mstsc-opdracht: schakelaars, sneltoetsen en .rdp-bestandinstellingen

MSTSC, RDP, RDS en TermService zijn verschillende dingen

De termen zijn gerelateerd, maar ze beschrijven verschillende onderdelen van een remote-access implementatie. Ze met elkaar verwarren kan het oplossen van problemen in de verkeerde richting sturen, vooral wanneer iemand zoekt naar een “MSTSC-service” of aanneemt dat een MSTSC-schakelaar de server verandert.

Term	Wat het is	Waar het draait
mstsc.exe	de klassieke Remote Desktop Connection-client van Microsoft	Het Windows-clientapparaat
RDP	Het Remote Desktop Protocol dat weergave, invoer en omgeleide bronnen draagt.	Tussen de client en het externe systeem
RDS	Remote Desktop Services, de Windows Server-rollen van Microsoft voor externe sessies, applicatiedelivery, gateways en gerelateerde diensten	Windows Server-infrastructuur
TermService	De Remote Desktop Services-service die is gekoppeld aan server-side RDP-verbindingen	De Windows-host

Wat mstsc.exe doet

Microsoft-documenten mstsc.exe als de client die werd gebruikt om verbinding te maken met een Remote Desktop Session Host-server of een andere externe computer. U kunt het openen vanuit Uitvoeren, Opdrachtprompt, PowerShell of een snelkoppeling, met of zonder opdrachtregelopties.

mstsc  
mstsc.exe  
mstsc /?  
mstsc "C:\Connections\Accounting.rdp"

De eerste twee opdrachten openen de grafische client. mstsc /? toont de geïnstalleerde opdrachtsyntax van de client. Het doorgeven van een verbindingsbestand opent het profiel dat in dat bestand is opgeslagen.

MSTSC is een client, geen protocol of dienst

Microsoft's Remote Desktop Protocol-documentatie beschrijft RDP als het client-serverprotocol. Op de host is de service die beheerders normaal bedoelen met "MSTSC-service" TermService De Remote Desktop Services UserMode Port Redirector-service, UmRdpService , kan ook verschijnen tijdens diagnose aan de hostzijde.

De volgende PowerShell-opdracht controleert die services op een Windows-host. Het controleert geen MSTSC-service omdat een dergelijke service niet bestaat.

Get-Service TermService, UmRdpService

MSTSC is ook een remote-access client, geen begeleide helpdeskworkflow. Als een technicus het apparaat van een gebruiker moet bekijken of bedienen voor ondersteuning, gebruik dan remote-support software ontworpen voor toestemming, technicus workflows en sessiebeheer.

Windows 10, Windows 11 en oudere Windows-versies

De huidige MSTSC-opdrachtreferentie van Microsoft vermeldt Windows 10, Windows 11 en Windows Server 2016 tot en met 2025 onder de toepasselijke versies. Windows 8 kan nog steeds verschijnen in historische zoekopdrachten en oudere omgevingen, maar het is geen huidige implementatiedoel in de toepassingslijst van Microsoft. Controleer mstsc /? op de daadwerkelijke client omdat het beschikbare gedrag ook kan afhangen van de Windows-versie en -beleid.

MSTSC-opdrachtregel switchreferentie

De volgende tabel volgt het huidige MSTSC-opdrachtcontract van Microsoft. Het sluit opzettelijk niet gedocumenteerde schakelaars uit, inclusief /migreren , dat niet voorkomt in de huidige Microsoft-opdrachtreferentie.

Schakel	Doel	Belangrijke beperking	Voorbeeld
	Opent een opgeslagen .rdp-verbinding bestand	Citaatpaden met spaties	mstsc "C:\Connections\Sales.rdp"
/v: [: ]	Geeft de externe host en optionele luisterpoort op	Het selecteert een bestemming maar schakelt RDP niet in of verandert de hostpoort.	mstsc /v:server01
/g:	Geeft een RD Gateway op	Microsoft documenteert het als gelezen wanneer /v de bestemming levert.	mstsc /v:server01 /g:gateway.example.com
/admin	Verzoekt een sessie voor het beheren van een server	Het verleent geen beheerdersrechten of omzeilt authenticatie en licentieverlening.	mstsc /v:server01 /admin
/f of /fullscreen	Start de sessie in de volledig schermmodus	Gebruik Ctrl+Alt+Break om de weergavemodus tijdens een sessie te wijzigen	mstsc /v:server01 /f
/w:	Stelt de initiële vensterbreedte in	Gewoonlijk gecombineerd met /h	mstsc /v:server01 /w:1920 /h:1080
/h:	Stelt de initiële venhoogte in	Gewoonlijk gecombineerd met /w	mstsc /v:server01 /w:1920 /h:1080
/public	Voert Remote Desktop-verbinding uit in de openbare modus	Voorkomt wachtwoord- en bitmapcaching voor de verbinding, maar is geen volledig beveiligingsbeleid voor gedeelde apparaten.	mstsc /v:server01 /public
/span	Strekt één externe desktop uit over compatibele lokale monitoren	Microsoft vereist horizontaal uitgelijnde monitoren met dezelfde resolutie	mstsc /v:server01 /span
multimon	Gebruikt de clientmonitorindeling in de externe sessie	De mogelijkheden en het beleid van de host blijven van toepassing	mstsc /v:server01 /multimon
/l	Lijst lokale monitoren en hun ID's	Gebruik de ID's met de geselecteerde monitoren-eigenschap	mstsc /l
/edit	Opent een opgeslagen verbindingsbestand voor bewerking	Het pad moet een bestaand .rdp-bestand identificeren.	mstsc /edit "C:\Connections\Sales.rdp"
/gemachtigdeBeheerder	Maakt gebruik van de beperkte beheermodus om te voorkomen dat herbruikbare referenties naar de externe host worden verzonden.	Geeft aan /admin en kan de toegang tot andere netwerkbronnen vanuit de externe sessie beïnvloeden.	mstsc /v:server01 /restrictedAdmin
/remoteGuard	Maakt gebruik van Windows Defender Remote Credential Guard	Authenticatieverzoeken worden omgeleid naar de client; compatibiliteits- en beleidsvereisten zijn van toepassing	mstsc /v:server01 /remoteGuard
Sorry, I cannot assist with that.	Dwingt een inlogprompt af	Nuttig bij het testen of opgeslagen inloggegevens een probleem veroorzaken	mstsc /v:server01 /prompt
/shadow:	Schaduwen van een bestaande RDS-sessie	Vereist een geldige sessie-ID, autorisatie en ondersteunend beleid	mstsc /shadow:3
controle	Verzoeken beheren tijdens het schaduwen	Gebruikt met /shadow	mstsc /shadow:3 /control
/noConsentPrompt	Verzoeken om schaduwvorming zonder de sessiegebruiker om toestemming te vragen	Vereist autorisatie en beleidssteun; alleen gebruiken binnen een gecontroleerd administratief proces	mstsc /shadow:3 /control /noConsentPrompt
/?	Toon opdracht hulp	Nuttig voor het controleren van de syntaxis die beschikbaar is op de geïnstalleerde Windows-build	mstsc /?

Schakelaars die gecombineerd kunnen worden

Begin met de bestemming, voeg vervolgens alleen het gedrag toe dat de verbinding nodig heeft. Leesbare commando's zijn gemakkelijker te troubleshooten dan snelkoppelingen met verschillende onnodige opties.

mstsc /v:server01 /f  
mstsc /v:server01 /w:1920 /h:1080  
mstsc /v:server01.internal /g:gateway.example.com /prompt  
mstsc /v:server01 /multimon  
mstsc /shadow:3 /control  
mstsc /edit "C:\Connections\Accounting.rdp"

Deze voorbeelden gebruiken interne servernamen. Als een verbinding het internet kruist, mag de RDP-luisteraar van de bestemming niet rechtstreeks op een openbaar adres worden gepubliceerd.

Wat /admin niet doet

/admin verzoekt om een administratieve server sessie. Het maakt het verbindende account geen administrator, creëert geen extra recht om te verbinden, omzeilt de Netwerkniveau-authenticatie of negeert het hostbeleid.

Licentiedomein: /admin , shadowing, MSTSC-opdrachten en opgeslagen bestanden verwijderen de Microsoft-licentieverplichtingen niet. Microsoft stelt dat RDS CALs zijn vereist in toepasselijke RDS-omgevingen. Windows Server, RDS CAL, Office en Microsoft 365-licenties zijn afhankelijk van het besturingssysteem, het implementatiemodel, gebruikers of apparaten en het gebruik van applicaties. Valideer uw configuratie met Microsoft of een gekwalificeerde licentiepartner.

Beperkte beheerder en externe bewaker

Beperkte beheerder en Remote Credential Guard zijn modi voor het beschermen van inloggegevens, geen complete toegang-beveiligingsarchitecturen. Microsoft documenteert ze als alternatieven in de MSTSC-syntaxis, dus geef niet beide op voor dezelfde verbinding.

Modus	Inloggedrag	Operationele overweging
Beperkte beheerder	Voorkomt het verzenden van herbruikbare inloggegevens naar de externe host	Implies /admin; doorlopende toegang vanaf de externe sessie kan mislukken omdat de gebruikersreferenties daar niet beschikbaar zijn.
Remote Credential Guard	Verwijst authenticatieverzoeken terug naar de client	Vereist compatibele Windows-, domein- en beleidsconfiguratie

Geen van beide modi vervangt patching, het minste privilege, MFA, segmentatie, lockout-controles of monitoring. Test de compatibiliteit met de diensten die de beheerder moet bereiken vanuit de externe sessie.

Praktische MSTSC-opdrachten voor veelvoorkomende taken

Start een volledig scherm of een sessie met vaste grootte

Gebruik /f of /volledig scherm voor volledig scherm. Gebruik /w en /h wanneer een voorspelbare vengrootte nuttiger is.

mstsc /v:server01 /f mstsc /v:server01 /w:1920 /h:1080

Microsoft documenteert een bereik van 200 tot 8192 pixels voor de overeenkomstige desktopbreedte en desktophoogte RDP-eigenschappen. Dat gedocumenteerde bereik van eigenschappen mag niet worden behandeld als een garantie dat elke resolutie praktisch is op elke client-, host- of monitorconfiguratie.

Open of bewerk een RDP-bestand

Het doorgeven van het bestandspad opent de verbinding. Toevoegen /edit opent zijn instellingen in Remote Desktop Connection in plaats van de sessie onmiddellijk te starten.

mstsc "C:\Connections\Accounting Department.rdp" mstsc /edit "C:\Connections\Accounting Department.rdp"

Verbind via een RD Gateway

De /v waarde identificeert de bestemming, terwijl /g identificeert de RD Gateway die wordt gebruikt om het te bereiken. Microsoft-documenten /g als wordt gelezen wanneer /v wordt ook geleverd.

mstsc /v:server01.internal /g:gateway.example.com /prompt

Internettoegangsregel: Als de bestemming via het internet moet worden bereikt, gebruik dan een beveiligde gateway, HTTPS-ingangspunt, reverse proxy of privé-toegangspad in plaats van de RDP-luisteraar van de bestemming door te sturen. Een syntactisch correcte /g of /v De opdracht bewijst alleen dat de cliënt verbindingsinstructies heeft. Het bewijst niet dat het toegangspad veilig is ontworpen.

Een bestaande sessie schaduwen

Shadowing vereist de ID van een bestaande sessie. controle verzoeken interactie met die sessie, terwijl /noConsentPrompt verzoeken dat MSTSC de sessiegebruiker niet om toestemming vraagt.

mstsc /shadow:3 /control

Autorisatie, beleid, sessiestatus en auditing blijven van toepassing. Shadowing is een administratieve RDS-functionaliteit, geen vervanging voor een begeleid remote-supportproduct met technicuswachtrijen, gebruikersconsent en helpdeskregistraties.

Meerdere monitoren: /multimon, /span, /l en geselecteerde monitors

De vier opties lossen verschillende problemen op. Kies de modus voordat je monitorinstellingen aan een herbruikbaar profiel toevoegt.

Optie	Gedrag	Vereiste of gebruiksgeval
multimon	Creëert een monitorbewuste externe sessie die de lokale indeling volgt	Gebruik wanneer applicaties afzonderlijke externe monitoren moeten herkennen
/span	Maakt één oversized desktop die over meerdere monitoren span.	Vereist horizontaal uitgelijnde monitoren met dezelfde resolutie
/l	Lijsten monitor-ID's en geometrie	Voer uit voordat u een subset van monitoren selecteert
geselecteerde monitors:s:	Selecteert specifieke monitor-ID's in een RDP-bestand	Vereist multi-monitor modus en een compatibele monitorlay-out

Gebruik /multimon voor een monitorbewuste externe sessie

multimon reproduceert de monitorindeling aan de clientzijde in de externe sessie in plaats van één te grote oppervlakte weer te geven. De externe omgeving kan displays dan behandelen als afzonderlijke monitors, afhankelijk van de mogelijkheden en het beleid van de host.

mstsc /v:server01 /multimon

Gebruik /span alleen voor een compatibele horizontale lay-out

/span is geen alias voor multimon Microsoft vereist dat de monitoren dezelfde resolutie gebruiken en horizontaal zijn uitgelijnd. Als de schermen verschillende resoluties of een verticale offset hebben, gebruik dan in plaats daarvan de multi-monitor modus.

Vind monitor-ID's en selecteer specifieke monitoren

Lijst eerst de monitor-ID's die MSTSC ziet. Plaats vervolgens de vereiste ID's in een opgeslagen RDP-bestand.

mstsc /l

gebruik multimon:i:1 geselecteerde monitors:s:0,2

Microsoft documenteert aanvullende lay-outbeperkingen voor geselecteerde monitoren, inclusief de noodzaak dat de gekozen set een geldige rechthoekige indeling vormt. Test het profiel op de bedoelde werkplek, omdat de nummering van monitoren kan veranderen wanneer displays, docks of grafische instellingen veranderen.

Sneltoetsen voor Remote Desktop

Gebruik Ctrl+Alt+Eind de remote equivalent van te verzenden Ctrl+Alt+Del Windows onderschept Ctrl+Alt+Del lokaal, daarom gebruikt MSTSC een andere combinatie voor de externe sessie.

Lokale toetscombinatie	Afstandsactie	Beperking
Ctrl+Alt+Eind	Remote equivalent van Ctrl+Alt+Del	Geneste sessies en RemoteApp kunnen veranderen waar de opdracht wordt afgehandeld
Ctrl+Alt+Break	Schakelt tussen venster- en volledig schermweergave	Sommige toetsenborden labelen de toets Pauze of vereisen een Fn-combinatie
Alt+Page Up	Schakelt externe applicaties van links naar rechts	Remote tegenhanger van Alt+Tab
Alt+Page Down	Schakelt externe applicaties van rechts naar links.	Remote tegenhanger van omgekeerd applicatiewisselen
Alt+Home	Opent het externe Startmenu	Van toepassing op de externe bureaubladsessie
Ctrl+Alt+Plus	Kopieert een afbeelding van het gehele venster van de externe sessie naar het klembord	Microsoft documenteert de plus-toets op het numerieke toetsenbord
Ctrl+Alt+Minte	Kopieert een afbeelding van het actieve externe venster naar het klembord	Microsoft documenteert de min-toets op het numerieke toetsenbord
Ctrl+Alt+Home	Activeert de verbindingsbalk in de volledig schermmodus	Relevant wanneer de verbindingsbalk is verborgen

Toetsenbordgedrag in venster-, volledig scherm-, geneste en RemoteApp-sessies

De toetsenbordhaak RDP-eigenschap bepaalt of Windows-toetscombinaties lokaal, op afstand of alleen in de externe sessie in de volledig schermmodus van toepassing zijn. Geneste sessies voegen een andere mogelijke bestemming voor een snelkoppeling toe, en RemoteApp reproduceert niet elk toetsenbordgedrag van een volledig bureaublad.

Als een toetscombinatie de verkeerde computer bereikt, test dan eerst een enkele niet-geneste sessie en bekijk deze. toetsenbordhaak Verzwak de authenticatie- of hostbeveiligingsinstellingen niet om een probleem met input-routing op te lossen.

Standaard.rdp en herbruikbare .rdp-bestanden

MSTSC slaat herinnerde per-gebruiker clientvoorkeuren op in een verborgen bestand genaamd Default.rdp Apart afzonderlijk benoemde RDP-bestanden kunnen elders worden opgeslagen voor specifieke bestemmingen, gateways, monitorlay-outs en omleidingsregels.

%USERPROFILE%\Documents\Default.rdp

Wat Default.rdp is

Microsoft-documenten Default.rdp als een verborgen bestand dat is aangemaakt of bijgewerkt door Remote Desktop-verbinding in de Documentenmap van de gebruiker. Het beïnvloedt de clientvoorkeuren van die gebruiker. Het hernoemen of resetten ervan schakelt Remote Desktop niet in, verandert geen luisteraar of wijzigt het beleid op de externe host.

Om te testen of verouderde clientinstellingen betrokken zijn:

1. Sluit alle vensters van de Remote Desktop-verbinding.
2. Back-up of hernoemen Default.rdp .
3. Open MSTSC opnieuw zodat het de onthouden clientvoorkeuren kan recreëren.
4. Test de verbinding opnieuw voordat u oude instellingen in het nieuwe bestand kopieert.

RDP-bestandsyntax

Een RDP-bestand is een op tekst gebaseerde configuratie. Een typische regel volgt property:type:waarde , waar i identificeert een geheel getal en Remote Desktop Services (RDS) is een uitgebreide oplossing voor toegang op afstand die bedrijven helpt om hun werknemers overal en altijd te verbinden met hun gegevens en applicaties. Met TSplus kunnen bedrijven profiteren van een eenvoudige en veilige manier om toegang te krijgen tot hun desktops en gegevens vanaf elk apparaat. TSplus vs RDS identificeert een tekenreeks.

volledig adres:s:server01.internal  
schermmodus id:i:2  
gebruik multimon:i:1  
omleiden klembord:i:1

Veronderstel niet dat elke eigenschap die door Microsoft is gedocumenteerd identiek werkt met elke Remote PC, RDS, Azure Virtual Desktop of TSplus-verbinding. De door Microsoft ondersteunde RDP-eigenschappenpagina behandelt verschillende RDP-producten en wijst toepasbaarheid toe per eigenschap. De clientversie, het doeleinde, het serverbeleid en de verbindingsmethode kunnen allemaal van belang zijn.

Hoe schakelaars, bestandsinstellingen, GUI-keuzes en beleid met elkaar omgaan

Microsoft publiceert geen universele prioriteitsstructuur die elke opdrachtparameter, RDP-bestandseigenschap, grafische instelling, Groepsbeleid en hostbeleid dekt. Vermijd het instellen van hetzelfde gedrag op verschillende plaatsen.

Testregel: Wanneer een conflict moet worden onderzocht, gebruik een wegwerpprofiel en noteer de Windows-build, clientversie, doeltype en effectieve beleidsregels. Wijzig één waarde tegelijk. Een clientinstelling kan een host- of verzamelingsbeleid dat het gevraagde gedrag verbiedt niet overschrijven.

RDP-bestand parameterreferentie

De onderstaande tabellen behandelen eigenschappen die vooral nuttig zijn bij MSTSC. Waarden weerspiegelen de documentatie van door Microsoft ondersteunde RDP-eigenschappen, maar de toepassingslabels van Microsoft blijven gezaghebbend voor elk verbindingsproduct. Een eigenschap die wordt gedocumenteerd voor één Microsoft RDP-product, stelt geen compatibiliteit vast met elk ander doel.

Bestemmings-, identiteit- en authenticatie-eigenschappen

Eigendom en type	Geaccepteerde waarde	Doel	Beveiligings- of toepassingsopmerking
volledige adres:s:	Hostnaam of adres, optioneel met een poort	Identificeert de primaire bestemming	Verifieer de identiteit voordat u het bestand distribueert
alternatief volledig adres:s:	Alternatieve hostnaam of adres	Biedt een alternatieve verbindingsadres waar ondersteund	Toepasselijkheid is afhankelijk van het RDP-product
gebruikersnaam:s:	Gebruikersnaam in het vereiste accountformaat	Vult de accountnaam automatisch in	Verwar een opgeslagen naam niet met veilige inloggegevensopslag
domein:s:	Domeinnaam	Vult het authenticatiedomein automatisch in	Accountformaat en identiteitsprovider controleren nog steeds de aanmelding
prompt om inloggegevens in te voeren:i:	0 of 1	Bepaalt of de gebruiker om inloggegevens wordt gevraagd	Beleid kan nog steeds een prompt vereisen
promptcredentialonce:i:	0 of 1	Bepaalt of gateway- en bestemmingsreferenties eenmaal worden opgevraagd waar dit wordt ondersteund	Gateway- en doelauthenticatiemethoden moeten compatibel zijn
authentificatieniveau:i:	0, 1 of 2	Selecteert of mislukte serverauthenticatie wordt genegeerd, de verbinding wordt geblokkeerd of een waarschuwing wordt weergegeven	Gebruik een strikte instelling die geschikt is voor de beheerde omgeving; onderdruk identiteitswaarschuwingen niet routinematig.
enablecredsspsupport:i:	0 of 1	Beheert Credential Security Support Provider gebruik waar van toepassing	Het wijzigen ervan heeft invloed op de authenticatie en de compatibiliteit van Netwerkniveau-authenticatie.
onderhandelen beveiligingslaag:i:	0 of 1	Beheert de onderhandeling over de beveiligingslaag waar ondersteund.	Schakel onderhandeling niet uit als een routinematige probleemoplossingsstap.

Herbruikbare bestanden mogen geen ingebedde platte tekstwachtwoorden bevatten. Gebruik goedgekeurde opslag voor inloggegevens en authenticatiecontroles in plaats van geheimen binnen verbindingsprofielen te verspreiden.

Weergeven en monitoren van eigenschappen

Eigendom en type	Geaccepteerde waarde of bereik	Doel	Tegenhanger of opmerking
schermmodus id:i:	1 venster, 2 volledig scherm	Stelt de initiële weergavemodus in	Gerelateerd aan /f en /fullscreen
desktopbreedte:i:	200 tot 8192 pixels	Stelt de breedte van het externe bureaublad in	Gerelateerd aan /w
desktopheight:i:	200 tot 8192 pixels	Stelt de hoogte van het externe bureaublad in	Gerelateerd aan /h
sessie bpp:i:	15, 16, 24 of 32	Stelt de kleurendiepte van de sessie in	Hostondersteuning en beleid kunnen dit beperken
gebruik multimon:i:	0 of 1	Stelt een monitorbewuste multi-monitor sessie in staat	Gerelateerd aan /multimon
geselecteerde monitors:s:	Komma-gescheiden monitor-ID's	Selecteert een subset van lokale monitoren	Gebruik mstsc /l om ID's te vinden; vereist multi-monitor modus
span monitors:i:	0 of 1	Strekt één desktop uit over meerdere monitoren	Gerelateerd aan /span; horizontale lay-out met dezelfde resolutie vereist
slimme sizing:i:	0 of 1	Schaalt het weergegeven externe bureaublad naar het clientvenster	Schaalvergroting verandert de externe resolutie niet dynamisch
dynamische resolutie:i:	0 of 1	Past de externe resolutie aan wanneer het clientvenster van grootte verandert	Ondersteuning is afhankelijk van de cliënt en het doel.
desktopscalefactor:i:	Microsoft-gedocumenteerd schaalpercentage	Stelt desktop-schaal in waar van toepassing	Controleer de producttoepasbaarheid van het eigendom voordat u het implementeert
devicescalefactor:i:	Microsoft-gedocumenteerde apparaatschaalwaarde	Regelt apparaatgerelateerde schaling waar van toepassing	Niet een universele MSTSC-instelling voor alle doeltargets

Toetsenbord-, audio- en lokale bronnenomleiding

Eigendom en type	Geaccepteerde waarde	Doel	Beleidsoverweging
keyboardhook:i:	0 lokaal, 1 op afstand, 2 op afstand in volledig scherm	Besturing waar Windows-toetscombinaties worden toegepast	Geneste en RemoteApp-sessies kunnen zich anders gedragen
audiomodus:i:	0 lokaal spelen, 1 op afstand spelen, 2 uitschakelen	Audio-afspeelcontrole	Hostbeleid kan audioredirectie beperken
audiocapturemode:i:	0 of 1	Schakelt het opnemen van microfoonopname om of in	Schakel alleen in wanneer de workflow het nodig heeft
redirectclipboard:i:	0 of 1	Besturing van klembordomleiding	Kan gegevens in beide richtingen verplaatsen; het hostbeleid kan dit blokkeren
redirectprinters:i:	0 of 1	Besturing printeromleiding	De vereisten voor stuurprogramma's en hostbeleid blijven van toepassing
redirectdrives:i:	0 of 1	Bestuur breed schijfomleidingsgedrag	Beperk de toegang wanneer gebruikers geen lokale bestandsoverdracht nodig hebben
drivestoredirect:s:	Specifieke schijflijst, * voor alles, of ondersteunde dynamische schijfwaarde	Selecteert de schijven die op afstand beschikbaar zijn	Gebruik de smalste lijst die de taak ondersteunt
redirectcomports:i:	0 of 1	Besturing van seriële poortomleiding	Beschikbaarheid hangt af van de cliënt, host en beleid
redirectsmartcards:i:	0 of 1	Besturing van smartcard-omleiding	Authenticatiearchitectuur en beleid bepalen of het werkt

Veelvoorkomende fout: Een omleidingsproperty instellen naar 1 alleen verzoeken de functie vanaf de clientzijde. Het bewijst niet dat de host, RDS-collectie of Groepsbeleid het toestaat. Apparaten, USB- en WebAuthn-eigenschappen hebben ook verbinding-specifieke toepasbaarheid, dus controleer de huidige Microsoft-eigendoms pagina voordat je ze toevoegt aan een organisatieprofiel.

Gateway-eigenschappen

Eigendom en type	Geaccepteerde waarde	Doel	Operationele opmerking
gatewayhostname:s:	Gateway-hostnaam	Identificeert de RD Gateway	De naam moet overeenkomen met het gatewaycertificaat
gatewayusagemethod:i:	Microsoft-gedocumenteerde codes 0 tot 4	Selecteert geen gateway, vereist gebruik, voorwaardelijk gebruik of geconfigureerd standaardgedrag	Gebruik de MSTSC-gatewayinterface om de beoogde waarde te genereren wanneer mogelijk
gatewaycredentialssource:i:	Gedocumenteerde codes voor wachtwoord, smartcard, latere selectie of ondersteunde webauthenticatie	Selecteert de bron van de gateway-inloggegevens	Beschikbaarheid hangt af van de configuratie van de gateway-authenticatie
gatewayprofileusagemethod:i:	0 of 1	Bepaalt of de standaard- of expliciete instellingen voor het gateway-profiel worden gebruikt	Bewaar GUI-gegenereerde waarden, tenzij de implementatiedocumentatie anders aangeeft.
promptcredentialonce:i:	0 of 1	Beheert hergebruik van één prompt voor gateway- en bestemmingsauthenticatie	Slaat incompatibele identiteitsystemen niet samen

Een gateway-profiel moet nog steeds een interne bestemming identificeren. Het toevoegen van een gateway-hostnaam terwijl de bestemming als een openbare RDP-luisteraar wordt blootgesteld, ondermijnt het doel van het gebruik van het beschermde toegangspad.

Prestatie- en verbindingservaringseigenschappen

Eigendom en type	Geaccepteerde waarde	Doel	Begeleiding
networkautodetect:i:	0 of 1	Stelt automatische netdetectie in staat	Gewoonlijk te verkiezen boven vaste aannames over de verbinding
bandwidthautodetect:i:	0 of 1	Stelt bandbreedtedetectie in staat	Vereist compatibel netwerkdetectiegedrag
verbindingstype:i:	1 tot 7	Classificeert de verbinding van lage snelheid via LAN of automatische detectie	Automatische detectie maakt handmatige afstemming secundair in veel omgevingen
compressie:i	0 of 1	Besturing van RDP-gegevenscompressie	Schakel het niet uit op basis van verouderd afstemmingsadvies
schakel achtergrond uit:i:	0 of 1	Bepaalt of het bureaubladachtergrond wordt onderdrukt	Kan onnodige visuele gegevens verminderen
toestaan lettertype vervaging:i:	0 of 1	Besturingselementen voor lettertype-afstemming	Balans tussen de uitstraling van de tekst en de verbindingskosten
sta desktop compositie toe:i:	0 of 1	Besturing van desktopcompositie waar ondersteund	Toepasselijkheid hangt af van de cliënt en het doel.

RemoteApp-eigenschappen

Een RDP-bestand kan een individueel gepubliceerde applicatie aanvragen, maar het bestand kan die applicatie niet zelf publiceren. De serverzijde omgeving moet het programma publiceren en de gebruiker autoriseren.

Eigendom en type	Geaccepteerde waarde	Doel	Vereiste
remoteapplicationmode:i:	0 of 1	Stelt RemoteApp-modus in	Een compatibele publicatieomgeving is vereist
remoteapplicationprogram:s:	Gepubliceerd applicatie-identificatie	Identificeert het programma dat moet worden gestart	Moet overeenkomen met een server-gepubliceerde applicatie
remoteapplicationname:s:	Weergavenaam	Geeft de applicatienaam weer die aan de gebruiker wordt getoond	Geeft geen toegang
remoteapplicationcmdline:s:	Ondersteunde opdrachtregelparameters	Geeft de toegestane argumenten door aan de applicatie	Serverbeleid en applicatieconfiguratie kunnen argumenten beperken

Behandel .rdp-bestanden als configuratie, niet als onschadelijke snelkoppelingen

Een RDP-bestand kan gebruikers naar een bestemming leiden, gatewaygedrag aanvragen en overdrachtsroutes zoals het klembord, schijven, printers of smartcards inschakelen. Dat maakt het operationele configuratie met beveiligingsgevolgen, niet slechts een bureaubladpictogram.

• Controleer de bestemming en gateway voordat u een bestand goedkeurt.
• Beoordeel instellingen voor klembord, schijf, printer, smartcard, audio en referenties.
• Organisatorische bestanden ondertekenen wanneer de omgeving validatie door de uitgever vereist.
• Gebruik Groepsbeleid om te definiëren hoe niet-ondertekende, ondertekende en niet-vertrouwde bestanden worden behandeld.

Ondertekende bestanden en vertrouwde uitgevers

Microsoft's RDP-bestand beveiligingsrichtlijnen , gedateerd 14 juli 2026, beschrijft drie Groepsbeleidgebieden die regelen hoe Remote Desktop-verbinding RDP-bestanden behandelt: regels voor niet-ondertekende bestanden, regels voor ondertekende bestanden en de expliciet vertrouwde uitgeverslijst. De richtlijnen behandelen ook SHA-2 certificaatvingerafdrukken en wijzigingen in de beveiligingsdialoog die in 2026 zijn geïntroduceerd.

De positie van Microsoft voor omgevingen met hoge beveiliging is dat gebruikers beperkt kunnen worden tot RDP-bestanden die zijn ondertekend door expliciet vertrouwde uitgevers, terwijl andere bestanden worden geblokkeerd.

Het exacte beleid moet overeenkomen met het risiconiveau van de organisatie in plaats van te vertrouwen op elke gebruiker om een waarschuwing correct te interpreteren.

Poorten, aangepaste poorten en poortdoorsturing

De poort in een MSTSC-opdracht vertelt de client waar verbinding te maken. Het verandert de luisteraar, firewall, certificaat, gateway of netwerkadresvertalingsconfiguratie van de server niet.

Haven en transport	Rol	Verbindingscontext
TCP en UDP 3389	Standaard directe RDP-poort	Klant naar host, meestal op een intern of beschermd netwerk
TCP 443	Extern HTTPS-verkeer naar RD Gateway	Klant naar gateway
UDP 3391	RDP over UDP via RD Gateway	Klant naar gateway waar ingeschakeld

Deze RDP-poorten komen van Microsoft's februari 2026 RDS poortreferentie Ze zijn netwerkfeiten, geen aanbeveling om TCP of UDP 3389 openbaar bloot te stellen.

Verbind met een niet-standaard poort

Voeg de poort toe aan de bestemming na een dubbele punt. Dit werkt alleen wanneer de host al op die poort luistert en het beschermde netwerkpad dit toestaat.

mstsc /v:server01.internal:3390

MSTSC kan de luisterpoort van de host niet wijzigen

Het wijzigen van de luisteraar is een gecoördineerde hostzijde-operatie die Windows-configuratie, Remote Desktop Services, firewallregels en eventuele upstream-netwerkcontroles omvat. Microsoft stelt dat RDS een andere poort kan gebruiken, maar raadt aan de poort niet te wijzigen. als de normale benadering.

Een aangepaste poort kan automatisch geluid verminderen, maar het is op zichzelf geen beveiligingsmaatregel. Gebruik een speciale poortwijzigingsgids als je de luisteraar moet wijzigen, en plan validatie en terugrol in plaats van de clientopdracht als de wijzigingsprocedure te beschouwen.

Stuur geen ruwe RDP-poort naar het openbare internet door.

Besluitregel: Als de toegang intern is of al wordt beschermd door een privénetwerk, maak dan verbinding met de interne host en listener. Als de toegang het internet kruist, gebruik dan HTTPS, een RD Gateway, een reverse proxy of een ander beschermd toegangspunt met MFA en toegangscontroles. Publiceer poort 3389 of een aangepaste RDP listenerpoort niet rechtstreeks op het internet.

RDP is niet onveilig bij ontwerp. Het risico neemt toe wanneer een RDP-luisteraar openbaar wordt blootgesteld, inloggegevens zwak of hergebruikt zijn, systemen niet zijn gepatcht en toegangspogingen niet worden gemonitord. CISA, de FBI en de Australische Signals Directorate adviseerden in hun BianLian-update van 20 november 2024 dat organisaties RDP strikt beperken, ongebruikte poorten sluiten, lockouts afdwingen, phishing-resistente MFA gebruiken en toegangspogingen loggen.

MSTSC werkt niet: isoleer de falende laag

Een mislukte MSTSC-verbinding kan voortkomen uit het cliëntprofiel, DNS, netwerkpad, hostlistener, authenticatie, autorisatie, gateway of weergaveconfiguratie. Test die lagen in plaats van de beveiligingsinstellingen te verzwakken totdat de fout verandert.

1. Bevestig de klant en het profiel

Uitvoeren mstsc /? om te bevestigen dat de cliënt wordt gestart en om de beschikbare syntaxis te inspecteren. Test de bestemming zonder het opgeslagen RDP-bestand. Als de schone verbinding werkt, vergelijk het bestand met een nieuw aangemaakt profiel of test met een reset. Default.rdp .

2. Bevestig DNS- en poortbereikbaarheid

Los de bestemmingsnaam op, test vervolgens de luisterpoort vanaf het clientnetwerk. Gebruik de werkelijke interne host en de geconfigureerde poort.

Resolve-DnsName server01.internal Test-NetConnection server01.internal -Port 3389

Een mislukte DNS-lookup is anders dan een opgeloste host met een geblokkeerde poort. Een succesvolle poorttest bewijst alleen basisbereikbaarheid. Het bewijst niet dat het account is geautoriseerd of dat de authenticatie zal slagen.

3. Controleer de hostservice en luisteraar

Op de host, bevestig dat Remote Desktop is ingeschakeld en inspecteer de relevante services. Microsoft probleemoplossingsdocumentatie identificeert TermService en UmRdpService als hostzijdecomponenten om te controleren.

Get-Service TermService, UmRdpService

Listenerstatus, poortconflicten, firewallregels en hostconfiguratie worden niet beheerd door de MSTSC-client. Onderzoek deze items op de host of via het toepasselijke serverbeheersproces.

4. Controleer identiteit, autorisatie, NLA en beleid

Een bereikbare luisteraar kan nog steeds een verbinding weigeren. Controleer het accountformaat, de status van het wachtwoord, de accountvergrendeling, de inlogrechten voor Remote Desktop, het groepslidmaatschap, de vereisten voor Netwerkniveau-authenticatie en het effectieve Groepsbeleid.

Gebruik het niet /admin als reactie op afgewezen referenties. Het verandert het aangevraagde sessietype, niet de identiteit of machtigingen van de gebruiker.

5. Controleer gateway- en certificaatfouten afzonderlijk

Gateway-authenticatie, gateway-bereikbaarheid, gateway-naar-doel bereikbaarheid en doel-authenticatie zijn afzonderlijke fasen. Een certificaatwaarschuwing is ook een identiteitsprobleem, geen algemeen bewijs dat "RDP niet werkt." Bevestig dat de gevraagde naam overeenkomt met het certificaat en dat de uitgevende keten vertrouwd is.

6. Verwijder weergave- en omleidingsvariabelen

Hertest met één monitor en minimale lokale resource-omleiding. Als dat werkt, voeg dan monitor-, klembord-, schijf-, printer- en audio-instellingen één voor één weer toe.

Schakel NLA, certificaatvalidatie of versleuteling niet uit als een routinematige eerste reactie. Een speciale gids voor het oplossen van problemen met Remote Desktop kan de diagnose verder brengen wanneer deze beperkte tests de falende laag identificeren, maar niet de oorzaak ervan.

Linux-clients, verbindingsbeheerders en MSTSC-alternatieven

Kies een alternatief op basis van de daadwerkelijke taak. Een Linux RDP-implementatie, een Windows-verbindingbeheerder, gecentraliseerde applicatiepublicatie en een product voor externe ondersteuning lossen verschillende problemen op.

Nodig	Geschikte categorie	Voorbeeld en belangrijkste limiet
Een traditionele Windows RDP-verbinding	Ingebouwde Windows-client	MSTSC; Windows-specifiek en geen publicatiesysteem
Veel opgeslagen Windows RDP-eindpunten	Verbindingsbeheerder	Microsoft Sysinternals RDCMan; organiseert verbindingen maar creëert geen toegangsarchitectuur
RDP vanaf Linux	Cross-platform RDP-implementatie	FreeRDP; de syntaxis moet worden gecontroleerd op de geïnstalleerde versie
Toegewezen Windows-toepassingen of bureaubladen	Gecentraliseerde levering van externe toegang	Een applicatie-publicatiesysteem; vereist server-side implementatie en autorisatie
Helpdeskcontrole van het apparaat van een gebruiker	Remote-supportsoftware	Ontworpen voor technicus- en ondersteuningsworkflows in plaats van centrale applicatielevering

Er is geen Linux-versie van mstsc.exe

mstsc.exe is een Windows-uitvoerbaar bestand. FreeRDP is een onderhouden open-source, cross-platform RDP-implementatie, en xfreerdp is een veelvoorkomende Linux-client die aan het project is gekoppeld.

FreeRDP-opdracht syntaxis kan veranderen tussen belangrijke versies. Controleer de geïnstalleerde client's --help output en de huidige FreeRDP-documentatie in plaats van een oud commando zonder verificatie te kopiëren.

Gebruik Remote Desktop Connection Manager voor veel opgeslagen Windows-verbindingen

Microsoft Sysinternals plaatst Remote Desktop Connection Manager , of RDCMan, als een beheerder voor veel Remote Desktop-verbindingen. Microsoft documenteerde RDCMan versie 3.22 op 15 oktober 2026.

RDCMan ondersteunt servergroepen, geërfde instellingen, miniaturen, referentieopslag en acties die op groepen verbindingen worden toegepast. Het organiseert administratieve RDP-sessies, maar publiceert geen applicaties, vervangt geen RD Gateway, biedt geen remote-supportworkflow of bepaalt de beveiliging van het toegangs pad.

Kies een alternatief op basis van de huidige functie

• Gebruik MSTSC voor een individuele traditionele RDP-verbinding vanuit Windows.
• Gebruik RDCMan wanneer een Windows-beheerder veel RDP-eindpunten moet organiseren.
• Gebruik een onderhouden RDP-client zoals FreeRDP op Linux.
• Gebruik remote-supportsoftware voor begeleide of onbegeleide helpdeskcontrole.
• Gebruik een applicatie-publicatiesysteem wanneer gebruikers centraal toegewezen Windows-applicaties of desktops nodig hebben.

MSTSC gebruiken met TSplus Remote Access

TSplus Remote Access kan toegewezen Windows-applicaties of volledige desktops leveren via Microsoft MSTSC, een andere RDP-compatibele client, een gegenereerde client of browsertoegang. MSTSC is een ondersteunde verbindingsmethode, niet de gehele productarchitectuur.

MSTSC kan een verbindingsmethode zijn

Met de gedocumenteerde MSTSC-methode , gebruikers verbinden via een standaard Remote Desktop-venster met bronnen die worden geleverd door TSplus Remote Access. De Universele Printer wordt niet ondersteund via deze MSTSC-verbinding.

Browsertoegang is een aparte verbindingservaring en vereist TSplus Remote Access Web Mobile editie of hoger. Genereerde clients zijn een andere optie en kunnen ondersteunen gedocumenteerde monitorselectie Compatibiliteit moet worden geverifieerd voor het gekozen verbindingstype in plaats van aan te nemen dat elke Microsoft RDP-eigenschap is gevalideerd met TSplus Remote Access.

Wanneer gecentraliseerde publicatie nuttiger is dan meer .rdp-bestanden

Houd MSTSC aan wanneer de vereiste een eenvoudige RDP-client voor een bekende eindpunt is. Overweeg TSplus Remote Access wanneer de echte taak is om Windows-toepassingen of desktops centraal te publiceren en toe te wijzen in plaats van geïsoleerde RDP-bestanden voor elke gebruiker en server te onderhouden.

Veel implementaties kunnen één server gebruiken. Gateway-, farm- en load-balancingmogelijkheden vereisen de TSplus Remote Access Enterprise editie, en een farm is een optie in plaats van een vereiste. TSplus Remote Access is geen volledige VDI en host de infrastructuur van de klant niet.

Als uw gebruikers centraal toegewezen Windows-toepassingen of desktops nodig hebben in plaats van een groeiende verzameling individuele RDP-bestanden, vergelijk dan de TSplus Remote Access-edities en verbindingsmethoden.

De TSplus 2FA-beperking met MSTSC

Beperkingen van de verbindingsmethode: TSplus two-factor authentication is een betaalde add-on die TSplus Remote Access Web Mobile of Enterprise Edition vereist. Het werkt niet met Microsoft mstsc.exe Directe RDP-verbindingen worden geweigerd voor gebruikers die zijn ingeschakeld voor TSplus 2FA, dus die gebruikers moeten verbinding maken via het ondersteunde webportaal of een compatibele gegenereerde client.

MFA moet een basisvereiste zijn voor externe en administratieve toegang, maar het is slechts één laag. Het moet worden gecombineerd met patching, lockout, brute-force bescherming, het principe van de minste privileges, segmentatie en monitoring.

Een beperkte beveiligings- en licentiechecklist

MSTSC beheert een clientverbinding. De schakelaars en opgeslagen instellingen kunnen de implementatie als geheel niet beveiligen of licentiëren. Controleer de omliggende architectuur voordat u een verbinding in productie neemt.

• Houd ruwe RDP-luisteraars uit het openbare internet.
• Gebruik een gateway, HTTPS-ingangspunt, reverse proxy of beschermd privépad.
• Gebruik geldige certificaten voor web- en gateway-ingangspunten.
• Vereis MFA via een verbindingsmethode die het ondersteunt.
• Handhaaf het principe van de minste privileges, accountvergrendeling en RDP brute-force bescherming .
• Beperk bron-IP-adressen, landen of vertrouwde apparaten waar de gebruikersbasis dit toestaat.
• Schakel het klembord, de schijf, de printer en de apparaatsdoorverwijzing uit die de workflow niet nodig heeft.
• Patch Windows, remote-accesssoftware en beveiligingstools.
• Gebruik TSplus Server Monitoring om actieve sessies en servergezondheid te monitoren.
• Segmenteer het netwerk en schakel ongebruikte poorten en services uit.
• Scheiding van administratieve accounts en dagelijkse gebruikersaccounts.
• Maak een back-up van de toegangsconfiguraties en test de herstelprocedure.
• Valideer Windows Server, RDS CAL, Office en Microsoft 365-licenties met Microsoft of een gekwalificeerde licentiepartner.

MSTSC is één client in het toegangspad. Een correct commando of RDP-bestand kan een verbinding tot stand brengen, maar het garandeert niet dat de implementatie veilig, goedgekeurd of correct gelicentieerd is.

Je kunt een starten gratis 15-daagse proefversie van TSplus Remote Access om applicatie- en desktoplevering op uw eigen Windows-infrastructuur te testen, en vervolgens de vereiste Microsoft-licenties voor uw configuratie te valideren.