mstsc Command: Przełączniki, Skróty i Ustawienia pliku .rdp

MSTSC, RDP, RDS i TermService to różne rzeczy

Terminy te są ze sobą powiązane, ale opisują różne części wdrożenia zdalnego dostępu. Mylenie ich może skierować rozwiązywanie problemów w niewłaściwym kierunku, szczególnie gdy ktoś szuka „usługi MSTSC” lub zakłada, że przełącznik MSTSC zmienia serwer.

Termin	Co to jest	Gdzie działa
mstsc.exe	klasyczny klient Połączenia z pulpitem zdalnym Microsoftu	Urządzenie klienckie systemu Windows
RDP	Protokół Pulpitu Zdalnego, który przenosi wyświetlanie, wejście i przekierowane zasoby	Między klientem a systemem zdalnym
RDS	Usługi pulpitu zdalnego, role serwera Windows firmy Microsoft do sesji zdalnych, dostarczanie aplikacji, bramy i pokrewne usługi	infrastruktura Windows Server
UsługaTerminala	Usługa Zdalnych Pulpitów związana z połączeniami RDP po stronie serwera	Host systemu Windows

Co robi mstsc.exe

dokumenty Microsoftu mstsc.exe jako klient, który łączy się z serwerem hosta sesji pulpitu zdalnego lub innym zdalnym komputerem. Możesz go otworzyć z poziomu Uruchom, Wiersza poleceń, PowerShell lub skrótu, z opcjami wiersza poleceń lub bez.

mstsc  
mstsc.exe  
mstsc /?  
mstsc "C:\Connections\Accounting.rdp"

Pierwsze dwa polecenia otwierają graficznego klienta. mstsc /? wyświetla składnię polecenia zainstalowanego klienta. Przekazanie pliku połączenia otwiera profil zapisany w tym pliku.

MSTSC jest klientem, a nie protokołem ani usługą

Dokumentacja protokołu zdalnego pulpitu Microsoftu opisuje RDP jako protokół klient-serwer. Na hoście usługa, którą administratorzy zazwyczaj mają na myśli mówiąc „usługa MSTSC”, to UsługaTerminala Usługa przekierowywania portów UserMode w Usługach Pulpitu Zdalnego UmRdpService może również wystąpić podczas diagnozy po stronie hosta.

Następujące polecenie PowerShell sprawdza te usługi na hoście Windows. Nie sprawdza usługi MSTSC, ponieważ taka usługa nie istnieje.

Get-Service TermService, UmRdpService

MSTSC jest również klientem zdalnego dostępu, a nie obsługą pomocy technicznej z udziałem użytkownika. Jeśli technik musi zobaczyć lub kontrolować urządzenie użytkownika w celu wsparcia, użyj oprogramowanie wsparcia zdalnego zapewniający zgodność, przepływy pracy techników i zarządzanie sesjami.

Windows 10, Windows 11 i starsze wersje systemu Windows

Bieżąca dokumentacja polecenia MSTSC firmy Microsoft wymienia Windows 10, Windows 11 oraz Windows Server 2016 do 2025 wśród obowiązujących wydań. Windows 8 może nadal pojawiać się w wyszukiwaniach historycznych i starszych środowiskach, ale nie jest obecnym celem wdrożeniowym na liście zastosowań firmy Microsoft. Sprawdź mstsc /? na rzeczywistym kliencie, ponieważ dostępne zachowanie może również zależeć od jego wersji systemu Windows i polityk.

Referencja przełączników wiersza poleceń MSTSC

Następująca tabela opiera się na aktualnej umowie dotyczącej polecenia MSTSC firmy Microsoft. Celowo pomija nieudokumentowane przełączniki, w tym /migrować , który nie pojawia się w bieżącej dokumentacji poleceń Microsoft.

Przełącznik	Cel	Ważne ograniczenie	Przykład
	Otwiera zapisany plik połączenia .rdp	Ścieżki cytatów zawierające spacje	mstsc "C:\Connections\Sales.rdp"
/v: [: ]	Określa zdalny host i opcjonalny port nasłuchujący	Wybiera miejsce docelowe, ale nie włącza RDP ani nie zmienia portu hosta.	mstsc /v:server01
/g:	Określa bramę RD	Microsoft dokumentuje to jako odczytane, gdy /v podaje miejsce docelowe.	mstsc /v:server01 /g:gateway.example.com
/admin	Prosi o sesję do zarządzania serwerem	Nie przyznaje praw administratora ani nie omija uwierzytelniania i licencjonowania.	mstsc /v:server01 /admin
/f lub /pełny ekran	Rozpoczyna sesję w trybie pełnoekranowym	Użyj Ctrl+Alt+Break, aby przełączyć tryb wyświetlania podczas sesji	mstsc /v:server01 /f
/w:	Ustala początkową szerokość okna	Zwykle w parze z /h	mstsc /v:server01 /w:1920 /h:1080
/h:	Ustala początkową wysokość okna	Zwykle sparowane z /w	mstsc /v:server01 /w:1920 /h:1080
/public	Uruchamia połączenie pulpitu zdalnego w trybie publicznym	Zapobiega pamięci podręcznej haseł i bitmap dla połączenia, ale nie jest kompletną polityką bezpieczeństwa urządzeń współdzielonych.	mstsc /v:server01 /public
/span	Rozciąga jeden zdalny pulpit na kompatybilne lokalne monitory	Microsoft wymaga monitorów ustawionych poziomo o tej samej rozdzielczości	mstsc /v:server01 /span
/multimon	Używa układu monitora klienta w sesji zdalnej	Możliwości hosta i polityka nadal obowiązują	mstsc /v:server01 /multimon
/l	Lista lokalnych monitorów i ich identyfikatorów	Użyj identyfikatorów z właściwością selectedmonitors	mstsc /l
/edycja	Otwiera zapisany plik połączenia do edycji	Ścieżka musi wskazywać na istniejący plik .rdp	mstsc /edit "C:\Connections\Sales.rdp"
/ograniczonyAdministrator	Używa trybu ograniczonego administratora, aby uniknąć wysyłania wielokrotnego użytku poświadczeń do zdalnego hosta.	Implikuje /admin i może wpływać na dostęp do innych zasobów sieciowych z sesji zdalnej	mstsc /v:server01 /restrictedAdmin
/remoteGuard	Używa Windows Defender Remote Credential Guard	Żądania uwierzytelnienia są przekierowywane do klienta; obowiązują wymagania dotyczące zgodności i polityki.	mstsc /v:server01 /remoteGuard
/prompt	Wymusza monit o dane uwierzytelniające	Przydatne podczas testowania, czy zapisane dane uwierzytelniające powodują problem	mstsc /v:server01 /prompt
/shadow:	Cieniowanie istniejącej sesji RDS	Wymaga ważnego identyfikatora sesji, autoryzacji i polityki wsparcia	mstsc /shadow:3
/kontrola	Kontrola żądań podczas shadowingu	Używane z /shadow	mstsc /shadow:3 /control
/brakZgodyPrompt	Prośby o cieniowanie bez pytania użytkownika sesji o zgodę	Wymaga autoryzacji i wsparcia polityki; używać tylko w ramach audytowanego procesu administracyjnego	mstsc /shadow:3 /control /noConsentPrompt
/?	Wyświetla pomoc dotyczącą polecenia	Przydatne do sprawdzania składni dostępnej w zainstalowanej wersji systemu Windows	mstsc /?

Przełączniki, które można łączyć

Zacznij od celu, a następnie dodaj tylko zachowanie, którego potrzebuje połączenie. Czytelne polecenia są łatwiejsze do rozwiązywania problemów niż skróty zawierające kilka zbędnych opcji.

mstsc /v:server01 /f  
mstsc /v:server01 /w:1920 /h:1080  
mstsc /v:server01.internal /g:gateway.example.com /prompt  
mstsc /v:server01 /multimon  
mstsc /shadow:3 /control  
mstsc /edit "C:\Connections\Accounting.rdp"

Te przykłady używają wewnętrznych nazw serwerów. Jeśli połączenie przechodzi przez internet, nasłuchiwacz RDP docelowego serwera nie powinien być publikowany bezpośrednio pod publicznym adresem.

Co /admin nie robi

/admin prosi o administracyjną sesję serwera. Nie czyni to konta łączącego administratorem, nie tworzy dodatkowego prawa do połączenia, nie omija uwierzytelniania na poziomie sieci ani nie narusza polityki hosta.

Granica licencjonowania: /admin , shadowing, polecenia MSTSC i zapisane pliki nie zwalniają z obowiązków licencyjnych Microsoftu. Microsoft stwierdza, że Wymagane są licencje RDS CALs w odpowiednich środowiskach RDS. Licencjonowanie Windows Server, RDS CAL, Office i Microsoft 365 zależy od systemu operacyjnego, modelu wdrożenia, użytkowników lub urządzeń oraz użycia aplikacji. Zweryfikuj swoją konfigurację z Microsoftem lub kwalifikowanym partnerem licencyjnym.

Ograniczony administrator i zdalna ochrona

Restricted Admin i Remote Credential Guard to tryby ochrony poświadczeń, a nie pełne architektury zabezpieczeń dostępu. Microsoft dokumentuje je jako alternatywy w składni MSTSC, więc nie określaj obu dla tego samego połączenia.

Tryb	Zachowanie poświadczeń	Rozważania operacyjne
Ograniczony administrator	Unika przesyłania wielokrotnego użytku poświadczeń do zdalnego hosta	Implikuje /admin; dalszy dostęp z sesji zdalnej może się nie powieść, ponieważ dane uwierzytelniające użytkownika nie są tam dostępne.
Guardia poświadczeń zdalnych	Przekierowuje żądania uwierzytelnienia z powrotem do klienta	Wymaga zgodnej konfiguracji systemu Windows, domeny i polityki

Żaden z trybów nie zastępuje łatania, minimalnych uprawnień, MFA, segmentacji, kontroli blokady ani monitorowania. Przetestuj zgodność z usługami, do których administrator musi uzyskać dostęp z sesji zdalnej.

Praktyczne polecenia MSTSC do typowych zadań

Rozpocznij sesję na pełnym ekranie lub o stałym rozmiarze

Użyj /f lub /pełny ekran na pełnym ekranie. Użyj /w i /h gdy przewidywalny rozmiar okna jest bardziej przydatny.

mstsc /v:server01 /f  
mstsc /v:server01 /w:1920 /h:1080

Microsoft dokumentuje zakres od 200 do 8192 pikseli dla odpowiadającego szerokość pulpitu i wysokość pulpitu Właściwości RDP. Zakres właściwości udokumentowanych nie powinien być traktowany jako gwarancja, że każda rozdzielczość jest praktyczna w każdym układzie klienta, hosta lub monitora.

Otwórz lub edytuj plik RDP

Przekazanie ścieżki pliku otwiera połączenie. Dodawanie /edycja otwiera swoje ustawienia w Połączeniu z pulpitem zdalnym, zamiast natychmiast rozpocząć sesję.

mstsc "C:\Connections\Accounting Department.rdp" mstsc /edit "C:\Connections\Accounting Department.rdp"

Połącz przez bramę RD

The /v wartość identyfikuje miejsce docelowe, podczas gdy /g identyfikuje bramę RD używaną do jej osiągnięcia. Dokumenty Microsoftu /g jako odczytywane, gdy /v jest również dostarczany.

mstsc /v:server01.internal /g:gateway.example.com /prompt

Zasada dostępu do Internetu: Jeśli cel musi być osiągnięty przez internet, użyj chronionej bramy, punktu wejścia HTTPS, odwrotnego proxy lub prywatnej ścieżki dostępu zamiast przekazywania nasłuchiwacza RDP celu. Poprawnie składniowo /g lub /v Polecenie dowodzi jedynie, że klient ma instrukcje połączenia. Nie dowodzi, że ścieżka dostępu jest zaprojektowana w sposób bezpieczny.

Zacienić istniejącą sesję

Shadowing wymaga identyfikatora istniejącej sesji. /kontrola żąda interakcji z tą sesją, podczas gdy /brakZgodyPrompt prośby, aby MSTSC nie pytał użytkownika sesji o zgodę.

mstsc /shadow:3 /control

Autoryzacja, polityka, stan sesji i audyt wciąż mają zastosowanie. Shadowing to administracyjna funkcja RDS, a nie substytut produktu zdalnego wsparcia z obsługą, który ma kolejki techników, zgodę użytkownika i zapisy pomocy technicznej.

Wiele monitorów: /multimon, /span, /l i wybrane monitory

Cztery opcje rozwiązują różne problemy. Wybierz tryb przed dodaniem ustawień monitora do wielokrotnego użytku profilu.

Opcja	Zachowanie	Wymaganie lub przypadek użycia
/multimon	Tworzy sesję zdalną świadomą monitora, która podąża za lokalnym układem.	Użyj, gdy aplikacje powinny rozpoznawać oddzielne zdalne monitory
/span	Tworzy jeden powiększony pulpit rozciągający się na monitorach	Wymaga monitorów ustawionych poziomo o tej samej rozdzielczości
/l	Lista identyfikatorów monitorów i geometria	Uruchom przed wybraniem podzbioru monitorów
wybrane monitory:s:	Wybiera konkretne identyfikatory monitorów w pliku RDP	Wymaga trybu wielu monitorów i zgodnego układu monitorów

Użyj /multimon do zdalnej sesji z obsługą wielu monitorów

/multimon odtwarza układ monitorów po stronie klienta w sesji zdalnej, zamiast prezentować jedną powiększoną powierzchnię. Środowisko zdalne może następnie traktować wyświetlacze jako oddzielne monitory, w zależności od możliwości hosta i polityki.

mstsc /v:server01 /multimon

Użyj /span tylko dla kompatybilnego układu poziomego

/span nie jest aliasem dla /multimon Microsoft wymaga, aby monitory miały tę samą rozdzielczość i były wyrównane poziomo. Jeśli wyświetlacze mają różne rozdzielczości lub pionowe przesunięcie, użyj trybu wielu monitorów.

Znajdź identyfikatory monitorów i wybierz konkretne monitory

Najpierw wymień identyfikatory monitorów, które widzi MSTSC. Następnie umieść wymagane identyfikatory w zapisanym pliku RDP.

mstsc /l

use multimon:i:1 selectedmonitors:s:0,2

Microsoft dokumentuje dodatkowe ograniczenia układu dla wybranych monitorów, w tym potrzebę, aby wybrany zestaw tworzył ważny prostokątny układ. Przetestuj profil na zamierzonym stanowisku roboczym, ponieważ numeracja monitorów może się zmieniać, gdy zmieniają się wyświetlacze, stacje dokujące lub ustawienia graficzne.

Skróty klawiszowe pulpitu zdalnego

Użyj Ctrl+Alt+End wysłać zdalny odpowiednik Ctrl+Alt+Del Windows przechwytuje Ctrl+Alt+Del lokalnie, dlatego MSTSC używa innej kombinacji do sesji zdalnej.

Lokalna kombinacja klawiszy	Zdalna akcja	Ograniczenie
Ctrl+Alt+End	Zdalny odpowiednik Ctrl+Alt+Del	Zagnieżdżone sesje i RemoteApp mogą zmienić miejsce, w którym polecenie jest obsługiwane.
Ctrl+Alt+Break	Przełącza między wyświetlaniem w oknie a pełnoekranowym	Niektóre klawiatury oznaczają klawisz Pauza lub wymagają kombinacji Fn.
Alt+Page Up	Przełącza aplikacje zdalne z lewej na prawą	Zdalny odpowiednik Alt+Tab
Alt+Page Down	Przełącza aplikacje zdalne z prawej na lewą	Zdalny odpowiednik przełączania aplikacji wstecz
Alt+Home	Otwiera zdalne menu Start	Dotyczy sesji pulpitu zdalnego
Ctrl+Alt+Plus	Kopiuje obraz całego okna sesji zdalnej do schowka	Microsoft dokumentuje klawisz plus na klawiaturze numerycznej
Ctrl+Alt+Minus	Kopiuje obraz aktywnego okna zdalnego do schowka	Microsoft dokumentuje klawisz minus na klawiaturze numerycznej
Ctrl+Alt+Home	Aktywuje pasek połączenia w trybie pełnoekranowym	Istotne, gdy pasek połączenia jest ukryty

Zachowanie klawiatury w sesjach okienkowych, pełnoekranowych, zagnieżdżonych i RemoteApp

The hook klawiatury Kontrola właściwości RDP określa, czy kombinacje klawiszy Windows mają zastosowanie lokalnie, zdalnie, czy tylko w zdalnej sesji w trybie pełnoekranowym. Zagnieżdżone sesje dodają kolejny możliwy cel dla skrótu, a RemoteApp nie reprodukuje każdego zachowania klawiatury pełnoekranowego pulpitu.

Jeśli kombinacja klawiszy dotrze do niewłaściwego komputera, najpierw przetestuj pojedynczą sesję nienestowaną i dokonaj przeglądu. hook klawiatury Nie osłabiaj ustawień uwierzytelniania ani zabezpieczeń hosta, aby rozwiązać problem z trasowaniem wejścia.

Domyślny.rdp i pliki .rdp do ponownego użycia

MSTSC przechowuje zapamiętane preferencje klienta per-user w ukrytym pliku o nazwie Default.rdp Osobno nazwane pliki RDP mogą być zapisywane w innym miejscu dla konkretnych lokalizacji, bramek, układów monitorów i zasad przekierowania.

%USERPROFILE%\Documents\Default.rdp

Czym jest Default.rdp

dokumenty Microsoftu Default.rdp jako ukryty plik utworzony lub zaktualizowany przez Remote Desktop Connection w folderze Dokumenty użytkownika. Wpływa to na preferencje klienta tego użytkownika. Zmiana nazwy lub resetowanie go nie włącza Remote Desktop, nie zmienia nasłuchiwacza ani nie zmienia polityki na zdalnym hoście.

Aby sprawdzić, czy zaangażowane są przestarzałe ustawienia klienta:

1. Zamknij wszystkie okna połączenia z pulpitem zdalnym.
2. Zrób kopię zapasową lub zmień nazwę Default.rdp .
3. Otwórz ponownie MSTSC, aby mogło odtworzyć zapamiętane preferencje klienta.
4. Przetestuj połączenie przed skopiowaniem starych ustawień do nowego pliku.

składnia pliku RDP

Plik RDP jest konfiguracją opartą na tekście. Typowa linia wygląda następująco typ:właściwość:wartość , gdzie i identyfikuje liczbę całkowitą i s identyfikuje ciąg.

pełny adres:s:server01.internal  
tryb ekranu id:i:2  
użyj multimon:i:1  
przekieruj schowek:i:1  

Nie zakładaj, że każda właściwość udokumentowana przez Microsoft działa identycznie z każdym zdalnym komputerem, RDS, Azure Virtual Desktop lub połączeniem TSplus. Strona właściwości RDP obsługiwana przez Microsoft obejmuje kilka produktów RDP i przypisuje zastosowanie według właściwości. Wersja klienta, typ docelowy, polityka serwera i metoda połączenia mogą mieć znaczenie.

Jak przełączniki, ustawienia plików, wybory GUI i polityka współdziałają

Microsoft nie publikuje jednej uniwersalnej hierarchii precedencji obejmującej każdy przełącznik polecenia, właściwość pliku RDP, ustawienie graficzne, zasady grupy i politykę hosta. Unikaj ustawiania tego samego zachowania w różny sposób w kilku miejscach.

Testowanie zasady: Gdy konflikt musi być zbadany, użyj jednorazowego profilu i zanotuj wersję systemu Windows, wersję klienta, typ docelowy oraz obowiązujące zasady. Zmieniaj jedną wartość na raz. Ustawienie klienta nie może nadpisywać polityki hosta lub kolekcji, która zabrania żądanej funkcjonalności.

Referencja parametrów pliku RDP

Tabele poniżej obejmują właściwości, które są szczególnie przydatne w przypadku MSTSC. Wartości odzwierciedlają dokumentację właściwości RDP wspieraną przez Microsoft, ale etykiety dotyczące zastosowania Microsoftu pozostają autorytatywne dla każdego produktu połączeniowego. Dokumentowanie właściwości dla jednego produktu RDP Microsoftu nie ustanawia zgodności z każdym innym celem.

Właściwości docelowe, tożsamości i uwierzytelniania

Właściwość i typ	Akceptowana wartość	Cel	Uwaga dotycząca bezpieczeństwa lub zastosowania
pełny adres:s:	Nazwa hosta lub adres, opcjonalnie z portem	Identyfikuje główny cel	Zweryfikuj tożsamość przed dystrybucją pliku
alternatywny pełny adres:s:	Alternatywna nazwa hosta lub adres	Zapewnia alternatywny adres połączenia, gdzie jest to obsługiwane	Zastosowanie zależy od produktu RDP
nazwa_użytkownika:s:	Nazwa użytkownika w wymaganym formacie konta	Wstępnie wypełnia nazwę konta	Nie myl przechowywanej nazwy z bezpiecznym przechowywaniem poświadczeń.
domena:s:	Nazwa domeny	Wstępnie wypełnia domenę uwierzytelniania	Format konta i dostawca tożsamości nadal kontrolują logowanie.
proszę o dane uwierzytelniające:i:	0 lub 1	Kontroluje, czy użytkownik jest proszony o dane uwierzytelniające	Polityka może nadal wymagać wezwania
promptcredentialonce:i:	0 lub 1	Kontroluje, czy dane logowania do bramy i docelowego miejsca są wymagane tylko raz, jeśli jest to obsługiwane.	Metody uwierzytelniania bramy i celu muszą być zgodne
poziom uwierzytelnienia:i:	0, 1 lub 2	Wybiera, czy zignorować nieudane uwierzytelnienie serwera, zablokować połączenie, czy wyświetlić ostrzeżenie	Użyj rygorystycznego ustawienia odpowiedniego dla zarządzanego środowiska; nie tłum w rutynowy sposób ostrzeżeń o tożsamości.
enablecredsspsupport:i:	0 lub 1	Wsparcie dostawcy zabezpieczeń poświadczeń kontrolnych, gdzie to ma zastosowanie	Zmiana tego wpływa na uwierzytelnianie i zgodność z uwierzytelnianiem na poziomie sieci.
negocjować warstwę zabezpieczeń:i:	0 lub 1	Kontroluje negocjację warstwy zabezpieczeń tam, gdzie jest to wspierane	Nie wyłączaj negocjacji jako rutynowego kroku rozwiązywania problemów.

Pliki wielokrotnego użytku nie powinny zawierać osadzonych haseł w postaci tekstu jawnego. Używaj zatwierdzonego przechowywania poświadczeń i kontroli uwierzytelniania zamiast rozpowszechniać sekrety wewnątrz profili połączeń.

Wyświetl i monitoruj właściwości

Właściwość i typ	Akceptowana wartość lub zakres	Cel	Odpowiednik lub uwaga
tryb ekranu id:i:	1 okno, 2 pełny ekran	Ustala początkowy tryb wyświetlania	Związane z /f i /fullscreen
desktopwidth:i:	200 do 8192 pikseli	Ustala szerokość pulpitu zdalnego	Związane z /w
desktopheight:i:	200 do 8192 pikseli	Ustala wysokość pulpitu zdalnego	Związane z /h
session bpp:i:	15, 16, 24 lub 32	Ustawia głębię kolorów sesji	Wsparcie hosta i polityka mogą to ograniczać
użyj multimon:i:	0 lub 1	Umożliwia sesję wielomonitorową z uwzględnieniem monitora	Związane z /multimon
wybrane monitory:s:	Identyfikatory monitorów oddzielone przecinkami	Wybiera podzbiór lokalnych monitorów	Użyj mstsc /l, aby znaleźć identyfikatory; wymaga trybu wielu monitorów
monitory span:i:	0 lub 1	Rozciąga jeden pulpit na wielu monitorach	Związane z /span; wymagany poziomy układ o tej samej rozdzielczości
inteligentne dopasowanie:i:	0 lub 1	Skaluje wyświetlany pulpit zdalny do okna klienta	Skalowanie nie zmienia zdalnej rozdzielczości dynamicznie
dynamiczna rozdzielczość:i:	0 lub 1	Dostosowuje zdalną rozdzielczość, gdy okno klienta zmienia rozmiar	Wsparcie zależy od klienta i celu
desktopscalefactor:i:	udokumentowany przez Microsoft procent skalowania	Ustala skalę pulpitu tam, gdzie to możliwe	Sprawdź zastosowanie produktu przed wdrożeniem
devicescalefactor:i:	udokumentowana przez Microsoft wartość skali urządzenia	Kontroluje skalowanie związane z urządzeniem, gdzie to możliwe	Nie jest to uniwersalne ustawienie MSTSC dla wszystkich typów docelowych.

Przekierowanie klawiatury, audio i zasobów lokalnych

Właściwość i typ	Akceptowana wartość	Cel	Rozważania dotyczące polityki
keyboardhook:i:	0 lokalny, 1 zdalny, 2 zdalny w trybie pełnoekranowym	Kontrola, gdzie stosowane są kombinacje klawiszy Windows	Sesje zagnieżdżone i RemoteApp mogą zachowywać się inaczej
audiomode:i:	0 graj lokalnie, 1 graj zdalnie, 2 wyłącz	Kontroluj odtwarzanie audio	Polityka hosta może ograniczać przekierowanie dźwięku
audiocapturemode:i:	0 lub 1	Wyłącza lub włącza przekierowanie przechwytywania mikrofonu	Włącz tylko wtedy, gdy workflow tego wymaga
przekierujschowek:i:	0 lub 1	Kontrola przekierowania schowka	Można przenosić dane w obu kierunkach; polityka hosta może to zablokować.
redirectprinters:i:	0 lub 1	Kontrola przekierowania drukarki	Wymagania dotyczące sterowników i polityki hosta nadal obowiązują
przekierujdyski:i:	0 lub 1	Kontroluje szerokie zachowanie przekierowania dysku.	Ogranicz dostęp, gdy użytkownicy nie potrzebują lokalnego transferu plików
drivestoredirect:s:	Lista konkretnych dysków, * dla wszystkich lub obsługiwana wartość dynamicznego dysku	Wybiera dyski udostępnione zdalnie	Użyj najwęższej listy, która wspiera zadanie
przekierujporty:i:	0 lub 1	Kontrola przekierowania portu szeregowego	Dostępność zależy od klienta, hosta i polityki
redirectsmartcards:i:	0 lub 1	Kontrola przekierowania karty inteligentnej	Architektura i polityka uwierzytelniania decydują, czy to działa.

Typowy błąd: Ustawienie właściwości przekierowania na 1 tylko żąda funkcji z strony klienta. Nie dowodzi, że host, kolekcja RDS lub zasady grupy na to pozwalają. Właściwości urządzenia, USB i WebAuthn mają również zastosowanie specyficzne dla połączenia, więc przed dodaniem ich do profilu organizacyjnego zweryfikuj aktualną stronę właściwości Microsoft.

Właściwości bramy

Właściwość i typ	Akceptowana wartość	Cel	Notatka operacyjna
gatewayhostname:s:	Nazwa hosta bramy	Identyfikuje bramę RD	Nazwa powinna odpowiadać certyfikatowi bramy
metoda użycia bramy:i:	kody 0 do 4 udokumentowane przez Microsoft	Wybiera brak bramy, wymagane użycie, warunkowe użycie lub skonfigurowane domyślne zachowanie	Użyj interfejsu bramy MSTSC, aby wygenerować zamierzona wartość, gdy to możliwe.
gatewaycredentialssource:i:	Udokumentowane kody dla hasła, karty inteligentnej, późniejszego wyboru lub obsługiwanej autoryzacji internetowej	Wybiera źródło poświadczeń bramy	Dostępność zależy od konfiguracji uwierzytelniania bramy
gatewayprofileusagemethod:i:	0 lub 1	Kontroluje, czy używane są domyślne lub jawne ustawienia profilu bramy.	Zachowaj wartości generowane przez GUI, chyba że dokumentacja wdrożeniowa stanowi inaczej.
promptcredentialonce:i:	0 lub 1	Kontrola ponownego użycia jednego komunikatu do uwierzytelniania bramy i miejsca docelowego	Nie łączy niekompatybilnych systemów tożsamości

Profil bramy powinien nadal identyfikować wewnętrzny cel. Dodanie nazwy hosta bramy przy pozostawieniu celu jako publicznego słuchacza RDP podważa sens korzystania z chronionej ścieżki wejściowej.

Właściwości wydajności i doświadczenia połączenia

Właściwość i typ	Akceptowana wartość	Cel	Wskazówki
networkautodetect:i:	0 lub 1	Umożliwia automatyczne wykrywanie sieci	Zazwyczaj lepsze niż stałe założenia dotyczące połączenia
szerokość pasma automatyczne wykrywanie:i:	0 lub 1	Umożliwia wykrywanie przepustowości	Wymaga zgodnego zachowania wykrywania sieci
typ połączenia:i:	1 przez 7	Klasyfikuje połączenie od niskiej prędkości przez LAN lub automatyczne wykrywanie	Automatyczne wykrywanie sprawia, że ręczne dostosowywanie staje się drugorzędne w wielu środowiskach.
kompresja:i:	0 lub 1	Kontrola kompresji danych RDP	Nie wyłączaj go na podstawie przestarzałych wskazówek dotyczących strojenia.
wyłącz tapetę:i:	0 lub 1	Kontroluje, czy tapeta pulpitu jest tłumiona	Może zmniejszyć niepotrzebne dane wizualne
zezwól na wygładzanie czcionek:i:	0 lub 1	Włącz wygładzanie czcionek	Równoważy wygląd tekstu i koszty połączenia
zezwól na kompozycję pulpitu:i:	0 lub 1	Kontroluje kompozycję pulpitu tam, gdzie jest to wspierane	Zastosowanie zależy od klienta i celu

Właściwości RemoteApp

Plik RDP może żądać indywidualnie opublikowanej aplikacji, ale plik nie może samodzielnie opublikować tej aplikacji. Środowisko po stronie serwera musi opublikować program i autoryzować użytkownika.

Właściwość i typ	Akceptowana wartość	Cel	Wymaganie
tryb aplikacji zdalnej:i:	0 lub 1	Włącza tryb RemoteApp	Wymagane jest zgodne środowisko publikacji
programaplikacjizdalnych:s:	Opublikowany identyfikator aplikacji	Identyfikuje program do uruchomienia	Musisz dopasować aplikację opublikowaną na serwerze
nazwaaplikacjizdalnej:s:	Nazwa wyświetlana	Podaje nazwę aplikacji wyświetlaną użytkownikowi	Nie przyznaje dostępu
remoteapplicationcmdline:s:	Obsługiwane parametry wiersza poleceń	Przekazuje do aplikacji dozwolone argumenty	Polityka serwera i konfiguracja aplikacji mogą ograniczać argumenty

Traktuj pliki .rdp jako konfigurację, a nie nieszkodliwe skróty.

Plik RDP może kierować użytkowników do miejsca docelowego, żądać zachowania bramy i umożliwiać ścieżki transferu, takie jak schowek, dyski, drukarki lub karty inteligentne. To sprawia, że jest to konfiguracja operacyjna z konsekwencjami bezpieczeństwa, a nie tylko ikona pulpitu.

• Zweryfikuj miejsce docelowe i bramę przed zatwierdzeniem pliku.
• Przegląd ustawień schowka, dysku, drukarki, karty inteligentnej, audio i związanych z poświadczeniami.
• Podpisz pliki organizacyjne, gdy środowisko wymaga weryfikacji wydawcy.
• Użyj zasad grupy, aby określić, jak obsługiwane są pliki niesygnowane, sygnowane i nieufne.

Podpisane pliki i zaufani wydawcy

Wytyczne dotyczące bezpieczeństwa plików RDP firmy Microsoft , datowany na 14 lipca 2026 r., opisuje trzy obszary zasad grupowych kontrolujących, jak połączenie pulpitu zdalnego obsługuje pliki RDP: zasady dla plików niesigned, zasady dla plików podpisanych oraz lista jawnie zaufanych wydawców. Wytyczne obejmują również odciski palców certyfikatów SHA-2 oraz zmiany w dialogu zabezpieczeń wprowadzonych w 2026 roku.

Stanowisko Microsoftu w zakresie środowisk o wysokim poziomie bezpieczeństwa polega na tym, że użytkownicy mogą być ograniczeni do plików RDP podpisanych przez wyraźnie zaufanych wydawców, a inne pliki są blokowane.

Dokładna polityka powinna odpowiadać poziomowi ryzyka organizacji, a nie polegać na tym, że każdy użytkownik poprawnie interpretuje ostrzeżenie.

Porty, porty niestandardowe i przekierowywanie portów

Port w poleceniu MSTSC informuje klienta, gdzie się połączyć. Nie zmienia to konfiguracji nasłuchu serwera, zapory, certyfikatu, bramy ani translacji adresów sieciowych.

Port i transport	Rola	Kontekst połączenia
TCP i UDP 3389	Standardowy bezpośredni port RDP	Klient do hosta, zwykle w sieci wewnętrznej lub chronionej
TCP 443	Zewnętrzny ruch HTTPS do bramy RD	Klient do bramy
UDP 3391	RDP przez UDP przez bramę RD	Klient do bramy, gdzie włączone

Te porty RDP pochodzić z Referencja portu RDS firmy Microsoft z lutego 2026 roku Są to fakty dotyczące sieci, a nie zalecenie do publicznego udostępniania TCP lub UDP 3389.

Połącz z portem innym niż domyślny

Dodaj port do docelowego adresu po dwukropku. Działa to tylko wtedy, gdy host już nasłuchuje na tym porcie, a chroniona ścieżka sieciowa na to pozwala.

mstsc /v:server01.internal:3390

MSTSC nie może zmienić portu nasłuchującego hosta

Zmiana słuchacza to skoordynowana operacja po stronie hosta, obejmująca konfigurację systemu Windows, usługi pulpitu zdalnego, zasady zapory ogniowej oraz wszelkie kontrolki sieciowe upstream. Microsoft stwierdza, że RDS może używać innego portu, ale nie zaleca zmiany portu. jako normalne podejście.

Niestandardowy port może zmniejszyć automatyczny hałas, ale sam w sobie nie jest kontrolą bezpieczeństwa. Użyj dedykowanego przewodnika do zmiany portu, jeśli musisz zmienić nasłuchiwacz, i zaplanuj walidację oraz przywracanie, zamiast traktować polecenie klienta jako procedurę zmiany.

Nie przekazuj surowego portu RDP do publicznego internetu

Reguła decyzyjna: Jeśli dostęp jest wewnętrzny lub już chroniony przez prywatną sieć, połącz się z wewnętrznym hostem i nasłuchiwaczem. Jeśli dostęp przechodzi przez internet, użyj HTTPS, bramy RD, odwrotnego proxy lub innego chronionego punktu wejścia z MFA i kontrolami dostępu. Nie publikuj portu 3389 ani niestandardowego portu nasłuchującego RDP bezpośrednio w internecie.

RDP nie jest niebezpieczny z założenia. Ryzyko wzrasta, gdy nasłuchiwacz RDP jest publicznie wystawiony, dane uwierzytelniające są słabe lub używane ponownie, systemy są nieaktualne, a próby dostępu nie są monitorowane. CISA, FBI i Australijski Dyrektoriat Sygnalizacji zalecili w swoim aktualizacji BianLian z 20 listopada 2024 roku, że organizacje ściśle ograniczają RDP, zamykają nieużywane porty, egzekwują blokady, stosują odporne na phishing MFA i rejestrują próby dostępu.

MSTSC nie działa: zidentyfikuj warstwę, która zawodzi

Nieudane połączenie MSTSC może pochodzić z profilu klienta, DNS, ścieżki sieciowej, nasłuchującego hosta, uwierzytelniania, autoryzacji, bramy lub konfiguracji wyświetlania. Testuj te warstwy w kolejności, zamiast osłabiać ustawienia zabezpieczeń, aż błąd się zmieni.

1. Potwierdź klienta i profil

Uruchom mstsc /? aby potwierdzić, że klient uruchamia się i sprawdzić jego dostępny składni. Przetestuj docelowy adres bez zapisanego pliku RDP. Jeśli czyste połączenie działa, porównaj plik z nowo utworzonym profilem lub przetestuj z resetem Default.rdp .

2. Potwierdź osiągalność DNS i portu

Rozwiąż nazwę docelową, a następnie przetestuj port nasłuchujący z sieci klienta. Użyj rzeczywistego wewnętrznego hosta i skonfigurowanego portu.

Resolve-DnsName server01.internal  
Test-NetConnection server01.internal -Port 3389

Nieudane wyszukiwanie DNS różni się od rozwiązanej nazwy hosta z zablokowanym portem. Udany test portu dowodzi jedynie podstawowej dostępności. Nie dowodzi, że konto jest autoryzowane ani że uwierzytelnienie zakończy się sukcesem.

3. Sprawdź usługę hosta i nasłuchiwacz

Na hoście potwierdź, że zdalny pulpit jest włączony i sprawdź odpowiednie usługi. Dokumentacja rozwiązywania problemów Microsoft identyfikuje UsługaTerminala i UmRdpService jako komponenty po stronie hosta do sprawdzenia.

Get-Service TermService, UmRdpService

Stan słuchacza, konflikty portów, zasady zapory i konfiguracja hosta nie są kontrolowane przez klienta MSTSC. Zbadaj te elementy na hoście lub za pomocą odpowiedniego procesu zarządzania serwerem.

4. Sprawdź tożsamość, autoryzację, NLA i politykę

Słuchacz, który jest osiągalny, może nadal odrzucić połączenie. Sprawdź format konta, stan hasła, zablokowanie konta, prawa do logowania się do pulpitu zdalnego, członkostwo w grupie, wymagania dotyczące uwierzytelniania na poziomie sieci oraz skuteczną politykę grupową.

Nie używaj /admin jako odpowiedź na odrzucone dane uwierzytelniające. Zmienia typ żądanej sesji, a nie tożsamość ani uprawnienia użytkownika.

5. Sprawdź błędy bramy i certyfikatu osobno

Autoryzacja bramy, dostępność bramy, dostępność bramy do celu oraz autoryzacja celu to oddzielne etapy. Ostrzeżenie o certyfikacie jest również problemem tożsamości, a nie ogólnym dowodem na to, że „RDP jest niedostępne”. Potwierdź, że żądana nazwa odpowiada certyfikatowi i że łańcuch wydawania jest zaufany.

6. Usuń zmienne wyświetlania i przekierowania

Przetestuj ponownie z jednym monitorem i minimalnym przekierowaniem zasobów lokalnych. Jeśli to zadziała, dodaj monitor, ustawienia schowka, dysku, drukarki i audio z powrotem jeden po drugim.

Nie wyłączaj NLA, walidacji certyfikatu ani szyfrowania jako rutynowej pierwszej reakcji. Dedykowany przewodnik po rozwiązywaniu problemów z pulpitem zdalnym może posunąć diagnozę dalej, gdy te ograniczone testy identyfikują warstwę, która zawodzi, ale nie jej przyczynę.

Klienci Linux, menedżery połączeń i alternatywy MSTSC

Wybierz alternatywę w oparciu o rzeczywistą pracę. Implementacja RDP w systemie Linux, menedżer połączeń Windows, centralne publikowanie aplikacji oraz produkt do zdalnego wsparcia rozwiązują różne problemy.

Potrzeba	Odpowiednia kategoria	Przykład i główny limit
Jedno tradycyjne połączenie RDP Windows	Wbudowany klient Windows	MSTSC; specyficzny dla systemu Windows i nie jest systemem publikacji
Wiele zapisanych punktów końcowych RDP systemu Windows	Menadżer połączeń	Microsoft Sysinternals RDCMan; organizuje połączenia, ale nie tworzy architektury dostępu
RDP z systemu Linux	Wieloplatformowa implementacja RDP	FreeRDP; składnia musi być sprawdzona w odniesieniu do zainstalowanej wersji
Przypisane aplikacje Windows lub pulpity	Centralne dostarczanie dostępu zdalnego	System publikacji aplikacji; wymaga wdrożenia po stronie serwera i autoryzacji
Kontrola urządzenia użytkownika przez helpdesk	Oprogramowanie do zdalnego wsparcia	Zaprojektowane z myślą o technikach i procesach wsparcia, a nie o centralnej dostawie aplikacji

Nie ma wersji Linux mstsc.exe

mstsc.exe jest plikiem wykonywalnym systemu Windows. FreeRDP jest utrzymywaną, otwartą implementacją RDP na wielu platformach, i xfreerdp jest powszechnym klientem Linuksa związanym z projektem.

Składnia polecenia FreeRDP może się różnić między głównymi wersjami. Sprawdź zainstalowanego klienta. --pomoc wyjście i aktualna dokumentacja FreeRDP zamiast kopiowania starego polecenia bez weryfikacji.

Użyj Menedżera Połączeń Pulpitu Zdalnego do wielu zapisanych połączeń Windows

Microsoft Sysinternals zajmuje się Menedżerem połączeń pulpitu zdalnego lub RDCMan, jako menedżer dla wielu połączeń zdalnego pulpitu. Microsoft udokumentował wersję RDCMan 3.22 w dniu 15 października 2026 roku.

RDCMan obsługuje grupy serwerów, dziedziczone ustawienia, miniatury, magazyny poświadczeń oraz akcje stosowane do grup połączeń. Organizuje administracyjne sesje RDP, ale nie publikuje aplikacji, nie zastępuje bramy RD, nie zapewnia przepływu pracy zdalnego wsparcia ani nie określa bezpieczeństwa ścieżki dostępu.

Wybierz alternatywę według aktualnej pracy

• Użyj MSTSC do indywidualnego tradycyjnego połączenia RDP z systemu Windows.
• Użyj RDCMan, gdy administrator systemu Windows musi zorganizować wiele punktów końcowych RDP.
• Użyj utrzymywanego klienta RDP, takiego jak FreeRDP na Linuksie.
• Użyj oprogramowania do zdalnego wsparcia do kontrolowania pomocy technicznej z udziałem lub bez udziału.
• Użyj systemu publikacji aplikacji, gdy użytkownicy potrzebują centralnie przypisanych aplikacji lub pulpitów Windows.

Używanie MSTSC z TSplus Remote Access

TSplus Remote Access może dostarczać przypisane aplikacje systemu Windows lub pełne pulpity za pośrednictwem Microsoft MSTSC, innego klienta zgodnego z RDP, wygenerowanego klienta lub dostępu przez przeglądarkę. MSTSC jest jedną z obsługiwanych metod połączenia, a nie całą architekturą produktu.

MSTSC może być jedną z metod połączenia

Z udokumentowana metoda MSTSC użytkownicy łączą się przez standardowe okno Zdalnego Pulpitu do zasobów dostarczanych przez TSplus Remote Access. Uniwersalna Drukarka nie jest obsługiwana przez tę metodę połączenia MSTSC.

Dostęp przez przeglądarkę to osobne doświadczenie połączenia i wymaga edycji Web Mobile TSplus Remote Access lub wyższej. Wygenerowani klienci to inna opcja i mogą wspierać udokumentowany wybór monitora Należy zweryfikować zgodność dla wybranego typu połączenia, a nie zakładać, że każda właściwość Microsoft RDP została zatwierdzona z TSplus Remote Access.

Kiedy centralne publikowanie jest bardziej przydatne niż więcej plików .rdp

Zachowaj MSTSC, gdy wymagany jest prosty klient RDP dla znanego punktu końcowego. Rozważ TSplus Zdalny Dostęp gdy prawdziwym zadaniem jest publikowanie i przypisywanie aplikacji Windows lub pulpitów centralnie, zamiast utrzymywania izolowanych plików RDP dla każdego użytkownika i serwera.

Wiele wdrożeń może korzystać z jednego serwera. Funkcje bramy, farmy i równoważenia obciążenia wymagają edycji Enterprise TSplus Remote Access, a farma jest opcją, a nie wymogiem. TSplus Remote Access nie jest pełnym VDI i nie hostuje infrastruktury klienta.

Jeśli Twoi użytkownicy potrzebują centralnie przypisanych aplikacji Windows lub pulpitów zamiast rosnącej kolekcji indywidualnych plików RDP, porównaj edycje TSplus Remote Access i metody połączeń.

Ograniczenie TSplus 2FA z MSTSC

Ograniczenie metody połączenia: TSplus uwierzytelnianie dwuskładnikowe jest płatnym dodatkiem wymagającym TSplus Remote Access Web Mobile lub Enterprise Edition. Nie działa z Microsoftem mstsc.exe Bezpośrednie połączenia RDP są zabronione dla użytkowników włączonych do TSplus 2FA, więc ci użytkownicy muszą łączyć się przez obsługiwany portal internetowy lub kompatybilnego klienta generowanego.

MFA powinno być podstawą dla zdalnego i administracyjnego dostępu, ale to tylko jedna warstwa. Musi być połączone z aktualizacjami, blokowaniem, ochroną przed atakami siłowymi, minimalnymi uprawnieniami, segmentacją i monitorowaniem.

Lista kontrolna dotycząca zabezpieczeń i licencjonowania

MSTSC kontroluje połączenie klienta. Jego przełączniki i zapisane ustawienia nie mogą zabezpieczyć ani licencjonować wdrożenia jako całości. Przed wprowadzeniem połączenia do produkcji sprawdź otaczającą architekturę:

• Zachowaj surowe nasłuchiwacze RDP wyłączone z publicznego internetu.
• Użyj bramy, punktu wejścia HTTPS, odwrotnego proxy lub chronionej prywatnej ścieżki.
• Użyj ważnych certyfikatów do punktów wejścia na stronę internetową i bramę.
• Wymagaj MFA za pomocą metody połączenia, która to obsługuje.
• Wymuszaj minimalne uprawnienia, blokadę konta i ochrona przed atakami brute-force RDP .
• Ogranicz adresy IP źródłowe, kraje lub zaufane urządzenia, gdzie pozwala na to baza użytkowników.
• Wyłącz przekierowanie schowka, dysku, drukarki i urządzeń, które nie są potrzebne w przepływie pracy.
• Łatka Windows, oprogramowanie do zdalnego dostępu i narzędzia zabezpieczające.
• Użyj TSplus Monitorowanie Serwera aby monitorować aktywne sesje i stan serwera.
• Segmentuj sieć i wyłącz nieużywane porty oraz usługi.
• Oddziel konta administracyjne od codziennych kont użytkowników.
• Zrób kopię zapasową konfiguracji dostępu i przetestuj przywracanie.
• Zweryfikuj licencjonowanie Windows Server, RDS CAL, Office i Microsoft 365 z Microsoft lub kwalifikowanym partnerem licencyjnym.

MSTSC jest jednym z klientów w ścieżce dostępu. Poprawna komenda lub plik RDP mogą nawiązać połączenie, ale nie zapewniają, że wdrożenie jest bezpieczne, odpowiednio autoryzowane lub właściwie licencjonowane.

Możesz rozpocząć a darmowy 15-dniowy okres próbny TSplus Remote Access aby przetestować dostarczanie aplikacji i pulpitu na własnej infrastrukturze Windows, a następnie zweryfikować wymagane licencjonowanie Microsoft dla swojej konfiguracji.