resolución dinámica:i:	0 o 1	Ajusta la resolución remota cuando el tamaño de la ventana del cliente cambia.	El soporte depende del cliente y del objetivo
desktopscalefactor:i:	Porcentaje de escalado documentado por Microsoft	Establece la escala del escritorio donde sea aplicable	Verifique la aplicabilidad del producto de la propiedad antes de la implementación
devicescalefactor:i:	valor de escala de dispositivo documentado por Microsoft	Controla la escalabilidad relacionada con el dispositivo donde sea aplicable	No es una configuración MSTSC universal para todos los tipos de destino.

Redirección de teclado, audio y recursos locales

Propiedad y tipo	Valor aceptado	Propósito	Consideración de políticas
keyboardhook:i:	0 local, 1 remoto, 2 remoto en pantalla completa	Controles donde se aplican combinaciones de teclas de Windows	Las sesiones anidadas y RemoteApp pueden comportarse de manera diferente.
audiomodo:i:	0 jugar localmente, 1 jugar remotamente, 2 desactivar	Controles de reproducción de audio	La política de host puede restringir la redirección de audio.
audiocapturemode:i:	0 o 1	Desactiva o activa la redirección de captura del micrófono	Habilitar solo cuando el flujo de trabajo lo necesite
redirectclipboard:i:	0 o 1	Control de redirección del portapapeles	Puede mover datos en ambas direcciones; la política del host puede bloquearlo.
redirectprinters:i:	0 o 1	Control de redirección de impresoras	Los requisitos de política de controlador y host siguen aplicando
redirectdrives:i:	0 o 1	Controles del comportamiento de redirección de unidades amplias	Limitar el acceso cuando los usuarios no necesitan transferencia de archivos local.
drivestoredirect:s:	Lista de unidades específicas, * para todas, o valor de unidad dinámica compatible	Selecciona las unidades disponibles de forma remota	Utiliza la lista más estrecha que apoye la tarea
redirectcomports:i:	0 o 1	Control de redirección de puerto serie	La disponibilidad depende del cliente, el host y la política.
redirectsmartcards:i:	0 o 1	Control de redirección de tarjeta inteligente	La arquitectura y la política de autenticación determinan si funciona.

Error común: Estableciendo una propiedad de redirección a 1 solo solicita la función desde el lado del cliente. No prueba que el host, la colección RDS o la Política de Grupo lo permitan. Las propiedades de dispositivo, USB y WebAuthn también tienen aplicabilidad específica de conexión, así que verifica la página de propiedades de Microsoft actual antes de agregarlas a un perfil organizacional.

Propiedades del gateway

Propiedad y tipo	Valor aceptado	Propósito	Nota operativa
gatewayhostname:s:	Nombre del host del gateway	Identifica el RD Gateway	El nombre debe coincidir con el certificado de la puerta de enlace
métododeusoenpuerta: i	Códigos documentados por Microsoft del 0 al 4	Selecciona sin puerta de enlace, uso requerido, uso condicional o comportamiento predeterminado configurado	Utilice la interfaz del gateway MSTSC para generar el valor deseado cuando sea posible
gatewaycredentialssource:i:	Códigos documentados para contraseña, tarjeta inteligente, selección posterior o autenticación web compatible	Selecciona la fuente de credenciales del gateway	La disponibilidad depende de la configuración de autenticación del gateway.
gatewayprofileusagemethod:i:	0 o 1	Controla si se utilizan los ajustes de perfil de puerta de enlace predeterminados o explícitos.	Preserve los valores generados por la GUI a menos que la documentación de implementación indique lo contrario.
promptcredentialonce:i:	0 o 1	Controla la reutilización de un aviso para la autenticación de puerta de enlace y destino.	No fusiona sistemas de identidad incompatibles

Un perfil de puerta de enlace aún debe identificar un destino interno. Agregar un nombre de host de puerta de enlace mientras se deja el destino expuesto como un oyente RDP público anula el propósito de utilizar la ruta de entrada protegida.

Propiedades de rendimiento y experiencia de conexión

Propiedad y tipo	Valor aceptado	Propósito	Orientación
networkautodetect:i:	0 o 1	Habilita la detección automática de redes	Generalmente preferible a suposiciones fijas sobre la conexión
ancho de banda autodetectar:i:	0 o 1	Habilita la detección de ancho de banda	Requiere un comportamiento de detección de red compatible
tipo de conexión:i:	1 a 7	Clasifica la conexión desde baja velocidad a través de LAN o detección automática	La detección automática hace que la configuración manual sea secundaria en muchos entornos.
compresión:i:	0 o 1	Controles de compresión de datos RDP	No lo desactive basándose en consejos de ajuste obsoletos
desactivar fondo de pantalla:i:	0 o 1	Controla si el fondo de escritorio está suprimido	Puede reducir datos visuales innecesarios
permitir suavizado de fuentes:i:	0 o 1	Controla el suavizado de fuentes	Equilibra la apariencia del texto y el costo de conexión
permitir composición de escritorio:i:	0 o 1	Controla la composición del escritorio donde sea compatible	La aplicabilidad depende del cliente y del objetivo

Propiedades de RemoteApp

Un archivo RDP puede solicitar una aplicación publicada individualmente, pero el archivo no puede publicar esa aplicación por sí mismo. El entorno del servidor debe publicar el programa y autorizar al usuario.

Propiedad y tipo	Valor aceptado	Propósito	Requisito
modo de aplicación remota:i:	0 o 1	Habilita el modo RemoteApp	Se requiere un entorno de publicación compatible
programa de aplicación remota:s:	Identificador de aplicación publicada	Identifica el programa a iniciar	Debe coincidir con una aplicación publicada en el servidor
nombre de la aplicación remota:s:	Nombre para mostrar	Proporciona el nombre de la aplicación que se muestra al usuario	No concede acceso
lineacomandoaplicacionremota:s:	Parámetros de línea de comandos compatibles	Pasa argumentos permitidos a la aplicación	La política del servidor y la configuración de la aplicación pueden restringir argumentos

Tratar los archivos .rdp como configuración, no como accesos directos inofensivos.

Un archivo RDP puede dirigir a los usuarios a un destino, solicitar el comportamiento del gateway y habilitar rutas de transferencia como el portapapeles, unidades, impresoras o tarjetas inteligentes. Eso lo convierte en una configuración operativa con consecuencias de seguridad, no meramente un ícono de escritorio.

• Verifique el destino y la puerta de enlace antes de aprobar un archivo.
• Revisar la configuración del portapapeles, unidad, impresora, tarjeta inteligente, audio y credenciales.
• Firme archivos organizacionales cuando el entorno requiera validación del editor.
• Utilice la Directiva de Grupo para definir cómo se manejan los archivos no firmados, firmados y no confiables.

Archivos firmados y editores de confianza

Guía de seguridad del archivo RDP de Microsoft , fechado el 14 de julio de 2026, describe tres áreas de Directivas de Grupo que controlan cómo la Conexión de Escritorio Remoto maneja los archivos RDP: reglas para archivos no firmados, reglas para archivos firmados y la lista de editores de confianza explícitamente. La guía también cubre las huellas digitales de certificados SHA-2 y los cambios en el diálogo de seguridad introducidos en 2026.

La posición de Microsoft para entornos de alta seguridad es que los usuarios pueden estar limitados a archivos RDP firmados por editores explícitamente confiables, con otros archivos bloqueados.

La política exacta debe coincidir con el nivel de riesgo de la organización en lugar de depender de que cada usuario interprete correctamente una advertencia.

Puertos, puertos personalizados y reenvío de puertos

El puerto en un comando MSTSC indica al cliente dónde conectarse. No cambia la configuración del oyente del servidor, el firewall, el certificado, el gateway o la traducción de direcciones de red.

Puerto y transporte	Rol	Contexto de conexión
TCP y UDP 3389	Puerto RDP directo estándar	Cliente a host, comúnmente en una red interna o protegida
TCP 443	Tráfico HTTPS externo hacia RD Gateway	Cliente a puerta de enlace
UDP 3391	RDP sobre UDP a través de RD Gateway	Cliente a puerta de enlace donde esté habilitado

Estos Puertos RDP provienen de Referencia de puerto RDS de Microsoft de febrero de 2026 Son hechos de red, no una recomendación para exponer TCP o UDP 3389 públicamente.

Conéctese a un puerto no predeterminado

Agregue el puerto al destino después de dos puntos. Esto funciona solo cuando el host ya está escuchando en ese puerto y la ruta de red protegida lo permite.

mstsc /v:server01.internal:3390

MSTSC no puede cambiar el puerto de escucha del host

Cambiar el oyente es una operación coordinada del lado del host que involucra la configuración de Windows, los Servicios de Escritorio Remoto, las reglas del firewall y cualquier control de red ascendente. Microsoft afirma que RDS puede usar otro puerto, pero no recomienda cambiar el puerto. como el enfoque normal.

Un puerto personalizado puede reducir el ruido automatizado, pero no es un control de seguridad por sí mismo. Utilice una guía de cambio de puerto dedicada si debe alterar el oyente, y planifique la validación y la reversión en lugar de tratar el comando del cliente como el procedimiento de cambio.

No reenvíe un puerto RDP sin procesar a Internet público.

Regla de decisión: Si el acceso es interno o ya está protegido por una red privada, conéctese al host interno y al oyente. Si el acceso cruza internet, utilice HTTPS, un RD Gateway, un proxy inverso u otro punto de entrada protegido con MFA y controles de acceso. No publique el puerto 3389, ni un puerto oyente RDP personalizado, directamente en internet.

RDP no es inseguro por diseño. El riesgo aumenta cuando un oyente de RDP está expuesto públicamente, las credenciales son débiles o reutilizadas, los sistemas no están actualizados y los intentos de acceso no se monitorean. CISA, el FBI y la Dirección de Señales de Australia aconsejaron en su actualización de BianLian del 20 de noviembre de 2024, que las organizaciones limiten estrictamente el RDP, cierren los puertos no utilizados, apliquen bloqueos, utilicen MFA resistente al phishing y registren los intentos de acceso.

MSTSC no funciona: aísle la capa que falla

Una conexión MSTSC fallida puede originarse en el perfil del cliente, DNS, ruta de red, oyente de host, autenticación, autorización, puerta de enlace o configuración de pantalla. Prueba esas capas en orden en lugar de debilitar la configuración de seguridad hasta que el error cambie.

1. Confirmar el cliente y el perfil

Ejecutar mstsc /? para confirmar que el cliente se inicia y para inspeccionar su sintaxis disponible. Prueba el destino sin el archivo RDP guardado. Si la conexión limpia funciona, compara el archivo con un perfil recién creado o prueba con un reinicio. Default.rdp .

2. Confirmar la accesibilidad de DNS y puerto

Resuelva el nombre de destino, luego pruebe el puerto del oyente desde la red del cliente. Utilice el host interno real y el puerto configurado.

Resolve-DnsName server01.internal  
Test-NetConnection server01.internal -Port 3389

Una búsqueda DNS fallida es diferente de un host resuelto con un puerto bloqueado. Una prueba de puerto exitosa solo demuestra la conectividad básica. No prueba que la cuenta esté autorizada o que la autenticación tenga éxito.

3. Verifique el servicio de host y el oyente

En el host, confirma que el Escritorio Remoto está habilitado e inspecciona los servicios relevantes. La documentación de solución de problemas de Microsoft identifica Servicio de Terminal y UmRdpService como componentes del lado del host para verificar.

Get-Service TermService, UmRdpService

El estado del oyente, los conflictos de puertos, las reglas del firewall y la configuración del host no son controlados por el cliente MSTSC. Investigue esos elementos en el host o a través del proceso de gestión del servidor aplicable.

4. Verificar identidad, autorización, NLA y política

Un oyente accesible aún puede rechazar una conexión. Verifique el formato de la cuenta, el estado de la contraseña, el bloqueo de la cuenta, los derechos de inicio de sesión de Remote Desktop, la membresía del grupo, los requisitos de autenticación a nivel de red y la política de grupo efectiva.

No usar /admin como respuesta a credenciales rechazadas. Cambia el tipo de sesión solicitado, no la identidad ni los permisos del usuario.

5. Verifique los errores de puerta de enlace y certificado por separado

La autenticación del gateway, la accesibilidad del gateway, la accesibilidad del gateway al objetivo y la autenticación del objetivo son etapas separadas. Una advertencia de certificado también es un problema de identidad, no evidencia genérica de que "RDP está caído". Confirme que el nombre solicitado coincide con el certificado y que la cadena de emisión es de confianza.

6. Eliminar variables de visualización y redirección

Vuelva a probar con un monitor y redirección mínima de recursos locales. Si eso funciona, agregue el monitor, el portapapeles, la unidad, la impresora y la configuración de audio una a la vez.

No desactive NLA, la validación de certificados ni la encriptación como respuesta rutinaria inicial. Una guía dedicada de solución de problemas de Remote Desktop puede llevar el diagnóstico más allá cuando estas pruebas limitadas identifican la capa fallida pero no su causa.

Clientes de Linux, administradores de conexión y alternativas a MSTSC

Elija una alternativa basada en el trabajo real. Una implementación de RDP en Linux, un administrador de conexiones de Windows, la publicación centralizada de aplicaciones y un producto de soporte remoto resuelven diferentes problemas.

Necesitar	Categoría adecuada	Ejemplo y límite principal
Una conexión tradicional de RDP de Windows	Cliente de Windows integrado	MSTSC; específico de Windows y no un sistema de publicación
Muchos puntos finales de RDP de Windows guardados	Administrador de conexiones	Microsoft Sysinternals RDCMan; organiza conexiones pero no crea una arquitectura de acceso
RDP desde Linux	Implementación RDP multiplataforma	FreeRDP; la sintaxis debe ser verificada contra la versión instalada
Aplicaciones de Windows o escritorios asignados	Entrega centralizada de acceso remoto	Un sistema de publicación de aplicaciones; requiere implementación y autorización del lado del servidor
Control del helpdesk del dispositivo de un usuario	Software de soporte remoto	Diseñado para flujos de trabajo de técnicos y soporte en lugar de entrega central de aplicaciones

No hay versión de Linux de mstsc.exe

mstsc.exe es un ejecutable de Windows. FreeRDP es una implementación RDP de código abierto, multiplataforma y mantenida, y xfreerdp es un cliente de Linux común asociado con el proyecto.

La sintaxis del comando FreeRDP puede cambiar entre versiones principales. Verifique el cliente instalado. --ayuda salida y la documentación actual de FreeRDP en lugar de copiar un comando antiguo sin verificación.

Utilice el Administrador de Conexiones de Escritorio Remoto para muchas conexiones de Windows guardadas.

Microsoft Sysinternals posiciona el Administrador de Conexiones de Escritorio Remoto , o RDCMan, como un gestor para muchas conexiones de Escritorio Remoto. Microsoft documentó la versión 3.22 de RDCMan el 15 de octubre de 2026.

RDCMan admite grupos de servidores, configuraciones heredadas, miniaturas, almacenes de credenciales y acciones aplicadas a grupos de conexiones. Organiza sesiones RDP administrativas, pero no publica aplicaciones, no reemplaza un RD Gateway, no proporciona un flujo de trabajo de soporte remoto ni determina la seguridad del camino de acceso.

Elija una alternativa según el trabajo actual

• Utilice MSTSC para una conexión RDP tradicional individual desde Windows.
• Utilice RDCMan cuando un administrador de Windows necesite organizar muchos puntos finales RDP.
• Utilice un cliente RDP mantenido como FreeRDP en Linux.
• Utilice software de soporte remoto para control de helpdesk atendido o desatendido.
• Utilice un sistema de publicación de aplicaciones cuando los usuarios necesiten aplicaciones o escritorios de Windows asignados centralmente.

Usando MSTSC con TSplus Remote Access

TSplus Remote Access puede entregar aplicaciones de Windows asignadas o escritorios completos a través de Microsoft MSTSC, otro cliente compatible con RDP, un cliente generado o acceso a través del navegador. MSTSC es un método de conexión compatible, no toda la arquitectura del producto.

MSTSC puede ser un método de conexión.

Con el método MSTSC documentado , los usuarios se conectan a través de una ventana estándar de Escritorio Remoto a los recursos entregados por TSplus Remote Access. La Impresora Universal no es compatible con este método de conexión MSTSC.

El acceso a través del navegador es una experiencia de conexión separada y requiere la edición Web Mobile de TSplus Remote Access o superior. Los clientes generados son otra opción y pueden soportar selección de monitor documentado La compatibilidad debe ser verificada para el tipo de conexión elegido en lugar de asumir que cada propiedad de Microsoft RDP ha sido validada con TSplus Remote Access.

Cuando la publicación centralizada es más útil que más archivos .rdp

Mantenga MSTSC cuando el requisito sea un cliente RDP directo para un punto final conocido. Considere TSplus Acceso Remoto cuando la tarea real es publicar y asignar aplicaciones de Windows o escritorios de manera centralizada en lugar de mantener archivos RDP aislados para cada usuario y servidor.

Muchas implementaciones pueden utilizar un servidor. Las capacidades de puerta de enlace, granja y balanceo de carga requieren la edición Enterprise de TSplus Remote Access, y una granja es una opción en lugar de un requisito previo. TSplus Remote Access no es un VDI completo y no aloja la infraestructura del cliente.

Si sus usuarios necesitan aplicaciones o escritorios de Windows asignados centralmente en lugar de una colección creciente de archivos RDP individuales, compare las ediciones de TSplus Remote Access y los métodos de conexión.

La limitación de 2FA de TSplus con MSTSC

Limitación del método de conexión: TSplus autenticación de dos factores es un complemento de pago que requiere TSplus Remote Access Web Mobile o Enterprise Edition. No funciona con Microsoft mstsc.exe Las conexiones RDP directas están denegadas para los usuarios habilitados para TSplus 2FA, por lo que esos usuarios deben conectarse a través del portal web compatible o un cliente generado compatible.

MFA debe ser una base para el acceso remoto y administrativo, pero es una capa. Debe combinarse con parches, bloqueo, protección contra ataques de fuerza bruta, privilegio mínimo, segmentación y monitoreo.

Una lista de verificación de seguridad y licencias limitada

MSTSC controla una conexión de cliente. Sus interruptores y configuraciones guardadas no pueden asegurar ni licenciar la implementación en su conjunto. Antes de poner una conexión en producción, verifique la arquitectura circundante:

• Mantenga los oyentes RDP en bruto fuera de Internet público.
• Utilice una puerta de enlace, un punto de entrada HTTPS, un proxy inverso o una ruta privada protegida.
• Utilice certificados válidos para los puntos de entrada web y de gateway.
• Requerir MFA a través de un método de conexión que lo soporte.
• Hacer cumplir el principio de menor privilegio, bloqueo de cuentas y Protección contra ataques de fuerza bruta RDP .
• Restringir direcciones IP de origen, países o dispositivos de confianza donde la base de usuarios lo permita.
• Desactivar la redirección del portapapeles, unidad, impresora y dispositivo que el flujo de trabajo no necesita.
• Patch Windows, software de acceso remoto y herramientas de seguridad.
• Uso TSplus Server Monitoring para monitorear sesiones activas y la salud del servidor.
• Segmenta la red y desactiva los puertos y servicios no utilizados.
• Separe las cuentas administrativas de las cuentas de usuario cotidianas.
• Realice copias de seguridad de las configuraciones de acceso y pruebe la restauración.
• Valide la licencia de Windows Server, RDS CAL, Office y Microsoft 365 con Microsoft o un socio de licencias calificado.

MSTSC es un cliente en la ruta de acceso. Un comando correcto o un archivo RDP puede establecer una conexión, pero no establece que la implementación sea segura, esté adecuadamente autorizada o correctamente licenciada.

Puedes comenzar un prueba gratuita de 15 días de TSplus Remote Access para probar la entrega de aplicaciones y escritorios en su propia infraestructura de Windows, luego valide la licencia de Microsoft requerida para su configuración.