Jak włączyć RDP za pomocą zdalnego rejestru w systemie Windows 10

Wymagania wstępne do włączenia RDP za pomocą zdalnego rejestru w systemie Windows 10

Przed wprowadzeniem jakichkolwiek zmian za pośrednictwem rejestru, kluczowe jest zweryfikowanie, czy twoje środowisko obsługuje zdalną administrację oraz czy wszystkie niezbędne usługi i uprawnienia są skonfigurowane.

Upewnij się, że system docelowy działa na Windows 10 Pro lub Enterprise

Windows 10 Home Edition nie zawiera komponentu serwera RDP (TermService). Próba włączenia RDP na urządzeniu z edycją Home nie spowoduje uruchomienia funkcjonalnej sesji RDP, nawet jeśli klucze rejestru są poprawnie skonfigurowane.

Możesz zdalnie zweryfikować edycję za pomocą PowerShell:

Potwierdź dostęp administracyjny

Modyfikacje rejestru i zarządzanie usługami wymagają lokalnych uprawnień administratora. Jeśli używasz poświadczeń domenowych, upewnij się, że konto użytkownika jest częścią grupy Administratorzy na zdalnej maszynie.

Zweryfikuj łączność sieciową i wymagane porty

Rejestr zdalny i RDP opierają się na określonych portach:

• TCP 445 (SMB) – Używany przez zdalny rejestr i komunikację RPC
• TCP 135 (mapper punktów końcowych RPC) – Używany przez zdalne WMI i usługi
• TCP 3389 – Wymagane do połączeń RDP

Uruchom sprawdzenie portu:

Sprawdź status usługi rejestru zdalnego

Usługa zdalnego rejestru musi być ustawiona na Automatyczne i uruchomiona:

Jak włączyć i uruchomić usługę zdalnego rejestru

Usługa zdalnego rejestru jest często domyślnie wyłączona z powodów bezpieczeństwa. Specjaliści IT muszą ją włączyć i uruchomić przed podjęciem jakichkolwiek operacji na zdalnym rejestrze.

Używanie PowerShell do konfigurowania usługi

Możesz ustawić usługę, aby uruchamiała się automatycznie i uruchomić ją natychmiast:

To zapewnia, że usługa pozostaje aktywna po ponownym uruchomieniu.

Używanie Services.msc na zdalnym komputerze

Jeśli zdalne połączenie PowerShell nie jest dostępne:

1. Uruchom services.msc
2. Kliknij Akcję > Połącz z innym komputerem
3. Wprowadź nazwę hosta lub adres IP docelowej maszyny
4. Zlokalizuj rejestr zdalny, kliknij prawym przyciskiem > Właściwości
5. Ustaw "Typ uruchomienia" na Automatyczny
6. Kliknij Start, a następnie OK

Gdy usługa jest uruchomiona, edytowanie rejestru zdalnie z konsoli staje się możliwe.

Modyfikowanie rejestru w celu włączenia RDP

W centrum umożliwienia RDP znajduje się pojedyncza wartość rejestru: fDenyTSConnections. Zmiana tej wartości z 1 na 0 włącza usługę RDP na maszynie.

Metoda 1: Używanie Regedit i "Połącz rejestr sieciowy"

To jest metoda oparta na interfejsie graficznym, odpowiednia do zadań ad hoc:

1. Uruchom regedit.exe jako administrator na swoim lokalnym komputerze
2. Kliknij Plik > Połącz z rejestrem sieciowym
3. Wprowadź nazwę hosta docelowej maszyny
4. Nawiguj do: pgsql: HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server
5. Podwójne kliknięcie fDenyTSConnections i zmiana jego wartości na 0

Uwaga: Ta zmiana nie konfiguruje automatycznie zapory systemu Windows. To musi być zrobione osobno.

Metoda 2: Użycie PowerShell do edytowania rejestru

Dla automatyzacji lub skryptów preferowany jest PowerShell:

powershell: Invoke-Command -ComputerName TargetPC -ScriptBlock { ; Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server' -Name 'fDenyTSConnections' -Value 0 ; }

Możesz również zweryfikować, że wartość została zmieniona:

powershell: Invoke-Command -ComputerName TargetPC -ScriptBlock { ; Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server' | Select-Object fDenyTSConnections ; }

Włączanie reguł zapory dla RDP

Domyślnie zapora systemu Windows blokuje przychodzące połączenia RDP. Musisz wyraźnie zezwolić na nie poprzez odpowiednią grupę reguł.

Włącz regułę zapory za pomocą PowerShell

To umożliwia wszystkie zdefiniowane zasady w grupie "Remote Desktop".

Włącz regułę zapory za pomocą PsExec i Netsh

Jeśli zdalne połączenie PowerShell jest niedostępne, PsExec z Sysinternals może pomóc:

bash: psexec \\TargetPC -u AdminUser -p Password netsh advfirewall firewall set rule group="remote desktop" new enable=Yes

Wskazówka dotycząca bezpieczeństwa: Jeśli używasz GPO domeny, możesz wdrożyć dostęp RDP i zasady zapory za pomocą scentralizowanej polityki.

Weryfikacja i testowanie dostępu RDP

Aby potwierdzić swoją konfigurację:

Użyj Test-NetConnection

Sprawdź, czy port 3389 słucha:

Powinieneś zobaczyć TcpTestSucceeded: True

Spróbuj połączenia RDP

Otwórz mstsc.exe, wprowadź docelową nazwę hosta lub adres IP, a następnie połącz się, używając danych logowania administratora.

Jeśli zobaczysz monit o dane uwierzytelniające, twoja sesja RDP została pomyślnie zainicjowana.

Użyj dzienników zdarzeń do rozwiązywania problemów

Sprawdź Podgląd zdarzeń na zdalnym systemie:

Szukaj błędów związanych z próbami połączenia lub awariami nasłuchiwacza.

Rozważania dotyczące bezpieczeństwa przy zdalnym włączaniu RDP

Włączenie RDP otwiera znaczną powierzchnię ataku. Kluczowe jest wzmocnienie środowiska, szczególnie gdy RDP jest wystawione na sieci.

Zminimalizuj narażenie

• Użyj uwierzytelniania na poziomie sieci (NLA)
• Ogranicz dostęp RDP przychodzący do znanych zakresów IP za pomocą zapory systemu Windows lub zapór perymetralnych
• Unikaj bezpośredniego wystawiania RDP na internet

Monitorowanie zmian w rejestrze

Klucz fDenyTSConnections jest często modyfikowany przez złośliwe oprogramowanie i atakujących w celu umożliwienia ruchu bocznego. Użyj narzędzi monitorujących, takich jak:

• Przekazywanie zdarzeń systemu Windows
• Platformy Elastic Security lub SIEM
• Rejestrowanie PowerShell i audyt rejestru

Użyj higieny poświadczeń i MFA

Upewnij się, że wszystkie konta z dostępem RDP mają:

• Skomplikowane hasła
• Uwierzytelnianie wieloskładnikowe
• Przydziały minimalnych uprawnień

Rozwiązywanie typowych problemów

Jeśli RDP nadal nie działa po skonfigurowaniu rejestru i zapory, istnieje kilka możliwych przyczyn do zbadania:

Problem: Port 3389 nie jest otwarty

Użyj następującego polecenia, aby zweryfikować, że system nasłuchuje połączeń RDP:

Jeśli nie ma słuchacza, usługi pulpitu zdalnego (TermService) mogą nie działać. Uruchom je ręcznie lub zrestartuj maszynę. Upewnij się również, że ustawienia zasad grupy nie wyłączają usługi przypadkowo.

Problem: Użytkownik nie ma pozwolenia na logowanie się przez RDP

Upewnij się, że zamierzony użytkownik jest członkiem grupy Użytkownicy pulpitu zdalnego lub ma przyznany dostęp za pomocą zasad grupy:

Pgsql: Konfiguracja komputera > Polityki > Ustawienia systemu Windows > Ustawienia zabezpieczeń > Polityki lokalne > Przypisanie praw użytkowników > Zezwól na logowanie przez usługi pulpitu zdalnego

Możesz zweryfikować członkostwo w grupie, używając:

Również potwierdź, że żadna sprzeczna polityka nie usuwa użytkowników z tej grupy.

Problem: Zdalny rejestr lub RPC nie odpowiada

Sprawdź, czy:

• Usługa zdalnego rejestru jest uruchomiona
• Zapora systemu Windows ani żadne oprogramowanie antywirusowe innych firm nie blokuje portów TCP 135 ani 445.
• Infrastruktura Windows Management Instrumentation (WMI) systemu docelowego jest funkcjonalna

Aby uzyskać szerszą widoczność, użyj narzędzi takich jak wbemtest lub Get-WmiObject, aby zweryfikować komunikację RPC.

Uprość zarządzanie pulpitem zdalnym za pomocą TSplus Remote Access

Chociaż ręczna konfiguracja rejestru i zapory ogniowej jest potężna, może być skomplikowana i ryzykowna w dużej skali. TSplus Zdalny Dostęp oferuje bezpieczną, scentralizowaną i wydajną alternatywę dla tradycyjnych konfiguracji RDP. Dzięki dostępowi opartemu na sieci, wsparciu dla wielu użytkowników i wbudowanym funkcjom zabezpieczeń, TSplus jest idealnym rozwiązaniem dla organizacji, które chcą uprościć dostarczanie i zarządzanie pulpitem zdalnym.

Wniosek

Włączenie RDP za pomocą Zdalnego Rejestru w systemie Windows 10 oferuje administratorom IT elastyczną, niskopoziomową metodę udostępniania zdalnego dostępu. Niezależnie od tego, czy konfigurujesz urządzenia na dużą skalę, czy rozwiązujesz problemy z dostępem do systemów bez interfejsu graficznego, ta metoda zapewnia precyzyjne i skryptowalne rozwiązanie. Zawsze łącz ją z silnymi zasadami zapory, uprawnieniami na poziomie użytkownika i monitorowaniem bezpieczeństwa, aby zapewnić zgodność i chronić przed nadużyciami.