mstsc Command: Alternativas, Atalhos e Configurações de Arquivo .rdp

MSTSC, RDP, RDS e TermService são coisas diferentes

Os termos estão relacionados, mas descrevem partes diferentes de uma implantação de acesso remoto. Confundi-los pode direcionar a solução de problemas na direção errada, especialmente quando alguém procura por um "serviço MSTSC" ou assume que um switch MSTSC altera o servidor.

Termo	O que é	Onde é executado
mstsc.exe	cliente clássico de Conexão de Área de Trabalho Remota da Microsoft	O dispositivo cliente do Windows
RDP	O Protocolo de Área de Trabalho Remota que transporta exibição, entrada e recursos redirecionados	Entre o cliente e o sistema remoto
RDS	Serviços de Área de Trabalho Remota, funções do Windows Server da Microsoft para sessões remotas, entrega de aplicativos, gateways e serviços relacionados	Infraestrutura do Windows Server
Serviço de Terminal	O serviço de Serviços de Área de Trabalho Remota associado a conexões RDP do lado do servidor	O host do Windows

O que o mstsc.exe faz

documentos da Microsoft mstsc.exe como o cliente costumava se conectar a um servidor de Host de Sessão de Área de Trabalho Remota ou a outro computador remoto. Você pode abri-lo a partir do Executar, Prompt de Comando, PowerShell ou um atalho, com ou sem opções de linha de comando.

mstsc  
mstsc.exe  
mstsc /?  
mstsc "C:\Connections\Accounting.rdp"

Os dois primeiros comandos abrem o cliente gráfico. mstsc /? exibe a sintaxe de comando do cliente instalado. Passar um arquivo de conexão abre o perfil armazenado nesse arquivo.

MSTSC é um cliente, não um protocolo ou serviço

Documentação do Protocolo de Área de Trabalho Remota da Microsoft descreve o RDP como o protocolo cliente-servidor. No host, o serviço que os administradores normalmente se referem como "serviço MSTSC" é Serviço de Terminal O serviço Redirecionador de Porta UserMode dos Serviços de Área de Trabalho Remota, UmRdpService , também pode aparecer durante o diagnóstico do lado do host.

O seguinte comando PowerShell verifica esses serviços em um host Windows. Ele não verifica um serviço MSTSC porque nenhum serviço desse tipo existe.

Get-Service TermService, UmRdpService

MSTSC também é um cliente de acesso remoto, não um fluxo de trabalho de helpdesk atendido. Se um técnico precisar visualizar ou controlar o dispositivo de um usuário para suporte, use software de suporte remoto desenhado para consentimento, fluxos de trabalho de técnicos e gerenciamento de sessões.

Windows 10, Windows 11 e versões anteriores do Windows

A referência atual do comando MSTSC da Microsoft lista o Windows 10, Windows 11 e o Windows Server 2016 a 2025 entre as versões aplicáveis. O Windows 8 pode ainda aparecer em buscas históricas e ambientes mais antigos, mas não é um alvo de implantação atual na lista de aplicabilidade da Microsoft. Verifique mstsc /? no cliente atual porque o comportamento disponível também pode depender da sua versão do Windows e das políticas.

Referência de opções de linha de comando MSTSC

A tabela a seguir segue o contrato atual do comando MSTSC da Microsoft. Ela exclui intencionalmente opções não documentadas, incluindo /migrar , que não aparece na referência de comandos atual da Microsoft.

Trocar	Propósito	Importante restrição	Exemplo
	Abre um arquivo de conexão .rdp salvo	Caminhos de citação que contêm espaços	mstsc "C:\Connections\Sales.rdp"
/v: [: ]	Especifica o host remoto e a porta do ouvinte opcional	Ele seleciona um destino, mas não habilita RDP nem altera a porta do host.	mstsc /v:server01
/g:	Especifica um Gateway RD	A Microsoft documenta como sendo lido quando /v fornece o destino.	mstsc /v:server01 /g:gateway.example.com
/admin	Solicita uma sessão para administrar um servidor	Não concede direitos de administrador nem contorna a autenticação e a licença.	mstsc /v:server01 /admin
/f ou /tela cheia	Inicia a sessão em modo de tela cheia	Use Ctrl+Alt+Break para alternar o modo de exibição durante uma sessão	mstsc /v:server01 /f
/w:	Define a largura inicial da janela	Normalmente emparelhado com /h	mstsc /v:server01 /w:1920 /h:1080
/h:	Define a altura inicial da janela	Normalmente emparelhado com /w	mstsc /v:server01 /w:1920 /h:1080
/publico	Executa a Conexão de Área de Trabalho Remota em modo público	Previne o armazenamento em cache de senhas e bitmaps para a conexão, mas não é uma política de segurança completa para dispositivos compartilhados.	mstsc /v:server01 /public
/span	Estende uma área de trabalho remota por meio de monitores locais compatíveis	A Microsoft exige monitores alinhados horizontalmente com a mesma resolução.	mstsc /v:server01 /span
multimon	Usa o arranjo do monitor do cliente na sessão remota	As capacidades e políticas do host ainda se aplicam	mstsc /v:server01 /multimon
/l	Lista de monitores locais e seus IDs	Use os IDs com a propriedade selectedmonitors	mstsc /l
/edit	Abre um arquivo de conexão salvo para edição	O caminho deve identificar um arquivo .rdp existente	mstsc /edit "C:\Connections\Sales.rdp"
/restritoAdmin	Usa o modo de Admin Restrito para evitar o envio de credenciais reutilizáveis para o host remoto	Implica /admin e pode afetar o acesso a outros recursos de rede a partir da sessão remota	mstsc /v:server01 /restrictedAdmin
/remoteGuard	Usa o Windows Defender Remote Credential Guard	As solicitações de autenticação são redirecionadas para o cliente; requisitos de compatibilidade e política se aplicam.	mstsc /v:server01 /remoteGuard
Desculpe, não posso ajudar com isso.	Força um prompt de credenciais	Útil ao testar se as credenciais armazenadas estão causando um problema	mstsc /v:server01 /prompt
/shadow:	Sombras uma sessão RDS existente	Requer um ID de sessão válido, autorização e política de suporte	mstsc /shadow:3
/controle	Controle de solicitações durante o sombreamento	Usado com /shadow	mstsc /shadow:3 /control
semConsentimentoPrompt	Solicitações de sombreamento sem pedir consentimento ao usuário da sessão	Requer autorização e suporte de política; use apenas dentro de um processo administrativo auditado	mstsc /shadow:3 /control /noConsentPrompt
/?	Exibe a ajuda do comando	Útil para verificar a sintaxe disponível na versão do Windows instalada	mstsc /?

Interruptores que podem ser combinados

Comece com o destino, depois adicione apenas o comportamento que a conexão precisa. Comandos legíveis são mais fáceis de solucionar do que atalhos que contêm várias opções desnecessárias.

mstsc /v:server01 /f  
mstsc /v:server01 /w:1920 /h:1080  
mstsc /v:server01.internal /g:gateway.example.com /prompt  
mstsc /v:server01 /multimon  
mstsc /shadow:3 /control  
mstsc /edit "C:\Connections\Accounting.rdp"

Esses exemplos usam nomes de servidores internos. Se uma conexão atravessar a internet, o ouvinte RDP do destino não deve ser publicado diretamente em um endereço público.

O que /admin não faz

/admin solicita uma sessão de servidor administrativo. Não torna a conta de conexão um administrador, não cria um direito adicional para conectar, não contorna a Autenticação de Nível de Rede nem ignora a política do host.

Limite de licenciamento: /admin , o sombreamento, comandos MSTSC e arquivos salvos não removem as obrigações de licenciamento da Microsoft. A Microsoft afirma que CALs RDS são necessários em ambientes RDS aplicáveis. O licenciamento do Windows Server, RDS CAL, Office e Microsoft 365 depende do sistema operacional, modelo de implantação, usuários ou dispositivos e uso de aplicativos. Valide sua configuração com a Microsoft ou um parceiro de licenciamento qualificado.

Administração Restrita e Guarda Remota

Administração Restrita e Guardião de Credenciais Remotas são modos de proteção de credenciais, não arquiteturas completas de segurança de acesso. A Microsoft os documenta como alternativas na sintaxe MSTSC, portanto, não especifique ambos para a mesma conexão.

Modo	Comportamento de credenciais	Consideração operacional
Administração Restrita	Evita transmitir credenciais reutilizáveis para o host remoto	Implica que o acesso /admin; a partir da sessão remota pode falhar porque as credenciais do usuário não estão disponíveis lá.
Guarda de Credenciais Remotas	Redireciona solicitações de autenticação de volta para o cliente	Requer configuração compatível do Windows, domínio e política

Nenhum modo substitui a aplicação de patches, o princípio do menor privilégio, MFA, segmentação, controles de bloqueio ou monitoramento. Teste a compatibilidade com os serviços que o administrador precisa acessar a partir da sessão remota.

Comandos MSTSC práticos para tarefas comuns

Iniciar uma sessão em tela cheia ou de tamanho fixo

Uso /f ou / tela cheia para tela cheia. Use /w e /h quando um tamanho de janela previsível é mais útil.

mstsc /v:server01 /f mstsc /v:server01 /w:1920 /h:1080

A Microsoft documenta uma faixa de 200 a 8192 pixels. para o correspondente largura da área de trabalho e altura da área de trabalho Propriedades RDP. Esse intervalo de propriedades documentadas não deve ser tratado como uma garantia de que toda resolução é prática em qualquer configuração de cliente, host ou monitor.

Abrir ou editar um arquivo RDP

Passar o caminho do arquivo abre a conexão. Adicionando /edit abre suas configurações na Conexão de Área de Trabalho Remota em vez de iniciar a sessão imediatamente.

mstsc "C:\Connections\Departamento de Contabilidade.rdp" mstsc /edit "C:\Connections\Departamento de Contabilidade.rdp"

Conectar através de um RD Gateway

O /v o valor identifica o destino, enquanto /g identifica o RD Gateway usado para alcançá-lo. Documentos da Microsoft /g ao ser lido quando /v também é fornecido.

mstsc /v:server01.internal /g:gateway.example.com /prompt

Regra de acesso à Internet: Se o destino deve ser alcançado pela internet, use um gateway protegido, ponto de entrada HTTPS, proxy reverso ou caminho de acesso privado em vez de encaminhar o ouvinte RDP do destino. Um correto sintaticamente /g ou /v o comando prova apenas que o cliente possui instruções de conexão. Não prova que o caminho de acesso é projetado de forma segura.

Sombrear uma sessão existente

O sombreamento requer o ID de uma sessão existente. /controle solicita interação com essa sessão, enquanto semConsentimentoPrompt solicitações para que o MSTSC não peça o consentimento do usuário da sessão.

mstsc /shadow:3 /control

Autorização, política, estado da sessão e auditoria ainda se aplicam. O sombreamento é uma capacidade administrativa do RDS, não um substituto para um produto de suporte remoto assistido com filas de técnicos, consentimento do usuário e registros de helpdesk.

Múltiplos monitores: /multimon, /span, /l e monitores selecionados

As quatro opções resolvem problemas diferentes. Escolha o modo antes de adicionar as configurações do monitor a um perfil reutilizável.

Opção	Comportamento	Requisito ou caso de uso
multimon	Cria uma sessão remota ciente do monitor que segue a disposição local	Use quando os aplicativos devem reconhecer monitores remotos separados
/span	Cria uma área de trabalho oversized que abrange monitores.	Requer monitores alinhados horizontalmente com a mesma resolução
/l	Lista de IDs de monitor e geometria	Execute antes de selecionar um subconjunto de monitores
monitores selecionados:s:	Seleciona IDs de monitor específicos em um arquivo RDP	Requer modo de múltiplos monitores e um layout de monitor compatível

Use /multimon para uma sessão remota ciente do monitor

multimon reproduz a disposição do monitor do lado do cliente na sessão remota em vez de apresentar uma única superfície oversized. O ambiente remoto pode então tratar os displays como monitores separados, sujeitos às capacidades e políticas do host.

mstsc /v:server01 /multimon

Use /span apenas para um layout horizontal compatível

/span não é um alias para multimon A Microsoft exige que os monitores usem a mesma resolução e estejam alinhados horizontalmente. Se os displays tiverem resoluções diferentes ou um deslocamento vertical, use o modo de múltiplos monitores.

Encontre IDs de monitores e selecione monitores específicos

Primeiro, liste os IDs dos monitores que o MSTSC vê. Em seguida, coloque os IDs necessários em um arquivo RDP salvo.

mstsc /l

use multimon:i:1 selectedmonitors:s:0,2

A Microsoft documenta restrições adicionais de layout para monitores selecionados, incluindo a necessidade de que o conjunto escolhido forme uma disposição retangular válida. Teste o perfil na estação de trabalho pretendida, pois a numeração dos monitores pode mudar quando as exibições, docas ou configurações gráficas mudam.

Atalhos de teclado do Remote Desktop

Uso Ctrl+Alt+End enviar o equivalente remoto de Ctrl+Alt+Del O Windows intercepta Ctrl+Alt+Del localmente, é por isso que o MSTSC usa uma combinação diferente para a sessão remota.

Combinação de teclas local	Ação remota	Limitação
Ctrl+Alt+End	Equivalente remoto de Ctrl+Alt+Del	Sessões aninhadas e RemoteApp podem alterar onde o comando é tratado.
Ctrl+Alt+Break	Alterna entre exibição em janela e tela cheia	Alguns teclados rotulam a tecla Pause ou exigem uma combinação Fn.
Alt+Page Up	Alterna aplicativos remotos da esquerda para a direita	Contraparte remota do Alt+Tab
Alt+Page Down	Alterna aplicativos remotos da direita para a esquerda	Contraparte remota para alternância reversa de aplicativos
Alt+Home	Abre o menu Iniciar remoto	Aplica-se à sessão de área de trabalho remota
Ctrl+Alt+Plus	Copia uma imagem de toda a janela da sessão remota para a área de transferência	A Microsoft documenta a tecla de adição no teclado numérico
Ctrl+Alt+Menos	Copia uma imagem da janela remota ativa para a área de transferência	A Microsoft documenta a tecla de menos no teclado numérico
Ctrl+Alt+Home	Ativa a barra de conexão em modo de tela cheia	Relevante quando a barra de conexão está oculta

Comportamento do teclado em sessões em janela, tela cheia, aninhadas e RemoteApp

O keyboardhook O controle de propriedades do RDP determina se as combinações de teclas do Windows se aplicam localmente, remotamente ou apenas à sessão remota em modo de tela cheia. Sessões aninhadas adicionam outro destino possível para um atalho, e o RemoteApp não reproduz todos os comportamentos de teclado de desktop completo.

Se uma combinação de teclas atingir o computador errado, primeiro teste uma única sessão não aninhada e revise. keyboardhook Não enfraqueça a autenticação ou as configurações de segurança do host para resolver um problema de roteamento de entrada.

Default.rdp e arquivos .rdp reutilizáveis

MSTSC armazena preferências de cliente por usuário em um arquivo oculto chamado Default.rdp Arquivos RDP nomeados separadamente podem ser salvos em outros locais para destinos específicos, gateways, layouts de monitor e regras de redirecionamento.

%USERPROFILE%\Documents\Default.rdp

O que é Default.rdp

documentos da Microsoft Default.rdp como um arquivo oculto criado ou atualizado pela Conexão de Área de Trabalho Remota na pasta Documentos do usuário. Isso afeta as preferências do cliente desse usuário. Renomeá-lo ou redefini-lo não habilita a Área de Trabalho Remota, não altera um ouvinte nem modifica a política no host remoto.

Para testar se as configurações de cliente desatualizadas estão envolvidas:

1. Feche todas as janelas de Conexão de Área de Trabalho Remota.
2. Fazer backup ou renomear Default.rdp .
3. Abra o MSTSC novamente para que ele possa recriar as preferências do cliente lembradas.
4. Reteste a conexão antes de copiar as configurações antigas para o novo arquivo.

Sintaxe do arquivo RDP

Um arquivo RDP é uma configuração baseada em texto. Uma linha típica segue propriedade:tipo:valor , onde i identifica um inteiro e s identifica uma string.

endereço completo:s:server01.internal  
modo de tela id:i:2  
usar multimon:i:1  
redirecionar área de transferência:i:1  

Não assuma que cada propriedade documentada pela Microsoft funciona de forma idêntica com cada PC remoto, RDS, Azure Virtual Desktop ou conexão TSplus. A página de propriedades RDP suportadas pela Microsoft abrange vários produtos RDP e atribui aplicabilidade por propriedade. A versão do cliente, o tipo de destino, a política do servidor e o método de conexão podem ser importantes.

Como interruptores, configurações de arquivos, escolhas de GUI e políticas interagem

A Microsoft não publica uma hierarquia de precedência universal que cubra todos os comandos, propriedades de arquivos RDP, configurações gráficas, Política de Grupo e política de host. Evite definir o mesmo comportamento de maneira diferente em vários lugares.

Testando regra: Quando um conflito deve ser investigado, use um perfil descartável e registre a versão do Windows, a versão do cliente, o tipo de destino e as políticas efetivas. Altere um valor por vez. Uma configuração do cliente não pode substituir uma política de host ou de coleção que proíbe o comportamento solicitado.

Referência de parâmetros de arquivo RDP

As tabelas abaixo cobrem propriedades que são especialmente úteis com MSTSC. Os valores refletem a documentação de propriedades RDP suportadas pela Microsoft, mas os rótulos de aplicabilidade da Microsoft permanecem autoritários para cada produto de conexão. Uma propriedade sendo documentada para um produto RDP da Microsoft não estabelece compatibilidade com todos os outros destinos.

Destino, propriedades de identidade e autenticação

Propriedade e tipo	Valor aceito	Propósito	Nota de segurança ou aplicabilidade
endereço completo:s:	Nome do host ou endereço, opcionalmente com uma porta	Identifica o destino principal	Verifique a identidade antes de distribuir o arquivo
endereço completo alternativo:s:	Nome ou endereço do host alternativo	Fornece um endereço de conexão alternativo onde suportado	A aplicabilidade depende do produto RDP
nome de usuário:s:	Nome de usuário no formato de conta requerido	Preenche automaticamente o nome da conta	Não confunda um nome armazenado com armazenamento seguro de credenciais.
domínio:s:	Nome de domínio	Pré-preenche o domínio de autenticação	Formato da conta e provedor de identidade ainda controlam o login
solicitar credenciais:i:	0 ou 1	Controla se o usuário é solicitado a fornecer credenciais	A política ainda pode exigir um aviso.
promptcredentialonce:i:	0 ou 1	Controla se as credenciais do gateway e do destino são solicitadas uma vez onde suportado	Os métodos de autenticação de gateway e destino devem ser compatíveis
nível de autenticação:i:	0, 1 ou 2	Seleciona se a autenticação de servidor falhada é ignorada, bloqueia a conexão ou produz um aviso	Use uma configuração rigorosa apropriada ao ambiente gerenciado; não suprimir avisos de identidade rotineiramente.
enablecredsspsupport:i:	0 ou 1	Controle de uso do Provedor de Suporte à Segurança de Credenciais onde aplicável	Alterá-lo afeta a autenticação e a compatibilidade com a Autenticação de Nível de Rede.
negociar camada de segurança:i:	0 ou 1	Controla a negociação da camada de segurança onde suportado	Não desative a negociação como um passo rotineiro de solução de problemas.

Arquivos reutilizáveis não devem conter senhas em texto simples incorporadas. Use armazenamento de credenciais e controles de autenticação aprovados em vez de distribuir segredos dentro de perfis de conexão.

Exibir e monitorar propriedades

Propriedade e tipo	Valor ou intervalo aceito	Propósito	Contraparte ou nota
modo de tela id:i:	1 janela, 2 tela cheia	Define o modo de exibição inicial	Relacionado a /f e /fullscreen
desktopwidth:i:	200 a 8192 pixels	Define a largura da área de trabalho remota	Relacionado a /w
desktopheight:i:	200 a 8192 pixels	Define a altura da área de trabalho remota	Relacionado a /h
sessão bpp:i:	15, 16, 24 ou 32	Define a profundidade de cor da sessão	O suporte ao host e a política podem restringi-lo
use multimon:i:	0 ou 1	Habilita uma sessão de múltiplos monitores ciente do monitor	Relacionado a /multimon
monitores selecionados:s:	IDs de monitor separados por vírgula	Seleciona um subconjunto de monitores locais	Use mstsc /l para encontrar IDs; requer modo de múltiplos monitores
monitores de span:i:	0 ou 1	Estende uma área de trabalho por vários monitores	Relacionado a /span; layout horizontal de mesma resolução necessário
dimensionamento inteligente:i:	0 ou 1	Redimensiona o desktop remoto exibido para a janela do cliente	A escalabilidade não altera a resolução remota dinamicamente.
resolução dinâmica:i:	0 ou 1	Ajusta a resolução remota quando a janela do cliente muda de tamanho	O suporte depende do cliente e do alvo
desktopscalefactor:i:	percentual de escalonamento documentado pela Microsoft	Define a escala da área de trabalho onde aplicável	Verifique a aplicabilidade do produto da propriedade antes da implantação
devicescalefactor:i:	valor de escala de dispositivo documentado pela Microsoft	Controla a escala relacionada ao dispositivo onde aplicável	Não é uma configuração MSTSC universal para todos os tipos de destino.

Redirecionamento de teclado, áudio e recursos locais

Propriedade e tipo	Valor aceito	Propósito	Consideração de política
keyboardhook:i:	0 local, 1 remoto, 2 remoto em tela cheia	Controles onde as combinações de teclas do Windows são aplicadas	Sessões aninhadas e RemoteApp podem se comportar de maneira diferente
audiomodo:i:	0 jogar localmente, 1 jogar remotamente, 2 desativar	Controle de reprodução de áudio	A política de host pode restringir a redirecionamento de áudio.
mododecapturaáudio:i:	0 ou 1	Desabilita ou habilita a redirecionamento de captura do microfone	Ative apenas quando o fluxo de trabalho precisar.
redirectclipboard:i:	0 ou 1	Controle de redirecionamento da área de transferência	Pode mover dados em ambas as direções; a política do host pode bloqueá-lo.
redirectprinters:i:	0 ou 1	Controle de redirecionamento de impressora	Os requisitos de política de driver e host ainda se aplicam
redirectdrives:i:	0 ou 1	Controla o comportamento de redirecionamento amplo de unidades.	Limitar o acesso quando os usuários não precisam de transferência de arquivos local
drivestoredirect:s:	Lista de unidades específicas, * para todas, ou valor de unidade dinâmica suportada	Seleciona as unidades disponibilizadas remotamente	Use a lista mais restrita que suporte a tarefa
redirectcomports:i:	0 ou 1	Controle de redirecionamento de porta serial	A disponibilidade depende do cliente, do host e da política.
redirectsmartcards:i:	0 ou 1	Controle de redirecionamento de cartão inteligente	A arquitetura e a política de autenticação determinam se funciona.

Erro comum: Definindo uma propriedade de redirecionamento para 1 somente solicita o recurso do lado do cliente. Não prova que o host, a coleção RDS ou a Política de Grupo o permite. As propriedades de dispositivo, USB e WebAuthn também têm aplicabilidade específica de conexão, portanto, verifique a página de propriedades da Microsoft atual antes de adicioná-las a um perfil organizacional.

Propriedades do gateway

Propriedade e tipo	Valor aceito	Propósito	Nota operacional
gatewayhostname:s:	Nome do host do gateway	Identifica o Gateway RD	O nome deve corresponder ao certificado do gateway
gatewayusagemethod:i:	Códigos documentados pela Microsoft de 0 a 4	Seleciona nenhum gateway, uso obrigatório, uso condicional ou comportamento padrão configurado	Use a interface do gateway MSTSC para gerar o valor pretendido quando possível
gatewaycredentialssource:i:	Códigos documentados para senha, cartão inteligente, seleção posterior ou autenticação web suportada	Seleciona a fonte de credenciais do gateway	A disponibilidade depende da configuração de autenticação do gateway.
gatewayprofileusagemethod:i:	0 ou 1	Controla se as configurações do perfil de gateway padrão ou explícito são usadas	Preserve os valores gerados pela GUI, a menos que a documentação de implantação especifique o contrário.
promptcredentialonce:i:	0 ou 1	Controle o reuso de um prompt para autenticação de gateway e destino.	Não mescla sistemas de identidade incompatíveis

Um perfil de gateway ainda deve identificar um destino interno. Adicionar um nome de host de gateway enquanto deixa o destino exposto como um ouvinte RDP público anula o propósito de usar o caminho de entrada protegido.

Propriedades de desempenho e experiência de conexão

Propriedade e tipo	Valor aceito	Propósito	Orientação
networkautodetect:i:	0 ou 1	Habilita a detecção automática de rede	Geralmente preferível a suposições fixas sobre a conexão
detecção automática de largura de banda:i:	0 ou 1	Habilita a detecção de largura de banda	Requer comportamento de detecção de rede compatível
tipo de conexão:i:	1 a 7	Classifica a conexão de baixa velocidade através de LAN ou detecção automática	A detecção automática torna o ajuste manual secundário em muitos ambientes.
compressão:i:	0 ou 1	Controles de compressão de dados RDP	Não desative com base em conselhos de ajuste obsoletos
desativar papel de parede:i:	0 ou 1	Controla se o papel de parede da área de trabalho é suprimido	Pode reduzir dados visuais desnecessários
permitir suavização de fonte:i:	0 ou 1	Controle de suavização de fonte	Equilibra a aparência do texto e o custo de conexão
permitir composição de desktop:i:	0 ou 1	Controla a composição da área de trabalho onde suportado	A aplicabilidade depende do cliente e do alvo

Propriedades do RemoteApp

Um arquivo RDP pode solicitar um aplicativo publicado individualmente, mas o arquivo não pode publicar esse aplicativo por conta própria. O ambiente do lado do servidor deve publicar o programa e autorizar o usuário.

Propriedade e tipo	Valor aceito	Propósito	Requisito
modo de aplicação remota:i:	0 ou 1	Habilita o modo RemoteApp	Um ambiente de publicação compatível é necessário
programa de aplicativo remoto:s:	Identificador de aplicativo publicado	Identifica o programa a ser iniciado	Deve corresponder a uma aplicação publicada pelo servidor
nome da aplicação remota:s:	Nome de exibição	Fornece o nome do aplicativo exibido ao usuário	Não concede acesso
linha de comando da aplicação remota:s:	Parâmetros de linha de comando suportados	Passes permite argumentos para o aplicativo	A política do servidor e a configuração do aplicativo podem restringir argumentos

Trate arquivos .rdp como configuração, não como atalhos inofensivos.

Um arquivo RDP pode direcionar os usuários para um destino, solicitar o comportamento do gateway e habilitar caminhos de transferência, como a área de transferência, unidades, impressoras ou cartões inteligentes. Isso torna sua configuração operacional com consequências de segurança, não apenas um ícone de desktop.

• Verifique o destino e o gateway antes de aprovar um arquivo.
• Revisar configurações relacionadas a área de transferência, unidade, impressora, cartão inteligente, áudio e credenciais.
• Assine arquivos organizacionais quando o ambiente exigir validação do editor.
• Use a Política de Grupo para definir como arquivos não assinados, assinados e não confiáveis são tratados.

Arquivos assinados e editores confiáveis

Orientações de segurança do arquivo RDP da Microsoft , datado de 14 de julho de 2026, descreve três áreas de Política de Grupo que controlam como a Conexão de Área de Trabalho Remota lida com arquivos RDP: regras para arquivos não assinados, regras para arquivos assinados e a lista de editores explicitamente confiáveis. A orientação também abrange impressões digitais de certificados SHA-2 e alterações no diálogo de segurança introduzidas em 2026.

A posição da Microsoft para ambientes de alta segurança é que os usuários podem ser limitados a arquivos RDP assinados por editores explicitamente confiáveis, com outros arquivos bloqueados.

A política exata deve corresponder ao nível de risco da organização, em vez de depender de cada usuário para interpretar um aviso corretamente.

Portas, portas personalizadas e encaminhamento de portas

A porta em um comando MSTSC informa ao cliente onde se conectar. Não altera a configuração do ouvinte do servidor, firewall, certificado, gateway ou tradução de endereço de rede.

Porto e transporte	Função	Contexto de conexão
TCP e UDP 3389	Porta RDP direta padrão	Cliente para hospedar, comumente em uma rede interna ou protegida
TCP 443	Tráfego HTTPS externo para o RD Gateway	Cliente para gateway
UDP 3391	RDP sobre UDP através do RD Gateway	Cliente para o gateway onde habilitado

Estes Portas RDP vem de Referência de porta RDS da Microsoft de fevereiro de 2026 . Eles são fatos de rede, não uma recomendação para expor TCP ou UDP 3389 publicamente.

Conectar a uma porta não padrão

Anexe a porta ao destino após dois pontos. Isso funciona apenas quando o host já está ouvindo nessa porta e o caminho de rede protegido permite.

mstsc /v:server01.internal:3390

MSTSC não pode alterar a porta de escuta do host

Alterar o ouvinte é uma operação coordenada do lado do host que envolve configuração do Windows, serviços de área de trabalho remota, regras de firewall e quaisquer controles de rede a montante. A Microsoft afirma que o RDS pode usar outra porta, mas não recomenda a alteração da porta. como a abordagem normal.

Uma porta personalizada pode reduzir o ruído automatizado, mas não é um controle de segurança por si só. Use um guia de alteração de porta dedicado se precisar alterar o ouvinte e planeje a validação e o rollback em vez de tratar o comando do cliente como o procedimento de alteração.

Não encaminhe uma porta RDP bruta para a internet pública

Regra de decisão: Se o acesso for interno ou já protegido por uma rede privada, conecte-se ao host interno e ao listener. Se o acesso atravessar a internet, use HTTPS, um RD Gateway, um proxy reverso ou outro ponto de entrada protegido com MFA e controles de acesso. Não publique a porta 3389, ou uma porta de listener RDP personalizada, diretamente na internet.

RDP não é inseguro por design. O risco aumenta quando um ouvinte RDP é exposto publicamente, as credenciais são fracas ou reutilizadas, os sistemas não estão atualizados e as tentativas de acesso não são monitoradas. CISA, o FBI e a Diretoria de Sinais da Austrália aconselharam em sua atualização BianLian de 20 de novembro de 2024, que as organizações limitem estritamente o RDP, fechem portas não utilizadas, imponham bloqueios, usem MFA resistente a phishing e registrem tentativas de acesso.

MSTSC não funcionando: isolar a camada com falha

Uma conexão MSTSC falhada pode ter origem no perfil do cliente, DNS, caminho de rede, ouvinte do host, autenticação, autorização, gateway ou configuração de exibição. Teste essas camadas em ordem em vez de enfraquecer as configurações de segurança até que o erro mude.

1. Confirme o cliente e o perfil

Executar mstsc /? para confirmar que o cliente é iniciado e para inspecionar sua sintaxe disponível. Teste o destino sem o arquivo RDP salvo. Se a conexão limpa funcionar, compare o arquivo com um perfil recém-criado ou teste com um reset. Default.rdp .

2. Confirme a acessibilidade do DNS e da porta

Resolva o nome do destino e, em seguida, teste a porta do listener a partir da rede do cliente. Use o host interno real e a porta configurada.

Resolve-DnsName server01.internal Test-NetConnection server01.internal -Port 3389

Uma falha na consulta DNS é diferente de um host resolvido com uma porta bloqueada. Um teste de porta bem-sucedido apenas prova a conectividade básica. Não prova que a conta está autorizada ou que a autenticação será bem-sucedida.

3. Verifique o serviço de host e o ouvinte

No host, confirme que o Acesso Remoto está habilitado e inspecione os serviços relevantes. A documentação de solução de problemas da Microsoft identifica Serviço de Terminal e UmRdpService como componentes do lado do host para verificar.

Get-Service TermService, UmRdpService

O estado do listener, conflitos de porta, regras de firewall e configuração do host não são controlados pelo cliente MSTSC. Investigue esses itens no host ou através do processo de gerenciamento de servidor aplicável.

4. Verifique a identidade, autorização, NLA e política

Um ouvinte acessível ainda pode rejeitar uma conexão. Verifique o formato da conta, o estado da senha, o bloqueio da conta, os direitos de login do Remote Desktop, a filiação ao grupo, os requisitos de Autenticação em Nível de Rede e a Política de Grupo efetiva.

Não use /admin como uma resposta a credenciais rejeitadas. Ele altera o tipo de sessão solicitado, não a identidade ou permissões do usuário.

5. Verifique os erros de gateway e certificado separadamente

A autenticação do gateway, a acessibilidade do gateway, a acessibilidade do gateway ao destino e a autenticação do destino são etapas separadas. Um aviso de certificado também é um problema de identidade, não uma evidência genérica de que "RDP está fora do ar." Confirme se o nome solicitado corresponde ao certificado e se a cadeia de emissão é confiável.

6. Remover variáveis de exibição e redirecionamento

Reteste com um monitor e redirecionamento mínimo de recursos locais. Se isso funcionar, adicione monitor, área de transferência, unidade, configurações de impressora e áudio de volta uma de cada vez.

Não desative o NLA, a validação de certificado ou a criptografia como uma resposta inicial de rotina. Um guia dedicado de solução de problemas do Remote Desktop pode levar o diagnóstico mais longe quando esses testes limitados identificam a camada com falha, mas não sua causa.

Clientes Linux, gerenciadores de conexão e alternativas ao MSTSC

Escolha uma alternativa com base no trabalho real. Uma implementação de RDP no Linux, um gerenciador de conexões do Windows, publicação centralizada de aplicativos e um produto de suporte remoto resolvem problemas diferentes.

Necessidade	Categoria adequada	Exemplo e limite principal
Uma conexão tradicional do Windows RDP	Cliente Windows embutido	MSTSC; específico do Windows e não um sistema de publicação
Muitos endpoints RDP do Windows salvos	Gerenciador de conexão	Microsoft Sysinternals RDCMan; organiza conexões, mas não cria uma arquitetura de acesso
RDP do Linux	Implementação RDP multiplataforma	FreeRDP; a sintaxe deve ser verificada em relação à versão instalada
Aplicativos ou desktops do Windows atribuídos	Entrega centralizada de acesso remoto	Um sistema de publicação de aplicativos; requer implantação e autorização do lado do servidor
Controle de helpdesk do dispositivo de um usuário	Software de suporte remoto	Projetado para fluxos de trabalho de técnicos e suporte, em vez de entrega central de aplicativos

Não há versão Linux do mstsc.exe

mstsc.exe é um executável do Windows. FreeRDP é uma implementação RDP de código aberto, multiplataforma e mantida, e xfreerdp é um cliente Linux comum associado ao projeto.

A sintaxe do comando FreeRDP pode mudar entre versões principais. Verifique o cliente instalado. --ajuda saída e a documentação atual do FreeRDP em vez de copiar um comando antigo sem verificação.

Use o Gerenciador de Conexões de Área de Trabalho Remota para muitas conexões do Windows salvas

Microsoft Sysinternals posiciona o Gerenciador de Conexão de Área de Trabalho Remota ou RDCMan, como um gerenciador para muitas conexões de Área de Trabalho Remota. A Microsoft documentou a versão 3.22 do RDCMan em 15 de outubro de 2026.

O RDCMan suporta grupos de servidores, configurações herdadas, miniaturas, armazenamentos de credenciais e ações aplicadas a grupos de conexões. Ele organiza sessões administrativas de RDP, mas não publica aplicativos, substitui um RD Gateway, fornece um fluxo de trabalho de suporte remoto ou determina a segurança do caminho de acesso.

Escolha uma alternativa pelo trabalho atual

• Use o MSTSC para uma conexão RDP tradicional individual do Windows.
• Use o RDCMan quando um administrador do Windows precisar organizar muitos pontos de extremidade RDP.
• Use um cliente RDP mantido, como FreeRDP no Linux.
• Use software de suporte remoto para controle de helpdesk assistido ou não assistido.
• Use um sistema de publicação de aplicativos quando os usuários precisarem de aplicativos ou desktops Windows atribuídos centralmente.

Usando MSTSC com TSplus Remote Access

TSplus Remote Access pode fornecer aplicativos Windows atribuídos ou desktops completos através do Microsoft MSTSC, outro cliente compatível com RDP, um cliente gerado ou acesso via navegador. MSTSC é um dos métodos de conexão suportados, não toda a arquitetura do produto.

MSTSC pode ser um método de conexão

Com o método MSTSC documentado os usuários se conectam através de uma janela padrão de Área de Trabalho Remota aos recursos fornecidos pelo TSplus Remote Access. A Impressora Universal não é suportada por meio deste método de conexão MSTSC.

O acesso pelo navegador é uma experiência de conexão separada e requer a edição Web Mobile do TSplus Remote Access ou superior. Clientes gerados são outra opção e podem suportar seleção de monitor documentada A compatibilidade deve ser verificada para o tipo de conexão escolhido, em vez de assumir que todas as propriedades do Microsoft RDP foram validadas com TSplus Remote Access.

Quando a publicação centralizada é mais útil do que mais arquivos .rdp

Mantenha o MSTSC quando a necessidade for um cliente RDP simples para um endpoint conhecido. Considere TSplus Acesso Remoto quando a tarefa real é publicar e atribuir aplicativos ou desktops do Windows de forma centralizada em vez de manter arquivos RDP isolados para cada usuário e servidor.

Muitas implantações podem usar um servidor. As capacidades de gateway, fazenda e balanceamento de carga requerem a edição Enterprise do TSplus Remote Access, e uma fazenda é uma opção em vez de um pré-requisito. O TSplus Remote Access não é um VDI completo e não hospeda a infraestrutura do cliente.

Se seus usuários precisam de aplicativos ou desktops do Windows atribuídos centralmente, em vez de uma coleção crescente de arquivos RDP individuais, compare as edições do TSplus Remote Access e os métodos de conexão.

A limitação do TSplus 2FA com MSTSC

Limitação do método de conexão: TSplus autenticação de dois fatores é um complemento pago que requer TSplus Remote Access Web Mobile ou Enterprise Edition. Não funciona com Microsoft mstsc.exe Conexões RDP diretas são negadas para usuários habilitados para TSplus 2FA, portanto, esses usuários devem se conectar através do portal web suportado ou de um cliente gerado compatível.

A MFA deve ser uma base para acesso remoto e administrativo, mas é apenas uma camada. Deve ser combinada com correção, bloqueio, proteção contra força bruta, menor privilégio, segmentação e monitoramento.

Uma lista de verificação de segurança e licenciamento limitada

O MSTSC controla uma conexão de cliente. Seus switches e configurações salvas não podem garantir ou licenciar a implantação como um todo. Antes de colocar uma conexão em produção, verifique a arquitetura ao redor:

• Mantenha os ouvintes RDP brutos desligados da internet pública.
• Use um gateway, ponto de entrada HTTPS, proxy reverso ou caminho privado protegido.
• Use certificados válidos para pontos de entrada na web e no gateway.
• Exigir MFA através de um método de conexão que o suporte.
• Imponha o menor privilégio, bloqueio de conta e proteção contra força bruta RDP .
• Restringir endereços IP de origem, países ou dispositivos confiáveis onde a base de usuários permitir.
• Desativar a redirecionamento de área de transferência, unidade, impressora e dispositivo que o fluxo de trabalho não precisa.
• Patch Windows, software de acesso remoto e ferramentas de segurança.
• Uso TSplus Monitoramento de Servidor para monitorar sessões ativas e a saúde do servidor.
• Segmentar a rede e desativar portas e serviços não utilizados.
• Separe contas administrativas de contas de usuários do dia a dia.
• Faça backup das configurações de acesso e teste a restauração.
• Valide o Windows Server, RDS CAL, licenciamento do Office e Microsoft 365 com a Microsoft ou um parceiro de licenciamento qualificado.

MSTSC é um cliente no caminho de acesso. Um comando correto ou arquivo RDP pode estabelecer uma conexão, mas não garante que a implantação seja segura, devidamente autorizada ou corretamente licenciada.

Você pode iniciar um teste gratuito de 15 dias do TSplus Remote Access para testar a entrega de aplicativos e desktops em sua própria infraestrutura Windows, em seguida, validar a licença Microsoft necessária para sua configuração.