Hogyan engedélyezzük az RDP-t a távoli nyilvántartáson keresztül a Windows 10-en

Mik a követelmények az RDP engedélyezéséhez a távoli nyilvántartáson keresztül a Windows 10 rendszerben?

Mielőtt bármilyen változtatást végezne a rendszerleíró adatbázison, fontos ellenőrizni, hogy a környezete támogatja a távoli adminisztrációt, és hogy minden szükséges szolgáltatás és engedély be van állítva.

Biztosítsa, hogy a célrendszer Windows 10 Pro vagy Enterprise rendszert futtat.

A Windows 10 Home Edition nem tartalmazza az RDP szerver komponenst (TermService). Az RDP engedélyezésére tett kísérlet egy Home edition eszközön nem eredményez működő RDP munkamenetet, még akkor sem, ha a rendszerleíró adatbázis kulcsai helyesen vannak konfigurálva.

A kiadást távolról is ellenőrizheti a PowerShell segítségével:

Invoke-Command -ComputerName TargetPC -ScriptBlock {
        (Get-WmiObject -Class Win32_OperatingSystem).Caption

Adminisztratív hozzáférés megerősítése

A rendszerleíró adatbázis módosításai és a szolgáltatáskezelés helyi rendszergazdai jogosultságokat igényelnek. Ha tartományi hitelesítő adatokat használ, győződjön meg arról, hogy a felhasználói fiók része az Administrators csoportnak a távoli gépen.

Hálózati kapcsolatok és szükséges portok érvényesítése

A távoli nyilvántartás és az RDP specifikus portokra támaszkodik:

• TCP 445 (SMB) – Használva a Távoli Rendszertár és RPC kommunikációhoz
• TCP 135 (RPC végpont térkép) – Használva távoli WMI és szolgáltatások által
• TCP 3389 – Szükséges RDP kapcsolatokhoz

Futtasson egy portellenőrzést:

Test-NetConnection -ComputerName TargetPC -Port 445  
Test-NetConnection -ComputerName TargetPC -Port 3389

Ellenőrizze a Távoli Regisztrációs Szolgáltatás állapotát

A Távoli Nyilvántartás szolgáltatást Automatikusra kell állítani és elindítani:

Invoke-Command -ComputerName TargetPC -ScriptBlock {
    Get-Service -Name RemoteRegistry
}

Hogyan engedélyezheti és indíthatja el a Távoli Rendszertár Szolgáltatást?

A Távoli Nyilvántartás szolgáltatás gyakran alapértelmezés szerint le van tiltva biztonsági okokból. Az IT szakembereknek engedélyezniük és el kell indítaniuk, mielőtt bármilyen távoli nyilvántartási műveletet megpróbálnának.

A PowerShell használata a szolgáltatás konfigurálásához

A szolgáltatást beállíthatja automatikus indításra, és azonnal elindíthatja:

Invoke-Command -ComputerName TargetPC -ScriptBlock {
    Set-Service -Name RemoteRegistry -StartupType Automatic
    Start-Service -Name RemoteRegistry
}

Ez biztosítja, hogy a szolgáltatás újraindítás után is aktív maradjon.

A Services.msc használata egy távoli számítógépen

Ha a PowerShell távoli elérése nem elérhető:

1. Futtassa a services.msc-t
2. Kattintson a műveletre > Csatlakozás egy másik számítógéphez
3. Adja meg a célgép hosztnevét vagy IP-címét
4. Helyezze el a Távoli Rendszertárat, kattintson a jobb gombbal > Tulajdonságok
5. Állítsa a "Startup Type" értékét Automatikusra
6. Kattintson a Start gombra, majd az OK gombra

Miután a szolgáltatás fut, a távoli konzolról történő rendszerleíró adatbázis szerkesztés lehetővé válik.

Hogyan módosíthatja a regisztrációs adatbázist az RDP engedélyezéséhez?

Az RDP engedélyezésének alapja egyetlen rendszerleíró érték: fDenyTSConnections A 1-ről 0-ra való változtatás engedélyezi az RDP szolgáltatást a gépen.

Módszer 1: Regedit használata és "Hálózati nyilvántartás csatlakoztatása"

Ez egy grafikus felhasználói felületen alapuló módszer, amely alkalmi feladatokhoz alkalmas:

1. Futtatás regedit.exe mint rendszergazda a helyi gépén
2. Kattintson a Fájl > Hálózati nyilvántartás csatlakoztatása lehetőségre
3. Adja meg a célgép hosztnevét
4. Navigáljon ide:

   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server

5. Kattintson duplán fDenyTSConnections és változtassa meg az értékét erre 0

Megjegyzés: Ez a változás nem konfigurálja automatikusan a Windows tűzfalat. Ezt külön kell elvégezni.

Módszer 2: A PowerShell használata a rendszerleíró adatbázis szerkesztéséhez

Automatizálás vagy szkriptek esetén a PowerShell a preferált:

Invoke-Command -ComputerName TargetPC -ScriptBlock {
    Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server' -Name 'fDenyTSConnections' -Value 0
}

Azt is ellenőrizheti, hogy az érték megváltozott:

Invoke-Command -ComputerName TargetPC -ScriptBlock {
    Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server' | Select-Object fDenyTSConnections
}

Hogyan engedélyezheti a tűzfal szabályokat az RDP-hez?

Alapértelmezés szerint a Windows tűzfal blokkolja a bejövő RDP kapcsolatokat. Kifejezetten engedélyeznie kell őket a megfelelő szabálycsoporton keresztül.

Tűzfal-szabály engedélyezése PowerShell segítségével

Invoke-Command -ComputerName TargetPC -ScriptBlock {
    Enable-NetFirewallRule -DisplayGroup "Remote Desktop"
}

Ez lehetővé teszi az összes előre definiált szabályt a "Remote Desktop" csoport alatt.

Tűzfal-szabály engedélyezése PsExec és Netsh használatával

Ha a PowerShell távoli elérése nem elérhető, PsExec A Sysinternals segíthet:

psexec \\TargetPC -u AdminUser -p Jelszó netsh advfirewall tűzfal beállítás szabály csoport="távoli asztal" új engedélyezve=Igen

Biztonsági tipp: Ha domain GPO-kat használ, központosított politikán keresztül nyomhatja az RDP-hozzáférést és a tűzfal szabályokat.

Hogyan ellenőrizheti és tesztelheti az RDP-hozzáférést?

A konfiguráció megerősítéséhez:

Használja a Test-NetConnection parancsot

Ellenőrizze, hogy port 3389 figyel:

Test-NetConnection -ComputerName TargetPC -Port 3389

Látnod kellene TcpTestSucceeded: Igaz

RDP kapcsolat kísérlete

Nyitva mstsc.exe , adja meg a cél hosztnevet vagy IP-címet, és csatlakozzon rendszergazdai hitelesítő adatokkal.

Ha hitelesítési kérést lát, az RDP munkamenete sikeresen elindult.

Használja az eseménynaplókat a hibaelhárításhoz

Ellenőrizze az eseménynézőt a távoli rendszeren:

Alkalmazások és Szolgáltatások Naplói > Microsoft > Windows > TerminalServices-RemoteConnectionManager

Keressen hibákat, amelyek a kapcsolódási kísérletekkel vagy a hallgató hibáival kapcsolatosak.

Milyen biztonsági szempontokat kell figyelembe venni az RDP távoli engedélyezésekor?

Az RDP engedélyezése jelentős támadási felületet nyit meg. Kritikus fontosságú a környezet megerősítése, különösen, amikor az RDP-t hálózatokon keresztül tesszük elérhetővé.

Kitettség minimalizálása

• Használja a hálózati szintű hitelesítést (NLA)
• Korlátozza a bejövő RDP-hozzáférést a Windows tűzfal vagy a perem tűzfalak segítségével ismert IP-tartományokra.
• Kerüld el az RDP közvetlen internetre való kitettségét.

Monitorozza a regisztrációs változásokat

A fDenyTSConnections a kulcsot általában módosítják a rosszindulatú programok és a támadók, hogy lehetővé tegyék a laterális mozgást. Használjon olyan megfigyelő eszközöket, mint:

• Windows esemény továbbítás
• Elastic Security vagy SIEM platformok
• PowerShell naplózás és rendszerleíró adatbázis auditálás

Használja a Hitelesítő Adatok Higiénét és a MFA-t

Biztosítsa, hogy minden RDP-hozzáféréssel rendelkező fiók rendelkezzen:

• Bonyolult jelszavak
• Többtényezős hitelesítés
• A legkisebb jogosultságok hozzárendelése

Mik a hibaelhárítás gyakori problémái?

Ha az RDP továbbra sem működik a rendszerleíró adatbázis és a tűzfal konfigurálása után, több lehetséges gyökérokot kell megvizsgálni:

Hiba: A 3389-es port nincs megnyitva

Használja a következő parancsot annak ellenőrzésére, hogy a rendszer figyeli az RDP kapcsolatokra:

netstat -an | findstr 3389

Ha nincs hallgató, a Távoli Asztali Szolgáltatások (TermService) lehet, hogy nem fut. Indítsa el manuálisan, vagy indítsa újra a gépet. Ezenkívül győződjön meg arról, hogy a Csoportházirend beállításai nem tiltanak le véletlenül szolgáltatást.

Hiba: A felhasználó nem jogosult a bejelentkezésre RDP-n keresztül

Győződjön meg arról, hogy a tervezett felhasználó tagja a Remote Desktop Users csoportnak, vagy hozzáférést kapott a Csoportházirenden keresztül:

Számítógép konfiguráció > Házirendek > Windows beállítások > Biztonsági beállítások > Helyi házirendek > Felhasználói jogok hozzárendelése > Bejelentkezés engedélyezése a Távoli asztali szolgáltatásokon keresztül

A csoporttagság ellenőrzéséhez használja:

net localgroup "Remote Desktop Users"

Azt is erősítse meg, hogy nincs olyan ellentmondásos irányelv, amely felhasználókat eltávolít ebből a csoportból.

Hiba: A távoli nyilvántartás vagy RPC nem válaszol

Ellenőrizze, hogy:

• A Távoli Nyilvántartás szolgáltatás fut.
• A Windows tűzfal vagy bármely harmadik féltől származó vírusirtó nem blokkolja a 135-ös vagy 445-ös TCP portokat.
• A célrendszer Windows Management Instrumentation (WMI) infrastruktúrája működőképes.

A szélesebb láthatóság érdekében használjon olyan eszközöket, mint a wbemtest vagy a Get-WmiObject az RPC kommunikáció érvényesítéséhez.

Egyszerűsítse a Távoli Asztal Kezelést a TSplus Remote Access segítségével

Bár a manuális regisztrációs és tűzfalbeállítás hatékony, nagy léptékben bonyolult és kockázatos lehet. TSplus Távhozzáférés biztonságos, központosított és hatékony alternatívát kínál a hagyományos RDP beállításokhoz képest. Webalapú hozzáféréssel, többfelhasználós támogatással és beépített biztonsági funkciókkal a TSplus ideális megoldás azok számára, akik szeretnék egyszerűsíteni a távoli asztal szolgáltatását és kezelését.

Következtetés

Az RDP engedélyezése a Távoli Regisztrációs adatbázison a Windows 10-en rugalmas, alacsony szintű módszert kínál az IT-adminisztrátorok számára a távoli hozzáférés biztosítására. Akár nagy mennyiségben konfigurálja az eszközöket, akár a fej nélküli rendszerekhez való hozzáférést hibaelhárítja, ez a módszer pontos és scriptelhető megoldást nyújt. Mindig párosítsa erős tűzfal-szabályokkal, felhasználói szintű jogosultságokkal és biztonsági megfigyeléssel a megfelelőség biztosítása és a visszaélések elleni védelem érdekében.