mstsc Command: Switches, Shortcuts e impostazioni del file .rdp

MSTSC, RDP, RDS e TermService sono cose diverse

I termini sono correlati, ma descrivono parti diverse di un'implementazione di accesso remoto. Confonderli può indirizzare la risoluzione dei problemi nella direzione sbagliata, specialmente quando qualcuno cerca un "servizio MSTSC" o presume che un interruttore MSTSC cambi il server.

Termine	Cosa è	Dove viene eseguito
mstsc.exe	il classico client di connessione Desktop Remoto di Microsoft	Il dispositivo client Windows
RDP	Il protocollo Desktop Remoto che trasmette display, input e risorse reindirizzate	Tra il client e il sistema remoto
RDS	Servizi Desktop Remoto, i ruoli di Windows Server di Microsoft per sessioni remote, distribuzione delle applicazioni, gateway e servizi correlati	infrastruttura di Windows Server
Servizio di terminale	Il servizio Remote Desktop Services associato alle connessioni RDP lato server	Il host di Windows

Cosa fa mstsc.exe

documenti Microsoft mstsc.exe come il client utilizzato per connettersi a un server Host di Sessione Desktop Remoto o a un altro computer remoto. Puoi aprirlo da Esegui, Prompt dei comandi, PowerShell o un collegamento, con o senza opzioni della riga di comando.

mstsc  
mstsc.exe  
mstsc /?  
mstsc "C:\Connections\Accounting.rdp"

I primi due comandi aprono il client grafico. mstsc /? visualizza la sintassi dei comandi del client installato. Passare un file di connessione apre il profilo memorizzato in quel file.

MSTSC è un client, non un protocollo o un servizio

Documentazione del Protocollo Desktop Remoto di Microsoft descrive RDP come il protocollo client-server. Sul host, il servizio che gli amministratori normalmente intendono per "servizio MSTSC" è Servizio di terminale Il servizio Port Redirector UserMode dei Servizi Desktop Remoti, UmRdpService può anche apparire durante la diagnosi lato host.

Il seguente comando PowerShell controlla quei servizi su un host Windows. Non controlla un servizio MSTSC perché non esiste alcun servizio del genere.

Get-Service TermService, UmRdpService

MSTSC è anche un client di accesso remoto, non un flusso di lavoro di helpdesk assistito. Se un tecnico ha bisogno di visualizzare o controllare il dispositivo di un utente per supporto, utilizzare software di supporto remoto progettato per il consenso, i flussi di lavoro dei tecnici e la gestione delle sessioni.

Windows 10, Windows 11 e versioni precedenti di Windows

La attuale guida ai comandi MSTSC di Microsoft elenca Windows 10, Windows 11 e Windows Server 2016 fino al 2025 tra le versioni applicabili. Windows 8 potrebbe ancora apparire nelle ricerche storiche e negli ambienti più vecchi, ma non è un obiettivo di distribuzione attuale nell'elenco di applicabilità di Microsoft. Controlla mstsc /? sul client attuale perché il comportamento disponibile può anche dipendere dalla sua versione di Windows e dalle politiche.

Riferimento ai parametri della riga di comando MSTSC

La seguente tabella segue il contratto attuale del comando MSTSC di Microsoft. Esclude intenzionalmente le opzioni non documentate, inclusi /migrare , che non appare nell'attuale riferimento ai comandi di Microsoft.

Interruttore	Scopo	Vincolo importante	Esempio
	Apre un file di connessione .rdp salvato	Percorsi di citazione contenenti spazi	mstsc "C:\Connections\Sales.rdp"
/v: [: ]	Specifica l'host remoto e la porta dell'ascoltatore opzionale	Seleziona una destinazione ma non abilita RDP né cambia la porta host.	mstsc /v:server01
/g:	Specifica un gateway RD	Microsoft lo documenta come letto quando /v fornisce la destinazione	mstsc /v:server01 /g:gateway.example.com
/admin	Richiede una sessione per amministrare un server	Non concede diritti di amministratore né elude l'autenticazione e la licenza.	mstsc /v:server01 /admin
/f o /schermo intero	Avvia la sessione in modalità a schermo intero	Usa Ctrl+Alt+Break per cambiare modalità di visualizzazione durante una sessione	mstsc /v:server01 /f
/w:	Imposta la larghezza iniziale della finestra	Di solito abbinato a /h	mstsc /v:server01 /w:1920 /h:1080
/h:	Imposta l'altezza iniziale della finestra	Di solito abbinato a /w	mstsc /v:server01 /w:1920 /h:1080
/publico	Esegue la connessione Desktop Remoto in modalità pubblica	Previene la memorizzazione della password e della bitmap per la connessione, ma non è una politica di sicurezza completa per dispositivi condivisi.	mstsc /v:server01 /public
/span	Estende un desktop remoto su monitor locali compatibili	Microsoft richiede monitor allineati orizzontalmente con la stessa risoluzione	mstsc /v:server01 /span
/multimon	Utilizza la disposizione del monitor client nella sessione remota	Le capacità e la politica dell'host si applicano ancora.	mstsc /v:server01 /multimon
/l	Elenca i monitor locali e i loro ID	Usa gli ID con la proprietà selectedmonitors	mstsc /l
/modifica	Apre un file di connessione salvato per la modifica	Il percorso deve identificare un file .rdp esistente	mstsc /edit "C:\Connections\Sales.rdp"
/administratoreRiservato	Utilizza la modalità Amministratore Riservato per evitare di inviare credenziali riutilizzabili all'host remoto	Comporta /admin e può influenzare l'accesso ad altre risorse di rete dalla sessione remota	mstsc /v:server01 /restrictedAdmin
/remoteGuard	Utilizza Windows Defender Remote Credential Guard	Le richieste di autenticazione vengono reindirizzate al client; si applicano requisiti di compatibilità e policy.	mstsc /v:server01 /remoteGuard
/prompt	Forza un prompt di credenziali	Utile quando si testa se le credenziali memorizzate stanno causando un problema	mstsc /v:server01 /prompt
/shadow:	Sfondare una sessione RDS esistente	Richiede un ID sessione valido, autorizzazione e politica di supporto	mstsc /shadow:3
controllo	Controllo delle richieste durante il shadowing	Usato con /shadow	mstsc /shadow:3 /control
/noConsentPrompt	Richieste di shadowing senza chiedere il consenso all'utente della sessione	Richiede autorizzazione e supporto della politica; utilizzare solo all'interno di un processo amministrativo auditato	mstsc /shadow:3 /control /noConsentPrompt
/?	Visualizza aiuto per i comandi	Utile per controllare la sintassi disponibile sulla build di Windows installata	mstsc /?

Interruttori che possono essere combinati

Inizia con la destinazione, quindi aggiungi solo il comportamento di cui ha bisogno la connessione. I comandi leggibili sono più facili da risolvere rispetto alle scorciatoie che contengono diverse opzioni non necessarie.

mstsc /v:server01 /f  
mstsc /v:server01 /w:1920 /h:1080  
mstsc /v:server01.internal /g:gateway.example.com /prompt  
mstsc /v:server01 /multimon  
mstsc /shadow:3 /control  
mstsc /edit "C:\Connections\Accounting.rdp"

Questi esempi utilizzano nomi di server interni. Se una connessione attraversa Internet, il listener RDP della destinazione non dovrebbe essere pubblicato direttamente su un indirizzo pubblico.

Cosa non fa /admin

/admin richiede una sessione di server amministrativo. Non rende l'account di connessione un amministratore, non crea un diritto aggiuntivo per connettersi, non bypassa l'autenticazione a livello di rete né sovverte la politica dell'host.

Limite di licenza: /admin , il shadowing, i comandi MSTSC e i file salvati non rimuovono gli obblighi di licenza di Microsoft. Microsoft afferma che Sono richiesti i CAL RDS in ambienti RDS applicabili. La licenza di Windows Server, RDS CAL, Office e Microsoft 365 dipende dal sistema operativo, dal modello di distribuzione, dagli utenti o dai dispositivi e dall'uso delle applicazioni. Convalida la tua configurazione con Microsoft o un partner di licenza qualificato.

Amministratore riservato e Guardia Remota

Restricted Admin e Remote Credential Guard sono modalità di protezione delle credenziali, non architetture complete di sicurezza per l'accesso. Microsoft le documenta come alternative nella sintassi MSTSC, quindi non specificare entrambe per la stessa connessione.

Modalità	Comportamento delle credenziali	Considerazione operativa
Amministratore riservato	Evita di trasmettere credenziali riutilizzabili all'host remoto	Implicazioni /admin; l'accesso successivo dalla sessione remota può fallire perché le credenziali dell'utente non sono disponibili lì.
Guardia delle credenziali remota	Reindirizza le richieste di autenticazione al client	Richiede configurazione compatibile di Windows, dominio e policy

Nessuna modalità sostituisce la patching, il principio del minimo privilegio, l'autenticazione multifattoriale, la segmentazione, i controlli di blocco o il monitoraggio. Testare la compatibilità con i servizi a cui l'amministratore deve accedere dalla sessione remota.

Comandi MSTSC pratici per attività comuni

Avvia una sessione a schermo intero o di dimensioni fisse

Usa /f o /Schermo intero per schermo intero. Usa /w e /h quando una dimensione della finestra prevedibile è più utile.

mstsc /v:server01 /f mstsc /v:server01 /w:1920 /h:1080

Microsoft documenta un intervallo da 200 a 8192 pixel per il corrispondente larghezza desktop e altezza desktop Proprietà RDP. L'intervallo di proprietà documentato non dovrebbe essere considerato una garanzia che ogni risoluzione sia pratica su ogni configurazione di client, host o monitor.

Apri o modifica un file RDP

Passare il percorso del file apre la connessione. Aggiungendo /modifica apre le sue impostazioni in Connessione Desktop Remoto anziché avviare immediatamente la sessione.

mstsc "C:\Connections\Accounting Department.rdp" mstsc /edit "C:\Connections\Accounting Department.rdp"

Connettersi tramite un gateway RD

Il /v il valore identifica la destinazione, mentre /g identifica il gateway RD utilizzato per raggiungerlo. I documenti Microsoft /g mentre viene letto quando /v è fornito anche.

mstsc /v:server01.internal /g:gateway.example.com /prompt

Regola di accesso a Internet: Se la destinazione deve essere raggiunta attraverso Internet, utilizzare un gateway protetto, un punto di ingresso HTTPS, un reverse proxy o un percorso di accesso privato invece di inoltrare il listener RDP della destinazione. Un corretto sintatticamente /g o /v Il comando prova solo che il cliente ha istruzioni di connessione. Non prova che il percorso di accesso sia progettato in modo sicuro.

Esegui il shadowing di una sessione esistente

Il shadowing richiede l'ID di una sessione esistente. controllo richieste interazione con quella sessione, mentre /noConsentPrompt richieste che MSTSC non chieda il consenso all'utente della sessione.

mstsc /shadow:3 /control

Autorizzazione, politica, stato della sessione e auditing continuano ad applicarsi. L'ombra è una capacità amministrativa di RDS, non un sostituto di un prodotto di supporto remoto assistito con code per tecnici, consenso da parte dell'utente e registrazioni del helpdesk.

Monitor multipli: /multimon, /span, /l e monitor selezionati

Le quattro opzioni risolvono problemi diversi. Scegli la modalità prima di aggiungere le impostazioni del monitor a un profilo riutilizzabile.

Opzione	Comportamento	Requisito o caso d'uso
/multimon	Crea una sessione remota consapevole del monitor che segue la disposizione locale	Utilizzare quando le applicazioni devono riconoscere monitor remoti separati
/span	Crea un desktop sovradimensionato che si estende su più monitor	Richiede monitor allineati orizzontalmente con la stessa risoluzione
/l	Elenca gli ID dei monitor e la geometria	Esegui prima di selezionare un sottoinsieme di monitor
monitor selezionati:s:	Seleziona ID monitor specifici in un file RDP	Richiede la modalità multi-monitor e un layout di monitor compatibile

Usa /multimon per una sessione remota consapevole del monitor

/multimon riproduce la disposizione del monitor lato client nella sessione remota anziché presentare una superficie sovradimensionata. L'ambiente remoto può quindi trattare i display come monitor separati, soggetti alle capacità e alle politiche dell'host.

mstsc /v:server01 /multimon

Usa /span solo per un layout orizzontale compatibile

/span non è un alias per /multimon Microsoft richiede che i monitor utilizzino la stessa risoluzione e siano allineati orizzontalmente. Se i display hanno risoluzioni diverse o un offset verticale, utilizzare invece la modalità multi-monitor.

Trova gli ID dei monitor e seleziona monitor specifici

Elenca prima gli ID dei monitor che MSTSC vede. Quindi posiziona gli ID richiesti in un file RDP salvato.

mstsc /l

usa multimon:i:1 selezionato monitor:s:0,2

Microsoft documenta ulteriori vincoli di layout per i monitor selezionati, inclusa la necessità che il set scelto formi un'adeguata disposizione rettangolare. Testa il profilo sulla workstation prevista perché la numerazione dei monitor può cambiare quando cambiano i display, le docking station o le impostazioni grafiche.

Scorciatoie da tastiera di Remote Desktop

Usa Ctrl+Alt+Fine inviare l'equivalente remoto di Ctrl+Alt+Del Windows intercetta Ctrl+Alt+Del localmente, motivo per cui MSTSC utilizza una combinazione diversa per la sessione remota.

Combinazione di tasti locale	Azione remota	Limitazione
Ctrl+Alt+Fine	Equivalente remoto di Ctrl+Alt+Del	Le sessioni nidificate e RemoteApp possono cambiare dove viene gestito il comando.
Ctrl+Alt+Break	Passa tra la visualizzazione in finestra e a schermo intero	Alcune tastiere etichettano il tasto Pause o richiedono una combinazione Fn.
Alt+Page Up	Scambia le applicazioni remote da sinistra a destra	Contropartita remota di Alt+Tab
Alt+Page Down	Scambia le applicazioni remote da destra a sinistra	Controparti remote per il passaggio inverso delle applicazioni
Alt+Home	Apre il menu Start remoto	Si applica alla sessione desktop remoto
Ctrl+Alt+Plus	Copia un'immagine dell'intera finestra della sessione remota negli appunti	Microsoft documenta il tasto più sul tastierino numerico
Ctrl+Alt+Meno	Copia un'immagine della finestra remota attiva negli appunti	Microsoft documenta il tasto meno sul tastierino numerico
Ctrl+Alt+Home	Attiva la barra di connessione in modalità a schermo intero	Rilevante quando la barra di connessione è nascosta

Comportamento della tastiera in sessioni finestrate, a schermo intero, nidificate e RemoteApp

Il keyboardhook Il controllo delle proprietà RDP determina se le combinazioni di tasti di Windows si applicano localmente, da remoto o solo alla sessione remota in modalità a schermo intero. Le sessioni nidificate aggiungono un'altra possibile destinazione per una scorciatoia, e RemoteApp non riproduce ogni comportamento della tastiera del desktop completo.

Se una combinazione di tasti raggiunge il computer sbagliato, prima prova una singola sessione non nidificata e rivedi. keyboardhook Non indebolire le impostazioni di autenticazione o di sicurezza dell'host per risolvere un problema di instradamento degli input.

Default.rdp e file .rdp riutilizzabili

MSTSC memorizza le preferenze client per utente in un file nascosto chiamato Default.rdp I file RDP nominati separatamente possono essere salvati altrove per destinazioni specifiche, gateway, layout dei monitor e regole di reindirizzamento.

%USERPROFILE%\Documents\Default.rdp

Cosa è Default.rdp

documenti Microsoft Default.rdp come un file nascosto creato o aggiornato da Remote Desktop Connection nella cartella Documenti dell'utente. Influisce sulle preferenze del client di quell'utente. Rinominarlo o ripristinarlo non abilita Remote Desktop, non cambia un listener né altera la politica sull'host remoto.

Per verificare se sono coinvolte impostazioni client obsolete:

1. Chiudi tutte le finestre di connessione Desktop Remoto.
2. Esegui il backup o rinomina Default.rdp .
3. Apri di nuovo MSTSC in modo che possa ricreare le preferenze del client memorizzate.
4. Ritestare la connessione prima di copiare le vecchie impostazioni nel nuovo file.

sintassi del file RDP

Un file RDP è una configurazione basata su testo. Una riga tipica segue proprietà:tipo:valore , dove io identifica un intero e s identifica una stringa.

full address:s:server01.internal  
screen mode id:i:2  
use multimon:i:1  
redirectclipboard:i:1

Non assumere che ogni proprietà documentata da Microsoft funzioni in modo identico con ogni PC remoto, RDS, Azure Virtual Desktop o connessione TSplus. La pagina delle proprietà RDP supportate da Microsoft copre diversi prodotti RDP e assegna l'applicabilità per proprietà. La versione del client, il tipo di destinazione, la politica del server e il metodo di connessione possono tutti essere importanti.

Come interagiscono gli switch, le impostazioni dei file, le scelte dell'interfaccia grafica e le politiche

Microsoft non pubblica un'unica gerarchia di precedenza universale che copra ogni comando, proprietà del file RDP, impostazione grafica, Criteri di gruppo e politica dell'host. Evita di impostare lo stesso comportamento in modo diverso in diversi luoghi.

Testing rule: Quando un conflitto deve essere investigato, utilizzare un profilo usa e getta e registrare la build di Windows, la versione del client, il tipo di destinazione e le politiche efficaci. Cambiare un valore alla volta. Un'impostazione del client non può sovrascrivere una politica dell'host o della raccolta che vieta il comportamento richiesto.

Riferimento ai parametri del file RDP

Le tabelle sottostanti coprono proprietà che sono particolarmente utili con MSTSC. I valori riflettono la documentazione delle proprietà RDP supportate da Microsoft, ma le etichette di applicabilità di Microsoft rimangono autoritative per ciascun prodotto di connessione. Una proprietà documentata per un prodotto RDP di Microsoft non stabilisce la compatibilità con ogni altro obiettivo.

Proprietà di destinazione, identità e autenticazione

Proprietà e tipo	Valore accettato	Scopo	Nota di sicurezza o applicabilità
indirizzo completo:s:	Nome host o indirizzo, eventualmente con una porta	Identifica la destinazione principale	Verifica l'identità prima di distribuire il file
indirizzo completo alternativo:s:	Nome o indirizzo host alternativo	Fornisce un indirizzo di connessione alternativo dove supportato	L'applicabilità dipende dal prodotto RDP
nome utente:s:	Nome utente nel formato richiesto dell'account	Compila automaticamente il nome dell'account	Non confondere un nome memorizzato con l'archiviazione sicura delle credenziali.
dominio:s:	Nome di dominio	Precompila il dominio di autenticazione	Il formato dell'account e il fornitore di identità controllano ancora l'accesso.
richiesta di credenziali:i:	0 o 1	Controlla se all'utente viene richiesta l'autenticazione.	La politica può comunque richiedere un prompt
promptcredentialonce:i:	0 o 1	Controlla se le credenziali del gateway e della destinazione vengono richieste una sola volta, dove supportato.	I metodi di autenticazione del gateway e del target devono essere compatibili
livello di autenticazione:i:	0, 1 o 2	Seleziona se l'autenticazione del server non riuscita deve essere ignorata, bloccare la connessione o produrre un avviso.	Utilizzare un'impostazione rigorosa appropriata all'ambiente gestito; non sopprimere routine di avviso sull'identità.
abilitarecredsspsupport:i:	0 o 1	Controlli Sicurezza Credenziali Supporto Provider da utilizzare dove applicabile	Cambiarlo influisce sull'autenticazione e sulla compatibilità con l'autenticazione a livello di rete.
negoziare il livello di sicurezza:i:	0 o 1	Controlla la negoziazione del livello di sicurezza dove supportato	Non disabilitare la negoziazione come passo di risoluzione dei problemi di routine.

I file riutilizzabili non devono contenere password in testo semplice incorporate. Utilizzare sistemi di archiviazione delle credenziali e controlli di autenticazione approvati piuttosto che distribuire segreti all'interno dei profili di connessione.

Visualizza e monitora le proprietà

Proprietà e tipo	Valore o intervallo accettato	Scopo	Contropartita o nota
modalità schermo id:i:	1 finestra, 2 schermo intero	Imposta la modalità di visualizzazione iniziale	Relativo a /f e /fullscreen
desktopwidth:i:	200 a 8192 pixel	Imposta la larghezza del desktop remoto	Relativo a /w
desktopheight:i:	200 a 8192 pixel	Imposta l'altezza del desktop remoto	Relativo a /h
session bpp:i:	15, 16, 24 o 32	Imposta la profondità del colore della sessione	Il supporto dell'host e la politica possono limitarlo
usa multimon:i:	0 o 1	Abilita una sessione multi-monitor consapevole del monitor	Relativo a /multimon
monitor selezionati:s:	ID monitor separati da virgola	Seleziona un sottoinsieme di monitor locali	Usa mstsc /l per trovare gli ID; richiede la modalità multi-monitor.
monitori span:i:	0 o 1	Estende un desktop su più monitor	Relativo a layout orizzontale a risoluzione uniforme richiesto
dimensionamento intelligente:i:	0 o 1	Ridimensiona il desktop remoto visualizzato alla finestra del client	La scalabilità non cambia dinamicamente la risoluzione remota.
risoluzione dinamica:i:	0 o 1	Regola la risoluzione remota quando la finestra del client cambia dimensione	Il supporto dipende dal cliente e dall'obiettivo
desktopscalefactor:i:	percentuale di scalabilità documentata da Microsoft	Imposta la scala del desktop dove applicabile	Controlla l'applicabilità del prodotto della proprietà prima del deployment
devicescalefactor:i:	valore di scala del dispositivo documentato da Microsoft	Controlla la scalabilità relativa ai dispositivi dove applicabile	Non è un'impostazione MSTSC universale per tutti i tipi di destinazione.

Reindirizzamento della tastiera, audio e risorse locali

Proprietà e tipo	Valore accettato	Scopo	Considerazione della politica
keyboardhook:i:	0 locale, 1 remoto, 2 remoto a schermo intero	Controlli su dove vengono applicate le combinazioni di tasti di Windows	Le sessioni Nested e RemoteApp possono comportarsi in modo diverso
audiomodo:i:	0 gioca localmente, 1 gioca da remoto, 2 disabilita	Controlla la riproduzione audio	La politica dell'host può limitare la reindirizzamento audio.
audiocapturemode:i:	0 o 1	Disabilita o abilita la reindirizzamento della cattura del microfono	Abilita solo quando il flusso di lavoro lo richiede
redirectclipboard:i:	0 o 1	Controlli per la reindirizzamento degli appunti	Può spostare i dati in entrambe le direzioni; la politica dell'host può bloccarlo.
redirectprinters:i:	0 o 1	Controlli per la reindirizzamento della stampante	I requisiti per i driver e le politiche dell'host si applicano ancora.
redirectdrives:i:	0 o 1	Controlla il comportamento della reindirizzazione dell'unità ampia.	Limita l'accesso quando gli utenti non hanno bisogno di trasferire file locali
drivestoredirect:s:	Elenco specifico delle unità, * per tutte, o valore di unità dinamica supportato	Seleziona le unità rese disponibili in remoto	Usa l'elenco più ristretto che supporta il compito
redirectcomports:i:	0 o 1	Controlli per la reindirizzamento della porta seriale	La disponibilità dipende dal cliente, dall'host e dalla politica.
redirectsmartcards:i:	0 o 1	Controlli per la reindirizzamento della smart card	L'architettura e la politica di autenticazione determinano se funziona

Errore comune: Impostare una proprietà di reindirizzamento a 1 richiede solo la funzionalità dal lato client. Non dimostra che l'host, la raccolta RDS o la Group Policy lo consentano. Le proprietà del dispositivo, USB e WebAuthn hanno anche un'applicabilità specifica per la connessione, quindi verifica la pagina delle proprietà Microsoft attuale prima di aggiungerle a un profilo organizzativo.

Proprietà del gateway

Proprietà e tipo	Valore accettato	Scopo	Nota operativa
gatewayhostname:s:	Nome host del gateway	Identifica il gateway RD	Il nome deve corrispondere al certificato del gateway
gatewayusagemethod:i:	Codici documentati da Microsoft da 0 a 4	Seleziona nessun gateway, utilizzo richiesto, utilizzo condizionale o comportamento predefinito configurato	Utilizza l'interfaccia del gateway MSTSC per generare il valore desiderato quando possibile
gatewaycredentialssource:i:	Codici documentati per password, smart card, selezione successiva o autenticazione web supportata	Seleziona la fonte delle credenziali del gateway	La disponibilità dipende dalla configurazione dell'autenticazione del gateway.
gatewayprofileusagemethod:i:	0 o 1	Controlla se vengono utilizzate le impostazioni del profilo gateway predefinite o esplicite.	Preservare i valori generati dalla GUI a meno che la documentazione di distribuzione non specifichi diversamente
promptcredentialonce:i:	0 o 1	Controlla il riutilizzo di un prompt per l'autenticazione del gateway e della destinazione	Non unisce sistemi di identità incompatibili

Un profilo di gateway dovrebbe comunque identificare una destinazione interna. Aggiungere un nome host del gateway lasciando la destinazione esposta come un listener RDP pubblico vanifica lo scopo di utilizzare il percorso di ingresso protetto.

Proprietà delle prestazioni e dell'esperienza di connessione

Proprietà e tipo	Valore accettato	Scopo	Guida
networkautodetect:i:	0 o 1	Abilita la rilevazione automatica della rete	Di solito preferibile a assunzioni fisse sulla connessione
bandwidthautodetect:i:	0 o 1	Abilita il rilevamento della larghezza di banda	Richiede un comportamento di rilevamento della rete compatibile
tipo di connessione:i:	1 attraverso 7	Classifica la connessione da bassa velocità tramite LAN o rilevamento automatico	La rilevazione automatica rende la regolazione manuale secondaria in molti ambienti
compressione:i	0 o 1	Controlli della compressione dei dati RDP	Non disabilitarlo basandoti su consigli di regolazione obsoleti
disabilita sfondo:i:	0 o 1	Controlla se lo sfondo del desktop è nascosto	Può ridurre dati visivi non necessari
consenti l'anti-aliasing del carattere:i:	0 o 1	Controlla l'anti-aliasing del carattere	Bilancia l'aspetto del testo e il costo di connessione
consenti composizione desktop:i:	0 o 1	Controlla la composizione del desktop dove supportato	L'applicabilità dipende dal cliente e dal target

Proprietà RemoteApp

Un file RDP può richiedere un'applicazione pubblicata individualmente, ma il file non può pubblicare quell'applicazione da solo. L'ambiente lato server deve pubblicare il programma e autorizzare l'utente.

Proprietà e tipo	Valore accettato	Scopo	Requisito
modalità applicazione remota:i:	0 o 1	Abilita la modalità RemoteApp	È necessario un ambiente di pubblicazione compatibile
programmaapplicazioneremota:s:	Identificatore dell'applicazione pubblicata	Identifica il programma da avviare	Deve corrispondere a un'applicazione pubblicata dal server
nomeapplicazioneremota:s:	Nome visualizzato	Fornisce il nome dell'applicazione mostrato all'utente	Non concede accesso
lineacomandoapplicazioneremota:s:	Parametri della riga di comando supportati	Passa gli argomenti consentiti all'applicazione	La politica del server e la configurazione dell'applicazione possono limitare gli argomenti.

Tratta i file .rdp come configurazioni, non come collegamenti innocui.

Un file RDP può indirizzare gli utenti a una destinazione, richiedere il comportamento del gateway e abilitare percorsi di trasferimento come il clipboard, le unità, le stampanti o le smart card. Ciò lo rende una configurazione operativa con conseguenze di sicurezza, non solo un'icona del desktop.

• Verifica la destinazione e il gateway prima di approvare un file.
• Esamina le impostazioni relative a clipboard, unità, stampante, smart card, audio e credenziali.
• Firma i file organizzativi quando l'ambiente richiede la convalida dell'editore.
• Utilizza la Group Policy per definire come vengono gestiti i file non firmati, firmati e non attendibili.

File firmati e editori affidabili

Guida alla sicurezza dei file RDP di Microsoft , datato 14 luglio 2026, descrive tre aree della Group Policy che controllano come la Connessione Desktop Remoto gestisce i file RDP: regole per i file non firmati, regole per i file firmati e l'elenco dei publisher esplicitamente fidati. Le indicazioni coprono anche le impronte digitali dei certificati SHA-2 e le modifiche al dialogo di sicurezza introdotte nel 2026.

La posizione di Microsoft per ambienti ad alta sicurezza è che gli utenti possano essere limitati a file RDP firmati da editori esplicitamente fidati, con altri file bloccati.

La politica esatta dovrebbe corrispondere al livello di rischio dell'organizzazione piuttosto che fare affidamento su ogni utente per interpretare correttamente un avviso.

Porte, porte personalizzate e inoltro delle porte

La porta in un comando MSTSC indica al client dove connettersi. Non modifica la configurazione del listener del server, del firewall, del certificato, del gateway o della traduzione degli indirizzi di rete.

Porto e trasporto	Ruolo	Contesto di connessione
TCP e UDP 3389	Porta RDP diretta standard	Client per host, comunemente su una rete interna o protetta
TCP 443	Traffico HTTPS esterno verso RD Gateway	Client al gateway
UDP 3391	RDP su UDP tramite RD Gateway	Client al gateway dove abilitato

Questi porte RDP come da Riferimento alla porta RDS di Microsoft di febbraio 2026 Sono fatti di rete, non una raccomandazione per esporre TCP o UDP 3389 pubblicamente.

Connettersi a una porta non predefinita

Aggiungi la porta alla destinazione dopo i due punti. Questo funziona solo quando l'host sta già ascoltando su quella porta e il percorso di rete protetto lo consente.

mstsc /v:server01.internal:3390

MSTSC non può cambiare la porta di ascolto dell'host.

Cambiare il listener è un'operazione coordinata lato host che coinvolge la configurazione di Windows, i servizi di desktop remoto, le regole del firewall e eventuali controlli di rete a monte. Microsoft afferma che RDS può utilizzare un'altra porta ma non raccomanda di cambiare la porta. come l'approccio normale.

Un porto personalizzato può ridurre il rumore automatizzato, ma non è un controllo di sicurezza di per sé. Utilizza una guida dedicata al cambio di porta se devi modificare il listener e pianifica la convalida e il rollback piuttosto che trattare il comando del client come la procedura di modifica.

Non inoltrare una porta RDP grezza a Internet pubblico

Regola di decisione: Se l'accesso è interno o già protetto da una rete privata, connettiti all'host interno e all'ascoltatore. Se l'accesso attraversa Internet, utilizza HTTPS, un RD Gateway, un reverse proxy o un altro punto di ingresso protetto con MFA e controlli di accesso. Non pubblicare la porta 3389, né una porta di ascolto RDP personalizzata, direttamente su Internet.

RDP non è insicuro per design. Il rischio aumenta quando un listener RDP è esposto pubblicamente, le credenziali sono deboli o riutilizzate, i sistemi non sono aggiornati e i tentativi di accesso non sono monitorati. CISA, l'FBI e il Direttorato dei segnali australiani hanno consigliato nel loro aggiornamento BianLian del 20 novembre 2024, che le organizzazioni limitino rigorosamente l'RDP, chiudano le porte non utilizzate, applicano i blocchi, utilizzino l'autenticazione a più fattori resistente al phishing e registrino i tentativi di accesso.

MSTSC non funziona: isolare il livello che fallisce

Una connessione MSTSC non riuscita può originarsi nel profilo client, DNS, percorso di rete, listener host, autenticazione, autorizzazione, gateway o configurazione del display. Testa quegli strati in ordine invece di indebolire le impostazioni di sicurezza fino a quando l'errore non cambia.

1. Conferma il cliente e il profilo

Esegui mstsc /? per confermare che il client si avvii e ispezionare la sua sintassi disponibile. Testa la destinazione senza il file RDP salvato. Se la connessione pulita funziona, confronta il file con un profilo appena creato o testa con un ripristino. Default.rdp .

2. Conferma la raggiungibilità di DNS e porta

Risolvere il nome di destinazione, quindi testare la porta del listener dalla rete client. Utilizzare l'host interno effettivo e la porta configurata.

Risolvere-DnsName server01.internal Test-NetConnection server01.internal -Port 3389

Una ricerca DNS non riuscita è diversa da un host risolto con una porta bloccata. Un test di porta riuscito dimostra solo la raggiungibilità di base. Non prova che l'account sia autorizzato o che l'autenticazione avrà successo.

3. Controlla il servizio host e l'ascoltatore

Sul host, conferma che il Desktop Remoto sia abilitato e ispeziona i servizi pertinenti. La documentazione di risoluzione dei problemi di Microsoft identifica Servizio di terminale e UmRdpService come componenti lato host da controllare.

Get-Service TermService, UmRdpService

Lo stato del listener, i conflitti di porta, le regole del firewall e la configurazione dell'host non sono controllati dal client MSTSC. Indaga su quegli elementi sull'host o attraverso il processo di gestione del server applicabile.

4. Controlla identità, autorizzazione, NLA e politica

Un listener raggiungibile può comunque rifiutare una connessione. Controlla il formato dell'account, lo stato della password, il blocco dell'account, i diritti di accesso al Remote Desktop, l'appartenenza al gruppo, i requisiti di autenticazione a livello di rete e la politica di gruppo efficace.

Non utilizzare /admin come risposta a credenziali rifiutate. Cambia il tipo di sessione richiesta, non l'identità o i permessi dell'utente.

5. Controlla separatamente gli errori del gateway e del certificato

L'autenticazione del gateway, la raggiungibilità del gateway, la raggiungibilità dal gateway al target e l'autenticazione del target sono fasi separate. Un avviso di certificato è anche un problema di identità, non una prova generica che "RDP è inattivo". Conferma che il nome richiesto corrisponda al certificato e che la catena di emissione sia attendibile.

6. Rimuovere le variabili di visualizzazione e reindirizzamento

Ritestare con un monitor e una minima reindirizzamento delle risorse locali. Se funziona, aggiungere il monitor, il clipboard, l'unità, le impostazioni della stampante e dell'audio una alla volta.

Non disabilitare NLA, la convalida del certificato o la crittografia come prima risposta di routine. Una guida dedicata alla risoluzione dei problemi di Remote Desktop può approfondire la diagnosi quando questi test limitati identificano il livello che fallisce ma non la sua causa.

Client Linux, gestori di connessione e alternative a MSTSC

Scegli un'alternativa in base al lavoro attuale. Un'implementazione RDP su Linux, un gestore di connessione Windows, la pubblicazione centralizzata delle applicazioni e un prodotto di supporto remoto risolvono problemi diversi.

Necessità	Categoria adatta	Esempio e limite principale
Una connessione RDP tradizionale di Windows	Client Windows integrato	MSTSC; specifico per Windows e non un sistema di pubblicazione
Molti endpoint RDP di Windows salvati	Gestore di connessione	Microsoft Sysinternals RDCMan; organizza le connessioni ma non crea un'architettura di accesso
RDP da Linux	Implementazione RDP multipiattaforma	FreeRDP; la sintassi deve essere verificata rispetto alla versione installata
Applicazioni Windows o desktop assegnati	Consegna centralizzata di accesso remoto	Un sistema di pubblicazione delle applicazioni; richiede distribuzione e autorizzazione lato server
Controllo del dispositivo di un utente da parte del helpdesk	Software di supporto remoto	Progettato per flussi di lavoro di tecnici e supporto piuttosto che per la consegna centralizzata delle applicazioni

Non esiste una versione Linux di mstsc.exe

mstsc.exe è un eseguibile di Windows. FreeRDP è un'implementazione RDP open-source, multipiattaforma e mantenuta, e xfreerdp è un comune client Linux associato al progetto.

La sintassi del comando FreeRDP può cambiare tra le versioni principali. Controlla il client installato. --aiuto output e la documentazione attuale di FreeRDP invece di copiare un vecchio comando senza verifica.

Utilizza il Gestore di Connessione Desktop Remoto per molte connessioni Windows salvate

Microsoft Sysinternals posiziona il Gestore di Connessione Desktop Remoto o RDCMan, come gestore per molte connessioni Remote Desktop. Microsoft ha documentato la versione 3.22 di RDCMan il 15 ottobre 2026.

RDCMan supporta gruppi di server, impostazioni ereditate, miniature, archivi di credenziali e azioni applicate a gruppi di connessioni. Organizza sessioni RDP amministrative, ma non pubblica applicazioni, non sostituisce un RD Gateway, non fornisce un flusso di lavoro di supporto remoto e non determina la sicurezza del percorso di accesso.

Scegli un'alternativa in base al lavoro attuale

• Usa MSTSC per una connessione RDP tradizionale individuale da Windows.
• Usa RDCMan quando un amministratore di Windows ha bisogno di organizzare molti endpoint RDP.
• Usa un client RDP mantenuto come FreeRDP su Linux.
• Utilizza il software di supporto remoto per il controllo del helpdesk assistito o non assistito.
• Utilizzare un sistema di pubblicazione delle applicazioni quando gli utenti necessitano di applicazioni o desktop Windows assegnati centralmente.

Utilizzando MSTSC con TSplus Remote Access

TSplus Remote Access può fornire applicazioni Windows assegnate o desktop completi tramite Microsoft MSTSC, un altro client compatibile con RDP, un client generato o accesso tramite browser. MSTSC è uno dei metodi di connessione supportati, non l'intera architettura del prodotto.

MSTSC può essere un metodo di connessione

Con il metodo MSTSC documentato , gli utenti si connettono tramite una finestra standard di Remote Desktop alle risorse fornite da TSplus Remote Access. La Universal Printer non è supportata tramite questo metodo di connessione MSTSC.

L'accesso tramite browser è un'esperienza di connessione separata e richiede TSplus Remote Access Web Mobile edition o superiore. I client generati sono un'altra opzione e possono supportare selezione del monitor documentata La compatibilità dovrebbe essere verificata per il tipo di connessione scelto piuttosto che assumere che ogni proprietà Microsoft RDP sia stata convalidata con TSplus Remote Access.

Quando la pubblicazione centralizzata è più utile di più file .rdp

Mantieni MSTSC quando il requisito è un client RDP semplice per un endpoint noto. Considera TSplus Remote Access quando il compito reale è pubblicare e assegnare applicazioni Windows o desktop in modo centrale invece di mantenere file RDP isolati per ogni utente e server.

Molte implementazioni possono utilizzare un server. Le capacità di gateway, farm e bilanciamento del carico richiedono l'edizione Enterprise di TSplus Remote Access, e una farm è un'opzione piuttosto che un prerequisito. TSplus Remote Access non è un VDI completo e non ospita l'infrastruttura del cliente.

Se i tuoi utenti hanno bisogno di applicazioni o desktop Windows assegnati centralmente piuttosto che di una crescente collezione di file RDP individuali, confronta le edizioni e i metodi di connessione di TSplus Remote Access.

La limitazione 2FA di TSplus con MSTSC

Limitazione del metodo di connessione: TSplus autenticazione a due fattori è un componente aggiuntivo a pagamento che richiede TSplus Remote Access Web Mobile o Enterprise edition. Non funziona con Microsoft mstsc.exe Le connessioni RDP dirette sono negate per gli utenti abilitati per TSplus 2FA, quindi quegli utenti devono connettersi tramite il portale web supportato o un client generato compatibile.

MFA dovrebbe essere una base per l'accesso remoto e amministrativo, ma è solo uno strato. Deve essere combinato con patching, blocco, protezione contro attacchi brute-force, privilegi minimi, segmentazione e monitoraggio.

Un elenco di controllo per la sicurezza e la licenza limitata

MSTSC controlla una connessione client. I suoi interruttori e le impostazioni salvate non possono garantire la sicurezza o la licenza del deployment nel suo insieme. Prima di mettere una connessione in produzione, controlla l'architettura circostante:

• Mantieni i listener RDP grezzi disattivati su Internet pubblico.
• Utilizzare un gateway, un punto di accesso HTTPS, un reverse proxy o un percorso privato protetto.
• Utilizzare certificati validi per i punti di accesso web e gateway.
• Richiedere MFA tramite un metodo di connessione che lo supporta.
• Imporre il principio del minimo privilegio, il blocco dell'account e protezione contro attacchi brute-force RDP .
• Limita gli indirizzi IP sorgente, i paesi o i dispositivi fidati dove la base utenti lo consente.
• Disabilita la reindirizzamento degli appunti, delle unità, delle stampanti e dei dispositivi che il flusso di lavoro non necessita.
• Patch Windows, software di accesso remoto e strumenti di sicurezza.
• Usa TSplus Server Monitoring per monitorare le sessioni attive e la salute del server.
• Segmenta la rete e disabilita le porte e i servizi non utilizzati.
• Separare gli account amministrativi dagli account utente quotidiani.
• Eseguire il backup delle configurazioni di accesso e testare il ripristino.
• Convalida Windows Server, RDS CAL, licenze Office e Microsoft 365 con Microsoft o un partner di licenza qualificato.

MSTSC è un client nel percorso di accesso. Un comando corretto o un file RDP possono stabilire una connessione, ma non garantiscono che il deployment sia sicuro, adeguatamente autorizzato o correttamente licenziato.

Puoi iniziare un prova gratuita di 15 giorni di TSplus Remote Access per testare la distribuzione delle applicazioni e del desktop sulla propria infrastruttura Windows, quindi convalidare la licenza Microsoft richiesta per la propria configurazione.