Commande mstsc : Commutateurs, Raccourcis et Paramètres de fichier .rdp

MSTSC, RDP, RDS et TermService sont des choses différentes

Les termes sont liés, mais ils décrivent différentes parties d'un déploiement d'accès à distance. Les confondre peut orienter le dépannage dans la mauvaise direction, surtout lorsque quelqu'un recherche un « service MSTSC » ou suppose qu'un commutateur MSTSC change le serveur.

Terme	Ce que c'est	Où cela fonctionne
mstsc.exe	le client classique de connexion Bureau à distance de Microsoft	Le périphérique client Windows
RDP	Le protocole de bureau à distance qui transporte l'affichage, l'entrée et les ressources redirigées	Entre le client et le système distant
RDS	Services de bureau à distance, rôles de Windows Server de Microsoft pour les sessions à distance, livraison d'applications, passerelles et services connexes	infrastructure Windows Server
Service de terminal	Le service des services de bureau à distance associé aux connexions RDP côté serveur	L'hôte Windows

Ce que fait mstsc.exe

documents Microsoft mstsc.exe comme le client utilisé pour se connecter à un serveur hôte de session de bureau à distance ou à un autre ordinateur distant. Vous pouvez l'ouvrir depuis Exécuter, l'invite de commandes, PowerShell ou un raccourci, avec ou sans options de ligne de commande.

mstsc  
mstsc.exe  
mstsc /?  
mstsc "C:\Connections\Accounting.rdp"

Les deux premières commandes ouvrent le client graphique. mstsc /? affiche la syntaxe de commande du client installé. Passer un fichier de connexion ouvre le profil stocké dans ce fichier.

MSTSC est un client, pas un protocole ou un service

Documentation du protocole Remote Desktop de Microsoft décrit RDP comme le protocole client-serveur. Sur l'hôte, le service que les administrateurs entendent normalement par « service MSTSC » est Service de terminal Le service de redirection de port UserMode des services de bureau à distance, UmRdpService peut également apparaître lors du diagnostic côté hôte.

La commande PowerShell suivante vérifie ces services sur un hôte Windows. Elle ne vérifie pas un service MSTSC car aucun service de ce type n'existe.

Get-Service TermService, UmRdpService

MSTSC est également un client d'accès à distance, et non un flux de travail d'assistance technique assistée. Si un technicien doit visualiser ou contrôler le propre appareil d'un utilisateur pour le support, utilisez logiciel de support à distance conçu pour le consentement, les flux de travail des techniciens et la gestion des sessions.

Windows 10, Windows 11 et les versions antérieures de Windows

La référence actuelle de la commande MSTSC de Microsoft répertorie Windows 10, Windows 11 et Windows Server 2016 à 2025 parmi les versions applicables. Windows 8 peut encore apparaître dans les recherches historiques et les environnements plus anciens, mais ce n'est pas une cible de déploiement actuelle dans la liste d'applicabilité de Microsoft. Vérifiez mstsc /? sur le client actuel car le comportement disponible peut également dépendre de sa version Windows et des politiques.

Référence des commutateurs de ligne de commande MSTSC

Le tableau suivant suit le contrat de commande MSTSC actuel de Microsoft. Il exclut intentionnellement les commutateurs non documentés, y compris /migrer , qui n'apparaît pas dans la référence de commande Microsoft actuelle.

Changer	Objectif	Contrainte importante	Exemple
	Ouvre un fichier de connexion .rdp enregistré	Citer des chemins contenant des espaces	mstsc "C:\Connections\Sales.rdp"
/v: [: ]	Spécifie l'hôte distant et le port d'écoute optionnel	Il sélectionne une destination mais n'active pas RDP ni ne change le port hôte.	mstsc /v:server01
/g:	Spécifie une passerelle RD	Microsoft le documente comme étant lu lorsque /v fournit la destination	mstsc /v:server01 /g:gateway.example.com
/admin	Demande une session pour administrer un serveur	Il ne confère pas de droits d'administrateur ni ne contourne l'authentification et la licence.	mstsc /v:server01 /admin
/f ou /plein écran	Démarre la session en mode plein écran	Utilisez Ctrl+Alt+Pause pour changer le mode d'affichage pendant une session	mstsc /v:server01 /f
/w:	Définit la largeur initiale de la fenêtre	Habituellement associé à /h	mstsc /v:server01 /w:1920 /h:1080
/h:	Définit la hauteur initiale de la fenêtre	Habituellement associé à /w	mstsc /v:server01 /w:1920 /h:1080
/public	Exécute la connexion de bureau à distance en mode public	Empêche la mise en cache des mots de passe et des images bitmap pour la connexion, mais n'est pas une politique de sécurité complète pour les appareils partagés.	mstsc /v:server01 /public
/span	S'étend sur un bureau à distance sur des moniteurs locaux compatibles	Microsoft exige des moniteurs alignés horizontalement avec la même résolution	mstsc /v:server01 /span
/multimon	Utilise l'arrangement du moniteur client dans la session distante	Les capacités et la politique d'hébergement s'appliquent toujours.	mstsc /v:server01 /multimon
/l	Liste des moniteurs locaux et de leurs identifiants	Utilisez les ID avec la propriété selectedmonitors	mstsc /l
/éditer	Ouvre un fichier de connexion enregistré pour modification	Le chemin doit identifier un fichier .rdp existant	mstsc /edit "C:\Connections\Sales.rdp"
/administrateurRestreint	Utilise le mode Administrateur restreint pour éviter d'envoyer des identifiants réutilisables à l'hôte distant	Implique /admin et peut affecter l'accès à d'autres ressources réseau depuis la session distante	mstsc /v:server01 /restrictedAdmin
/remoteGuard	Utilise Windows Defender Remote Credential Guard	Les demandes d'authentification sont redirigées vers le client ; des prérequis de compatibilité et de politique s'appliquent.	mstsc /v:server01 /remoteGuard
/prompt	Forcer une invite d'identification	Utile lors des tests pour déterminer si les identifiants stockés causent un problème	mstsc /v:server01 /prompt
/shadow:	Masquer une session RDS existante	Nécessite un ID de session valide, une autorisation et une politique de soutien	mstsc /shadow:3
/contrôle	Contrôle des demandes lors de l'ombrement	Utilisé avec /shadow	mstsc /shadow:3 /control
/aucunConsentementDemande	Demandes de prise en main à distance sans demander le consentement de l'utilisateur de la session	Nécessite une autorisation et un soutien politique ; à utiliser uniquement dans le cadre d'un processus administratif audité.	mstsc /shadow:3 /control /noConsentPrompt
/?	Affiche l'aide de commande	Utile pour vérifier la syntaxe disponible sur la version de Windows installée	mstsc /?

Interrupteurs pouvant être combinés

Commencez par la destination, puis ajoutez uniquement le comportement dont la connexion a besoin. Les commandes lisibles sont plus faciles à dépanner que les raccourcis contenant plusieurs options inutiles.

mstsc /v:server01 /f  
mstsc /v:server01 /w:1920 /h:1080  
mstsc /v:server01.internal /g:gateway.example.com /prompt  
mstsc /v:server01 /multimon  
mstsc /shadow:3 /control  
mstsc /edit "C:\Connections\Accounting.rdp"

Ces exemples utilisent des noms de serveur internes. Si une connexion traverse Internet, l'écouteur RDP de la destination ne doit pas être publié directement sur une adresse publique.

Ce que /admin ne fait pas

/admin demande une session de serveur administratif. Cela ne rend pas le compte de connexion un administrateur, ne crée pas un droit supplémentaire de connexion, ne contourne pas l'authentification au niveau du réseau ou ne remplace pas la politique de l'hôte.

Limite de licence : /admin , le shadowing, les commandes MSTSC et les fichiers enregistrés ne suppriment pas les obligations de licence de Microsoft. Microsoft déclare que Des CAL RDS sont requis dans les environnements RDS applicables. La licence Windows Server, RDS CAL, Office et Microsoft 365 dépend du système d'exploitation, du modèle de déploiement, des utilisateurs ou des appareils et de l'utilisation des applications. Validez votre configuration avec Microsoft ou un partenaire de licence qualifié.

Administrateur restreint et Garde à distance

Restricted Admin et Remote Credential Guard sont des modes de protection des identifiants, et non des architectures de sécurité d'accès complètes. Microsoft les documente comme des alternatives dans la syntaxe MSTSC, donc ne spécifiez pas les deux pour la même connexion.

Mode	Comportement des identifiants	Considération opérationnelle
Administrateur restreint	Évite de transmettre des identifiants réutilisables à l'hôte distant	Implique /admin ; l'accès ultérieur depuis la session distante peut échouer car les identifiants de l'utilisateur ne sont pas disponibles là-bas.
Garde des informations d'identification à distance	Redirige les demandes d'authentification vers le client	Nécessite une configuration compatible de Windows, de domaine et de politique

Aucun des modes ne remplace le patching, le moindre privilège, la MFA, la segmentation, les contrôles de verrouillage ou la surveillance. Testez la compatibilité avec les services que l'administrateur doit atteindre depuis la session distante.

Commandes MSTSC pratiques pour des tâches courantes

Démarrer une session en plein écran ou de taille fixe

Utiliser /f ou /en plein écran pour plein écran. Utilisez /w et /h lorsqu'une taille de fenêtre prévisible est plus utile.

mstsc /v:server01 /f mstsc /v:server01 /w:1920 /h:1080

Microsoft documente une gamme de 200 à 8192 pixels pour le correspondant largeur de bureau et hauteur de bureau Propriétés RDP. Cette plage de propriétés documentées ne doit pas être considérée comme une garantie que chaque résolution est pratique sur chaque arrangement de client, d'hôte ou de moniteur.

Ouvrir ou modifier un fichier RDP

Passer le chemin du fichier ouvre la connexion. Ajouter /éditer ouvre ses paramètres dans la Connexion Bureau à distance plutôt que de commencer la session immédiatement.

mstsc "C:\Connections\Department de Comptabilité.rdp" mstsc /edit "C:\Connections\Department de Comptabilité.rdp"

Se connecter via un RD Gateway

Le /v la valeur identifie la destination, tandis que /g identifie la passerelle RD utilisée pour y accéder. Les documents Microsoft /g en étant lu lorsque /v est également fourni.

mstsc /v:server01.internal /g:gateway.example.com /prompt

Règle d'accès Internet : Si la destination doit être atteinte via Internet, utilisez une passerelle protégée, un point d'entrée HTTPS, un proxy inverse ou un chemin d'accès privé au lieu de rediriger l'auditeur RDP de la destination. Un correct syntaxiquement. /g ou /v La commande prouve seulement que le client a des instructions de connexion. Elle ne prouve pas que le chemin d'accès est conçu de manière sécurisée.

Shadow une session existante

Le partage d'écran nécessite l'ID d'une session existante. /contrôle demande d'interaction avec cette session, tandis que /aucunConsentementDemande demande que MSTSC ne demande pas le consentement de l'utilisateur de la session.

mstsc /shadow:3 /control

L'autorisation, la politique, l'état de session et l'audit s'appliquent toujours. Le shadowing est une capacité administrative de RDS, pas un substitut à un produit de support à distance assisté avec des files d'attente de techniciens, un consentement des utilisateurs et des enregistrements de helpdesk.

Moniteurs multiples : /multimon, /span, /l et moniteurs sélectionnés

Les quatre options résolvent différents problèmes. Choisissez le mode avant d'ajouter les paramètres du moniteur à un profil réutilisable.

Option	Comportement	Exigence ou cas d'utilisation
/multimon	Crée une session distante consciente du moniteur qui suit l'agencement local.	Utilisez lorsque les applications doivent reconnaître des moniteurs distants séparés
/span	Crée un bureau surdimensionné s'étendant sur plusieurs moniteurs	Nécessite des moniteurs alignés horizontalement avec la même résolution
/l	Liste des identifiants de moniteur et de la géométrie	Exécutez avant de sélectionner un sous-ensemble de moniteurs
moniteurs sélectionnés : s :	Sélectionne des ID de moniteur spécifiques dans un fichier RDP	Nécessite le mode multi-écran et une configuration de moniteur compatible

Utilisez /multimon pour une session distante consciente des moniteurs

/multimon reproduit l'agencement des moniteurs côté client dans la session distante plutôt que de présenter une seule surface surdimensionnée. L'environnement distant peut alors traiter les affichages comme des moniteurs séparés, en fonction des capacités et de la politique de l'hôte.

mstsc /v:server01 /multimon

Utilisez /span uniquement pour un agencement horizontal compatible

/span n'est pas un alias pour /multimon Microsoft exige que les moniteurs utilisent la même résolution et s'alignent horizontalement. Si les écrans ont des résolutions différentes ou un décalage vertical, utilisez plutôt le mode multi-moniteurs.

Trouvez les identifiants de moniteur et sélectionnez des moniteurs spécifiques

D'abord, listez les identifiants des moniteurs que MSTSC voit. Ensuite, placez les identifiants requis dans un fichier RDP enregistré.

mstsc /l

utiliser multimon:i:1 moniteurs sélectionnés:s:0,2

Microsoft documents des contraintes de mise en page supplémentaires pour les moniteurs sélectionnés, y compris la nécessité que l'ensemble choisi forme un agencement rectangulaire valide. Testez le profil sur la station de travail prévue car la numérotation des moniteurs peut changer lorsque les affichages, les stations d'accueil ou les paramètres graphiques changent.

Raccourcis clavier de Bureau à distance

Utiliser Ctrl+Alt+Fin envoyer l'équivalent distant de Ctrl+Alt+Del Windows intercepte Ctrl+Alt+Del localement, c'est pourquoi MSTSC utilise une combinaison différente pour la session distante.

Combinaison de touches locale	Action à distance	Limitation
Ctrl+Alt+Fin	Équivalent distant de Ctrl+Alt+Suppr	Les sessions imbriquées et RemoteApp peuvent modifier l'endroit où la commande est traitée.
Ctrl+Alt+Pause	Bascule entre l'affichage en fenêtre et en plein écran	Certaines claviers étiquettent la touche Pause ou nécessitent une combinaison Fn.
Alt+Page Up	Bascule les applications distantes de gauche à droite	Contrepartie à distance de Alt+Tab
Alt+Page Down	Bascule les applications distantes de droite à gauche	Contrepartie distante pour le changement d'application inversé
Alt+Accueil	Ouvre le menu Démarrer à distance	S'applique à la session de bureau à distance
Ctrl+Alt+Plus	Copie une image de l'ensemble de la fenêtre de session distante dans le presse-papiers	Microsoft documente la touche plus sur le pavé numérique
Ctrl+Alt+Moins	Copie une image de la fenêtre distante active dans le presse-papiers	Microsoft documente la touche moins sur le pavé numérique
Ctrl+Alt+Home	Active la barre de connexion en mode plein écran	Pertinent lorsque la barre de connexion est masquée

Comportement du clavier dans les sessions fenêtrées, plein écran, imbriquées et RemoteApp

Le crochetclavier La propriété RDP contrôle si les combinaisons de touches Windows s'appliquent localement, à distance ou uniquement à la session distante en mode plein écran. Les sessions imbriquées ajoutent une autre destination possible pour un raccourci, et RemoteApp ne reproduit pas tous les comportements de clavier de bureau complet.

Si une combinaison de touches atteint le mauvais ordinateur, testez d'abord une session simple non imbriquée et passez en revue. crochetclavier Ne pas affaiblir les paramètres d'authentification ou de sécurité de l'hôte pour résoudre un problème de routage d'entrée.

Default.rdp et fichiers .rdp réutilisables

MSTSC stocke les préférences de client par utilisateur dans un fichier caché nommé Default.rdp Des fichiers RDP nommés séparément peuvent être enregistrés ailleurs pour des destinations spécifiques, des passerelles, des mises en page de moniteurs et des règles de redirection.

%USERPROFILE%\Documents\Default.rdp

Ce qu'est Default.rdp

documents Microsoft Default.rdp en tant que fichier caché créé ou mis à jour par la connexion Bureau à distance dans le dossier Documents de l'utilisateur. Cela affecte les préférences du client de cet utilisateur. Le renommer ou le réinitialiser n'active pas le Bureau à distance, ne change pas un écouteur ni ne modifie la politique sur l'hôte distant.

Pour tester si des paramètres clients obsolètes sont impliqués :

1. Fermez toutes les fenêtres de connexion de bureau à distance.
2. Sauvegarder ou renommer Default.rdp .
3. Ouvrez à nouveau MSTSC afin qu'il puisse recréer les préférences client mémorisées.
4. Retestez la connexion avant de copier les anciens paramètres dans le nouveau fichier.

Syntaxe du fichier RDP

Un fichier RDP est une configuration basée sur du texte. Une ligne typique suit. propriété:type:valeur , où i identifie un entier et s identifie une chaîne.

adresse complète:s:server01.internal  
mode d'écran id:i:2  
utiliser multimon:i:1  
rediriger le presse-papiers:i:1

Ne supposez pas que chaque propriété documentée par Microsoft fonctionne de manière identique avec chaque PC distant, RDS, Azure Virtual Desktop ou connexion TSplus. La page des propriétés RDP prises en charge par Microsoft couvre plusieurs produits RDP et attribue l'applicabilité par propriété. La version du client, le type de cible, la politique du serveur et la méthode de connexion peuvent tous avoir de l'importance.

Comment les commutateurs, les paramètres de fichier, les choix d'interface graphique et les politiques interagissent

Microsoft ne publie pas une hiérarchie de priorité universelle couvrant chaque commutateur de commande, propriété de fichier RDP, paramètre graphique, stratégie de groupe et politique d'hôte. Évitez de définir le même comportement différemment à plusieurs endroits.

Tester la règle : Lorsque un conflit doit être examiné, utilisez un profil jetable et enregistrez la version de Windows, la version du client, le type cible et les politiques effectives. Changez une valeur à la fois. Un paramètre client ne peut pas remplacer une politique d'hôte ou de collection qui interdit le comportement demandé.

Référence des paramètres de fichier RDP

Les tableaux ci-dessous couvrent des propriétés qui sont particulièrement utiles avec MSTSC. Les valeurs reflètent la documentation des propriétés RDP prises en charge par Microsoft, mais les étiquettes d'applicabilité de Microsoft restent autoritaires pour chaque produit de connexion. Une propriété documentée pour un produit RDP Microsoft ne garantit pas la compatibilité avec tous les autres cibles.

Destination, propriétés d'identité et d'authentification

Propriété et type	Valeur acceptée	Objectif	Note de sécurité ou d'applicabilité
adresse complète:s:	Nom d'hôte ou adresse, éventuellement avec un port	Identifie la destination principale	Vérifiez l'identité avant de distribuer le fichier
adresse complète alternative:s:	Nom ou adresse d'hôte alternatif	Fournit une adresse de connexion alternative où cela est pris en charge	L'applicabilité dépend du produit RDP
nom d'utilisateur:s:	Nom d'utilisateur au format de compte requis	Préremplit le nom du compte	Ne confondez pas un nom enregistré avec un stockage sécurisé des identifiants.
domaine:s:	Nom de domaine	Préremplit le domaine d'authentification	Le format de compte et le fournisseur d'identité contrôlent toujours la connexion.
demande de credentials:i:	0 ou 1	Contrôle si l'utilisateur est invité à saisir des identifiants	La politique peut toujours exiger une invite
promptcredentialonce:i:	0 ou 1	Contrôle si les identifiants de passerelle et de destination sont demandés une seule fois lorsque cela est pris en charge.	Les méthodes d'authentification de passerelle et de cible doivent être compatibles
niveau d'authentification:i:	0, 1 ou 2	Sélectionne si l'authentification du serveur échouée est ignorée, bloque la connexion ou produit un avertissement	Utilisez un paramètre strict approprié à l'environnement géré ; ne supprimez pas systématiquement les avertissements d'identité.
enablecredsspsupport:i:	0 ou 1	Contrôles de sécurité des informations d'identification Fournisseur de support à utiliser le cas échéant	Changer cela affecte l'authentification et la compatibilité de l'authentification au niveau du réseau.
négocier la couche de sécurité:i:	0 ou 1	Contrôle de la négociation de la couche de sécurité là où cela est pris en charge	Ne désactivez pas la négociation comme étape de dépannage de routine.

Les fichiers réutilisables ne doivent pas contenir de mots de passe en texte clair intégrés. Utilisez un stockage d'identifiants et des contrôles d'authentification approuvés plutôt que de distribuer des secrets à l'intérieur des profils de connexion.

Afficher et surveiller les propriétés

Propriété et type	Valeur ou plage acceptée	Objectif	Contrepartie ou note
mode d'écran id:i:	1 fenêtre, 2 plein écran	Définit le mode d'affichage initial	Lié à /f et /fullscreen
largeurdubureau:i:	200 à 8192 pixels	Définit la largeur du bureau à distance	Lié à /w
hauteurdubureau:i:	200 à 8192 pixels	Définit la hauteur du bureau à distance	Lié à /h
session bpp:i:	15, 16, 24 ou 32	Définit la profondeur de couleur de la session	Le support et la politique d'hébergement peuvent le contraindre.
utiliser multimon:i:	0 ou 1	Active une session multi-écrans consciente du moniteur	Lié à /multimon
moniteurs sélectionnés : s :	Identifiants de moniteur séparés par des virgules	Sélectionne un sous-ensemble de moniteurs locaux	Utilisez mstsc /l pour trouver des identifiants ; nécessite le mode multi-écrans.
moniteurs span:i:	0 ou 1	S'étend sur un bureau à travers les moniteurs	Lié à /span ; mise en page horizontale de même résolution requise
ajustement intelligent	0 ou 1	Ajuste l'affichage du bureau à distance à la fenêtre du client	Le redimensionnement ne change pas la résolution à distance de manière dynamique.
résolution dynamique:i:	0 ou 1	Ajuste la résolution à distance lorsque la fenêtre du client change de taille	Le support dépend du client et de la cible
desktopscalefactor:i:	pourcentage d'échelle documenté par Microsoft	Définit l'échelle du bureau lorsque cela est applicable	Vérifiez l'applicabilité du produit de la propriété avant le déploiement
devicescalefactor:i:	valeur d'échelle de périphérique documentée par Microsoft	Contrôle de l'échelle liée aux appareils lorsque cela est applicable	Pas un paramètre MSTSC universel pour tous les types cibles

Redirection du clavier, de l'audio et des ressources locales

Propriété et type	Valeur acceptée	Objectif	Considération de politique
keyboardhook:i:	0 local, 1 distant, 2 distant en plein écran	Contrôles où les combinaisons de touches Windows sont appliquées	Les sessions imbriquées et RemoteApp peuvent se comporter différemment.
audiomode:i	0 jouer localement, 1 jouer à distance, 2 désactiver	Contrôles de lecture audio	La politique d'hébergement peut restreindre la redirection audio.
mode de capture audio:i	0 ou 1	Désactive ou active la redirection de capture du microphone	Activer uniquement lorsque le flux de travail en a besoin
redirigerleclipboard:i:	0 ou 1	Contrôles de redirection du presse-papiers	Peut déplacer des données dans les deux sens ; la politique d'hébergement peut le bloquer.
redirectprinters:i:	0 ou 1	Contrôles de redirection d'imprimante	Les exigences en matière de pilote et de politique d'hôte s'appliquent toujours.
redirectdrives:i:	0 ou 1	Contrôles du comportement de redirection des lecteurs larges	Limiter l'accès lorsque les utilisateurs n'ont pas besoin de transfert de fichiers local.
drivestoredirect:s:	Liste de lecteurs spécifique, * pour tous, ou valeur de lecteur dynamique prise en charge	Sélectionne les lecteurs mis à disposition à distance	Utilisez la liste la plus étroite qui prend en charge la tâche
redirectcomports:i:	0 ou 1	Contrôles de redirection de port série	La disponibilité dépend du client, de l'hôte et de la politique.
redirectsmartcards:i:	0 ou 1	Contrôles de redirection de carte à puce	L'architecture et la politique d'authentification déterminent si cela fonctionne.

Erreur courante : Définir une propriété de redirection à 1 seulement demande la fonctionnalité du côté client. Cela ne prouve pas que l'hôte, la collection RDS ou la stratégie de groupe le permet. Les propriétés de l'appareil, USB et WebAuthn ont également une applicabilité spécifique à la connexion, donc vérifiez la page de propriété Microsoft actuelle avant de les ajouter à un profil organisationnel.

Propriétés de la passerelle

Propriété et type	Valeur acceptée	Objectif	Note opérationnelle
hostnamepasserelle:s:	Nom d'hôte de la passerelle	Identifie le RD Gateway	Le nom doit correspondre au certificat de passerelle
méthodeutilisationpasserelle:i:	Codes 0 à 4 documentés par Microsoft	Sélectionne aucun passerelle, utilisation requise, utilisation conditionnelle ou comportement par défaut configuré	Utilisez l'interface de passerelle MSTSC pour générer la valeur souhaitée lorsque cela est possible.
source des identifiants de passerelle:i:	Codes documentés pour le mot de passe, la carte intelligente, la sélection ultérieure ou l'authentification web prise en charge	Sélectionne la source d'identifiants de passerelle	La disponibilité dépend de la configuration de l'authentification du portail.
gatewayprofileusagemethod:i:	0 ou 1	Contrôle si les paramètres de profil de passerelle par défaut ou explicites sont utilisés	Préservez les valeurs générées par l'interface graphique, sauf si la documentation de déploiement spécifie le contraire.
promptcredentialonce:i:	0 ou 1	Contrôle de la réutilisation d'une invite pour l'authentification de la passerelle et de la destination	Ne fusionne pas les systèmes d'identité incompatibles

Un profil de passerelle doit toujours identifier une destination interne. Ajouter un nom d'hôte de passerelle tout en laissant la destination exposée en tant qu'auditeur RDP public va à l'encontre de l'objectif d'utiliser le chemin d'entrée protégé.

Propriétés de performance et d'expérience de connexion

Propriété et type	Valeur acceptée	Objectif	Orientation
networkautodetect:i:	0 ou 1	Active la détection automatique du réseau	Habituellement préférable aux hypothèses fixes concernant la connexion
détectionautomatique: i	0 ou 1	Active la détection de bande passante	Nécessite un comportement de détection de réseau compatible
type de connexion:i:	1 à 7	Classifie la connexion de faible vitesse via LAN ou détection automatique	La détection automatique rend le réglage manuel secondaire dans de nombreux environnements.
compression:i:	0 ou 1	Contrôles de compression des données RDP	Ne le désactivez pas en fonction de conseils de réglage obsolètes.
désactiver le papier peint:i:	0 ou 1	Contrôle si le fond d'écran du bureau est supprimé	Peut réduire les données visuelles inutiles
autoriser le lissage des polices:i:	0 ou 1	Contrôles de lissage des polices	Équilibre l'apparence du texte et le coût de connexion
autoriser la composition de bureau:i:	0 ou 1	Contrôle de la composition du bureau là où cela est pris en charge	L'applicabilité dépend du client et de la cible

Propriétés de RemoteApp

Un fichier RDP peut demander une application publiée individuellement, mais le fichier ne peut pas publier cette application par lui-même. L'environnement côté serveur doit publier le programme et autoriser l'utilisateur.

Propriété et type	Valeur acceptée	Objectif	Exigence
mode d'application à distance:i:	0 ou 1	Active le mode RemoteApp	Un environnement de publication compatible est requis
programme d'application à distance:s:	Identifiant de l'application publiée	Identifie le programme à démarrer	Doit correspondre à une application publiée par le serveur
nomdelapplicationàdistance:s:	Nom d'affichage	Fournit le nom de l'application affiché à l'utilisateur	N'accorde pas l'accès
ligne de commande de l'application distante:s:	Paramètres de ligne de commande pris en charge	Transmet les arguments autorisés à l'application	La politique du serveur et la configuration des applications peuvent restreindre les arguments.

Traitez les fichiers .rdp comme des configurations, pas comme des raccourcis inoffensifs.

Un fichier RDP peut diriger les utilisateurs vers une destination, demander un comportement de passerelle et activer des chemins de transfert tels que le presse-papiers, les lecteurs, les imprimantes ou les cartes intelligentes. Cela en fait une configuration opérationnelle avec des conséquences en matière de sécurité, et pas seulement une icône de bureau.

• Vérifiez la destination et la passerelle avant d'approuver un fichier.
• Vérifiez les paramètres liés au presse-papiers, au lecteur, à l'imprimante, à la carte intelligente, à l'audio et aux informations d'identification.
• Signer des fichiers organisationnels lorsque l'environnement nécessite une validation de l'éditeur.
• Utilisez la stratégie de groupe pour définir comment les fichiers non signés, signés et non fiables sont traités.

Fichiers signés et éditeurs de confiance

Les conseils de sécurité des fichiers RDP de Microsoft , daté du 14 juillet 2026, décrit trois domaines de stratégie de groupe contrôlant la manière dont la connexion Bureau à distance gère les fichiers RDP : règles pour les fichiers non signés, règles pour les fichiers signés et la liste des éditeurs explicitement approuvés. Les conseils couvrent également les empreintes de certificats SHA-2 et les modifications de dialogue de sécurité introduites en 2026.

La position de Microsoft pour les environnements à haute sécurité est que les utilisateurs peuvent être limités aux fichiers RDP signés par des éditeurs explicitement de confiance, les autres fichiers étant bloqués.

La politique exacte devrait correspondre au niveau de risque de l'organisation plutôt que de compter sur chaque utilisateur pour interpréter correctement un avertissement.

Ports, ports personnalisés et redirection de ports

Le port dans une commande MSTSC indique au client où se connecter. Il ne modifie pas la configuration de l'écouteur du serveur, du pare-feu, du certificat, de la passerelle ou de la traduction d'adresse réseau.

Port et transport	Rôle	Contexte de connexion
TCP et UDP 3389	Port RDP direct standard	Client à héberger, généralement sur un réseau interne ou protégé
TCP 443	Trafic HTTPS externe vers le portail RD	Client vers la passerelle
UDP 3391	RDP sur UDP via RD Gateway	Client vers la passerelle où activé

Ces Ports RDP venir de Référence de port RDS de Microsoft de février 2026 Ce sont des faits réseau, pas une recommandation d'exposer TCP ou UDP 3389 publiquement.

Connectez-vous à un port non par défaut

Ajoutez le port à la destination après un deux-points. Cela ne fonctionne que lorsque l'hôte écoute déjà sur ce port et que le chemin réseau protégé le permet.

mstsc /v:server01.internal:3390

MSTSC ne peut pas changer le port d'écoute de l'hôte.

Changer l'écouteur est une opération coordonnée côté hôte impliquant la configuration de Windows, les services de bureau à distance, les règles de pare-feu et tout contrôle réseau en amont. Microsoft indique que RDS peut utiliser un autre port mais ne recommande pas de changer le port. comme l'approche normale.

Un port personnalisé peut réduire le bruit automatisé, mais ce n'est pas un contrôle de sécurité en soi. Utilisez un guide de changement de port dédié si vous devez modifier l'écouteur, et planifiez la validation et le retour en arrière plutôt que de traiter la commande du client comme la procédure de changement.

Ne pas transférer un port RDP brut vers Internet public

Règle de décision : Si l'accès est interne ou déjà protégé par un réseau privé, connectez-vous à l'hôte interne et à l'auditeur. Si l'accès traverse Internet, utilisez HTTPS, un RD Gateway, un proxy inverse ou un autre point d'entrée protégé avec MFA et des contrôles d'accès. Ne publiez pas le port 3389, ni un port d'écoute RDP personnalisé, directement sur Internet.

RDP n'est pas intrinsèquement peu sûr. Le risque augmente lorsqu'un écouteur RDP est exposé publiquement, que les identifiants sont faibles ou réutilisés, que les systèmes ne sont pas corrigés et que les tentatives d'accès ne sont pas surveillées. CISA, le FBI et la Direction des signaux australienne ont conseillé dans leur mise à jour BianLian du 20 novembre 2024, que les organisations limitent strictement le RDP, ferment les ports inutilisés, appliquent des verrouillages, utilisent une MFA résistante au phishing et enregistrent les tentatives d'accès.

MSTSC ne fonctionne pas : isolez la couche défaillante

Une connexion MSTSC échouée peut provenir du profil client, du DNS, du chemin réseau, de l'écouteur d'hôte, de l'authentification, de l'autorisation, de la passerelle ou de la configuration d'affichage. Testez ces couches dans l'ordre au lieu d'affaiblir les paramètres de sécurité jusqu'à ce que l'erreur change.

1. Confirmer le client et le profil

Exécuter mstsc /? pour confirmer que le client se lance et pour inspecter sa syntaxe disponible. Testez la destination sans le fichier RDP enregistré. Si la connexion propre fonctionne, comparez le fichier avec un profil nouvellement créé ou testez avec une réinitialisation. Default.rdp .

2. Confirmer la connectivité DNS et le port

Résoudre le nom de destination, puis tester le port d'écoute depuis le réseau client. Utilisez l'hôte interne réel et le port configuré.

Résoudre-DnsName server01.internal Test-NetConnection server01.internal -Port 3389

Une recherche DNS échouée est différente d'un hôte résolu avec un port bloqué. Un test de port réussi prouve seulement la connectivité de base. Cela ne prouve pas que le compte est autorisé ou que l'authentification réussira.

3. Vérifiez le service d'hôte et l'auditeur

Sur l'hôte, confirmez que le Bureau à distance est activé et inspectez les services pertinents. La documentation de dépannage de Microsoft identifie Service de terminal et UmRdpService en tant que composants côté hôte à vérifier.

Get-Service TermService, UmRdpService

L'état de l'auditeur, les conflits de port, les règles de pare-feu et la configuration de l'hôte ne sont pas contrôlés par le client MSTSC. Examinez ces éléments sur l'hôte ou via le processus de gestion de serveur applicable.

4. Vérifiez l'identité, l'autorisation, NLA et la politique

Un auditeur accessible peut toujours rejeter une connexion. Vérifiez le format du compte, l'état du mot de passe, le verrouillage du compte, les droits de connexion au Bureau à distance, l'appartenance au groupe, les exigences d'authentification au niveau réseau et la stratégie de groupe effective.

Ne pas utiliser /admin en réponse à des identifiants rejetés. Cela change le type de session demandé, pas l'identité ou les autorisations de l'utilisateur.

5. Vérifiez les erreurs de passerelle et de certificat séparément

L'authentification de la passerelle, la disponibilité de la passerelle, la disponibilité de la passerelle vers la cible et l'authentification de la cible sont des étapes distinctes. Un avertissement de certificat est également un problème d'identité, pas une preuve générique que "RDP est hors service." Confirmez que le nom demandé correspond au certificat et que la chaîne d'émission est de confiance.

6. Supprimer les variables d'affichage et de redirection

Retestez avec un moniteur et une redirection minimale des ressources locales. Si cela fonctionne, ajoutez les paramètres du moniteur, du presse-papiers, du lecteur, de l'imprimante et de l'audio un par un.

Ne désactivez pas NLA, la validation des certificats ou le chiffrement comme première réponse de routine. Un guide de dépannage dédié au Remote Desktop peut approfondir le diagnostic lorsque ces tests limités identifient la couche défaillante mais pas sa cause.

Clients Linux, gestionnaires de connexion et alternatives MSTSC

Choisissez une alternative en fonction du travail réel. Une implémentation RDP Linux, un gestionnaire de connexion Windows, une publication d'application centralisée et un produit de support à distance résolvent des problèmes différents.

Besoin	Catégorie appropriée	Exemple et limite principale
Une connexion RDP Windows traditionnelle	Client Windows intégré	MSTSC ; spécifique à Windows et non un système de publication
De nombreux points de terminaison RDP Windows enregistrés	Gestionnaire de connexion	Microsoft Sysinternals RDCMan ; organise les connexions mais ne crée pas une architecture d'accès
RDP depuis Linux	Mise en œuvre RDP multiplateforme	FreeRDP ; la syntaxe doit être vérifiée par rapport à la version installée
Applications ou bureaux Windows assignés	Livraison centralisée d'accès à distance	Un système de publication d'applications ; nécessite un déploiement et une autorisation côté serveur
Contrôle du helpdesk d'un appareil utilisateur	Logiciel de support à distance	Conçu pour les flux de travail des techniciens et du support plutôt que pour la livraison d'applications centralisée

Il n'y a pas de version Linux de mstsc.exe

mstsc.exe est un exécutable Windows. FreeRDP est une implémentation RDP open-source, multiplateforme et maintenue, et xfreerdp est un client Linux courant associé au projet.

La syntaxe de commande FreeRDP peut changer entre les versions majeures. Vérifiez le client installé. --aide output et la documentation actuelle de FreeRDP au lieu de copier une ancienne commande sans vérification.

Utilisez le Gestionnaire de connexions Bureau à distance pour de nombreuses connexions Windows enregistrées

Microsoft Sysinternals positionne le Gestionnaire de connexion Bureau à distance , ou RDCMan, en tant que gestionnaire pour de nombreuses connexions de Bureau à distance. Microsoft a documenté la version 3.22 de RDCMan le 15 octobre 2026.

RDCMan prend en charge les groupes de serveurs, les paramètres hérités, les vignettes, les magasins d'identifiants et les actions appliquées aux groupes de connexions. Il organise les sessions RDP administratives, mais il ne publie pas d'applications, ne remplace pas un RD Gateway, ne fournit pas de flux de travail de support à distance et ne détermine pas la sécurité du chemin d'accès.

Choisissez une alternative par rapport au travail actuel

• Utilisez MSTSC pour une connexion RDP traditionnelle individuelle depuis Windows.
• Utilisez RDCMan lorsqu'un administrateur Windows doit organiser de nombreux points de terminaison RDP.
• Utilisez un client RDP maintenu tel que FreeRDP sur Linux.
• Utilisez un logiciel de support à distance pour le contrôle du helpdesk avec ou sans assistance.
• Utilisez un système de publication d'applications lorsque les utilisateurs ont besoin d'applications Windows ou de bureaux attribués de manière centralisée.

Utiliser MSTSC avec TSplus Remote Access

TSplus Remote Access peut fournir des applications Windows assignées ou des bureaux complets via Microsoft MSTSC, un autre client compatible RDP, un client généré ou un accès par navigateur. MSTSC est une méthode de connexion prise en charge, pas l'ensemble de l'architecture du produit.

MSTSC peut être une méthode de connexion.

Avec le méthode MSTSC documentée , les utilisateurs se connectent via une fenêtre standard de Bureau à distance aux ressources fournies par TSplus Remote Access. L'imprimante universelle n'est pas prise en charge par cette méthode de connexion MSTSC.

L'accès par navigateur est une expérience de connexion distincte et nécessite l'édition Web Mobile de TSplus Remote Access ou supérieure. Les clients générés sont une autre option et peuvent prendre en charge sélection de moniteur documentée La compatibilité doit être vérifiée pour le type de connexion choisi plutôt que de supposer que chaque propriété RDP de Microsoft a été validée avec TSplus Remote Access.

Lorsque la publication centralisée est plus utile que plusieurs fichiers .rdp

Gardez MSTSC lorsque l'exigence est un client RDP simple pour un point de terminaison connu. Considérez TSplus Remote Access lorsque la véritable tâche consiste à publier et attribuer des applications Windows ou des bureaux de manière centralisée au lieu de maintenir des fichiers RDP isolés pour chaque utilisateur et serveur.

De nombreux déploiements peuvent utiliser un serveur. Les capacités de passerelle, de ferme et d'équilibrage de charge nécessitent l'édition Enterprise de TSplus Remote Access, et une ferme est une option plutôt qu'une exigence préalable. TSplus Remote Access n'est pas un VDI complet et n'héberge pas l'infrastructure du client.

Si vos utilisateurs ont besoin d'applications ou de bureaux Windows attribués de manière centralisée plutôt que d'une collection croissante de fichiers RDP individuels, comparez les éditions TSplus Remote Access et les méthodes de connexion.

La limitation de TSplus 2FA avec MSTSC

Limitation de la méthode de connexion : TSplus authentification à deux facteurs est un module complémentaire payant nécessitant TSplus Remote Access Web Mobile ou Enterprise edition. Il ne fonctionne pas avec Microsoft mstsc.exe Les connexions RDP directes sont refusées pour les utilisateurs activés pour TSplus 2FA, donc ces utilisateurs doivent se connecter via le portail web pris en charge ou un client généré compatible.

MFA devrait être une base pour l'accès à distance et administratif, mais c'est une seule couche. Elle doit être combinée avec des mises à jour, des verrouillages, une protection contre les attaques par force brute, le principe du moindre privilège, la segmentation et la surveillance.

Une liste de contrôle de sécurité et de licence limitée

MSTSC contrôle une connexion client. Ses commutateurs et paramètres enregistrés ne peuvent pas sécuriser ou licencier le déploiement dans son ensemble. Avant de mettre une connexion en production, vérifiez l'architecture environnante :

• Gardez les écouteurs RDP bruts hors d'Internet public.
• Utilisez une passerelle, un point d'entrée HTTPS, un proxy inverse ou un chemin privé protégé.
• Utilisez des certificats valides pour les points d'entrée web et de passerelle.
• Exiger MFA via une méthode de connexion qui la prend en charge.
• Appliquer le principe du moindre privilège, verrouillage de compte et protection contre les attaques par force brute RDP .
• Restreindre les adresses IP sources, les pays ou les appareils de confiance là où la base d'utilisateurs le permet.
• Désactiver le presse-papiers, le lecteur, l'imprimante et la redirection des périphériques dont le flux de travail n'a pas besoin.
• Patch Windows, logiciels d'accès à distance et outils de sécurité.
• Utiliser Surveillance du serveur TSplus pour surveiller les sessions actives et la santé du serveur.
• Segmenter le réseau et désactiver les ports et services inutilisés.
• Séparer les comptes administratifs des comptes utilisateurs quotidiens.
• Sauvegarder les configurations d'accès et tester la restauration.
• Validez les licences Windows Server, RDS CAL, Office et Microsoft 365 avec Microsoft ou un partenaire de licence qualifié.

MSTSC est un client dans le chemin d'accès. Une commande correcte ou un fichier RDP peut établir une connexion, mais cela ne garantit pas que le déploiement est sécurisé, correctement autorisé ou correctement licencié.

Vous pouvez commencer un essai gratuit de 15 jours de TSplus Remote Access pour tester l'application et la livraison de bureau sur votre propre infrastructure Windows, puis valider la licence Microsoft requise pour votre configuration.