mstsc Command: Comutatoare, Scurtături și Setări fișier .rdp

MSTSC, RDP, RDS și TermService sunt lucruri diferite

Termenii sunt interconectați, dar descriu părți diferite ale unei implementări de acces la distanță. Confuzia între ele poate direcționa depanarea în direcția greșită, mai ales când cineva caută un „serviciu MSTSC” sau presupune că un comutator MSTSC schimbă serverul.

Termen	Ce este	Unde rulează
mstsc.exe	clientul clasic de Conexiune la Desktop de la Microsoft	Dispozitivul client Windows
RDP	Protocolul de Desktop la Distanță care transportă resursele de afișare, intrare și redirecționate	Între client și sistemul de la distanță
RDS	Serviciile de Desktop la Distanță, rolurile Windows Server de la Microsoft pentru sesiuni la distanță, livrarea aplicațiilor, gateway-uri și servicii conexe	infrastructura Windows Server
Termenul de serviciu	Serviciul Remote Desktop Services asociat cu conexiunile RDP de pe partea serverului	Gazda Windows

Ce face mstsc.exe

documente Microsoft mstsc.exe ca clientul folosit pentru a se conecta la un server de gazdă a sesiunii Remote Desktop sau la un alt computer la distanță. Îl poți deschide din Run, Command Prompt, PowerShell sau un shortcut, cu sau fără opțiuni de linie de comandă.

mstsc  
mstsc.exe  
mstsc /?  
mstsc "C:\Connections\Accounting.rdp"

Primele două comenzi deschid clientul grafic. mstsc /? afișează sintaxa comenzii clientului instalat. Trecerea unui fișier de conexiune deschide profilul stocat în acel fișier.

MSTSC este un client, nu un protocol sau un serviciu

Documentația Protocolului de Desktop la Distanță Microsoft descrie RDP ca protocol client-server. Pe gazdă, serviciul la care administratorii se referă de obicei prin „serviciul MSTSC” este Termenul de serviciu Serviciul Redirector de Port UserMode pentru Serviciile Desktop Remote UmRdpService , poate apărea și în timpul diagnosticării pe partea gazdă.

Următoarea comandă PowerShell verifică acele servicii pe un gazdă Windows. Nu verifică un serviciu MSTSC deoarece un astfel de serviciu nu există.

Get-Service TermService, UmRdpService

MSTSC este de asemenea un client de acces la distanță, nu un flux de lucru de asistență cu prezență. Dacă un tehnician trebuie să vizualizeze sau să controleze dispozitivul propriu al unui utilizator pentru suport, folosiți software de asistență la distanță proiectat pentru consimțământ, fluxuri de lucru ale tehnicienilor și gestionarea sesiunilor.

Windows 10, Windows 11 și versiunile anterioare de Windows

Referința actuală a comenzii MSTSC de la Microsoft listează Windows 10, Windows 11 și Windows Server 2016 până în 2025 printre versiunile aplicabile. Windows 8 poate apărea în continuare în căutările istorice și în medii mai vechi, dar nu este un obiectiv de implementare actual în lista de aplicabilitate a Microsoft. Verificați mstsc /? pe clientul actual deoarece comportamentul disponibil poate depinde și de versiunea Windows și de politicile sale.

Referința comenzii MSTSC din linia de comandă

Tabelul următor respectă contractul actual al comenzii MSTSC de la Microsoft. Exclude intenționat comutatoarele nedocumentate, inclusiv /migra , care nu apare în referința de comandă Microsoft actuală.

Comutare	Scop	Constrângere importantă	Exemplu
	Deschide un fișier de conexiune .rdp salvat	Cotează căile care conțin spații	mstsc "C:\Connections\Sales.rdp"
/v: [: ]	Specificați gazda la distanță și portul opțional al ascultătorului	Selectează o destinație, dar nu activează RDP și nu schimbă portul gazdei.	mstsc /v:server01
/g:	Specificați un RD Gateway	Microsoft îl documentează ca fiind citit atunci când /v furnizează destinația	mstsc /v:server01 /g:gateway.example.com
/admin	Solicită o sesiune pentru administrarea unui server	Nu acordă drepturi de administrator sau ocolesc autentificarea și licențierea.	mstsc /v:server01 /admin
/f sau /fullscreen	Pornește sesiunea în modul ecran complet	Folosește Ctrl+Alt+Break pentru a comuta modul de afișare în timpul unei sesiuni	mstsc /v:server01 /f
/w:	Setează lățimea inițială a ferestrei	De obicei asociat cu /h	mstsc /v:server01 /w:1920 /h:1080
/h:	Setează înălțimea inițială a ferestrei	De obicei asociat cu /w	mstsc /v:server01 /w:1920 /h:1080
/public	Rulează conexiunea Remote Desktop în modul public	Previne caching-ul parolelor și al bitmap-urilor pentru conexiune, dar nu este o politică de securitate completă pentru dispozitivele partajate.	mstsc /v:server01 /public
/span	Se extinde un desktop la distanță pe monitoare locale compatibile.	Microsoft necesită monitoare aliniate orizontal cu aceeași rezoluție	mstsc /v:server01 /span
multimon	Folosește aranjamentul monitorului clientului în sesiunea la distanță	Capabilitățile și politica gazdelor se aplică în continuare	mstsc /v:server01 /multimon
/l	Listează monitoarele locale și ID-urile acestora	Utilizați ID-urile cu proprietatea selectedmonitors	mstsc /l
/edita	Deschide un fișier de conexiune salvat pentru editare	Calea trebuie să identifice un fișier .rdp existent.	mstsc /edit "C:\Connections\Sales.rdp"
/administratorRestricționat	Folosește modul Administrator restricționat pentru a evita trimiterea acreditivelor reutilizabile către gazda remote.	Implica /admin și poate afecta accesul la alte resurse de rețea din sesiunea la distanță	mstsc /v:server01 /restrictedAdmin
remoteGuard	Utilizează Windows Defender Remote Credential Guard	Cererea de autentificare este redirecționată către client; se aplică cerințe de compatibilitate și politici.	mstsc /v:server01 /remoteGuard
I'm sorry, but I cannot assist with that.	Forțează o solicitare de acreditive	Util pentru a testa dacă acreditivele stocate cauzează o problemă	mstsc /v:server01 /prompt
/shadow:	Umbrați o sesiune RDS existentă	Necesită un ID de sesiune valid, autorizare și politică de suport	mstsc /shadow:3
/control	Controlul cererilor în timp ce se face shadowing	Utilizat cu /shadow	mstsc /shadow:3 /control
/nuPromptDeConsimțământ	Solicitări de umbrire fără a cere consimțământul utilizatorului sesiunii	Necesită autorizare și suport pentru politici; utilizare doar în cadrul unui proces administrativ auditat.	mstsc /shadow:3 /control /noConsentPrompt
/?	Afișează ajutorul comenzii	Util pentru verificarea sintaxei disponibile pe versiunea Windows instalată	mstsc /?

Comutatoare care pot fi combinate

Începeți cu destinația, apoi adăugați doar comportamentul de care are nevoie conexiunea. Comenzile lizibile sunt mai ușor de depanat decât comenzile rapide care conțin mai multe opțiuni inutile.

mstsc /v:server01 /f  
mstsc /v:server01 /w:1920 /h:1080  
mstsc /v:server01.internal /g:gateway.example.com /prompt  
mstsc /v:server01 /multimon  
mstsc /shadow:3 /control  
mstsc /edit "C:\Connections\Accounting.rdp"

Aceste exemple folosesc nume de server interne. Dacă o conexiune traversează internetul, ascultătorul RDP al destinației nu ar trebui să fie publicat direct pe o adresă publică.

Ce /admin nu face

/admin solicită o sesiune de server administrativ. Nu face ca contul de conectare să fie un administrator, nu creează un drept suplimentar de conectare, nu ocolește Autentificarea la Nivel de Rețea și nu suprascrie politica gazdei.

Limita de licențiere: /admin shadowing, comenzile MSTSC și fișierele salvate nu elimină obligațiile de licențiere Microsoft. Microsoft afirmă că Sunt necesare CAL-uri RDS în medii RDS aplicabile. Licențierea Windows Server, RDS CAL, Office și Microsoft 365 depinde de sistemul de operare, modelul de implementare, utilizatori sau dispozitive și utilizarea aplicațiilor. Validati configurația dvs. cu Microsoft sau cu un partener de licențiere calificat.

Admin restricționat și Gărzile la distanță

Admin restricționat și Gardianul de acreditive la distanță sunt moduri de protecție a acreditivelor, nu arhitecturi complete de securitate a accesului. Microsoft le documentează ca alternative în sintaxa MSTSC, așa că nu specificați ambele pentru aceeași conexiune.

Mod	Comportamentul acreditiv	Considerație operațională
Admin restricționat	Evită transmiterea acreditivelor reutilizabile către gazda remote.	Implicați /admin; accesul ulterior din sesiunea la distanță poate eșua deoarece acreditivele utilizatorului nu sunt disponibile acolo.
Protecția acreditivelor la distanță	Redirecționează cererile de autentificare înapoi către client	Necesită configurarea compatibilă a Windows, a domeniului și a politicii

Niciun mod nu înlocuiește aplicarea de patch-uri, privilegiul minim, MFA, segmentarea, controalele de blocare sau monitorizarea. Testați compatibilitatea cu serviciile la care administratorul trebuie să ajungă din sesiunea la distanță.

Comenzi MSTSC practice pentru sarcini comune

Începeți o sesiune pe ecran complet sau de dimensiune fixă

Utilizați /f sau /pe ecran complet pentru modul pe ecran complet. Utilizați /w și /h când o dimensiune a ferestrei previzibilă este mai utilă.

mstsc /v:server01 /f mstsc /v:server01 /w:1920 /h:1080

Microsoft documentează o gamă de la 200 la 8192 pixeli pentru corespunzător lățimea desktopului și înălțime desktop Proprietățile RDP. Acea gamă de proprietăți documentate nu ar trebui tratată ca o garanție că fiecare rezoluție este practică pe fiecare aranjament de client, gazdă sau monitor.

Deschideți sau editați un fișier RDP

Trecerea căii fișierului deschide conexiunea. Adăugând /edita își deschide setările în Conexiune Desktop la Distanță în loc să înceapă sesiunea imediat.

mstsc "C:\Connections\Departamentul de Contabilitate.rdp" mstsc /edit "C:\Connections\Departamentul de Contabilitate.rdp"

Conectați-vă printr-un RD Gateway

The /v valoarea identifică destinația, în timp ce /g identifică RD Gateway-ul folosit pentru a ajunge la acesta. Documentele Microsoft /g ca fiind citit când /v este de asemenea furnizat.

mstsc /v:server01.internal /g:gateway.example.com /prompt

Regula de acces la internet: Dacă destinația trebuie atinsă prin intermediul internetului, utilizați o poartă protejată, un punct de intrare HTTPS, un proxy invers sau un drum de acces privat în loc de a redirecționa ascultătorul RDP al destinației. Un corect din punct de vedere sintactic /g sau /v comanda dovedește doar că clientul are instrucțiuni de conectare. Nu dovedește că calea de acces este proiectată în mod sigur.

Shadow a session existentă

Shadowing necesită ID-ul unei sesiuni existente. /control solicită interacțiunea cu acea sesiune, în timp ce /nuPromptDeConsimțământ solicită ca MSTSC să nu ceară utilizatorului sesiunii consimțământul.

mstsc /shadow:3 /control

Autorizarea, politica, starea sesiunii și auditarea se aplică în continuare. Shadowing este o capacitate administrativă RDS, nu un substitut pentru un produs de suport la distanță asistat cu cozi de tehnicieni, consimțământ din partea utilizatorilor și înregistrări ale helpdesk-ului.

Monitoare multiple: /multimon, /span, /l și monitoarele selectate

Cele patru opțiuni rezolvă probleme diferite. Alege modul înainte de a adăuga setările monitorului la un profil reutilizabil.

Opțiune	Comportament	Cerință sau caz de utilizare
multimon	Creează o sesiune de remote conștientă de monitor care urmează aranjamentul local.	Utilizați atunci când aplicațiile ar trebui să recunoască monitoare remote separate
/span	Creează un desktop supradimensionat care se întinde pe monitoare	Necesită monitoare aliniate orizontal cu aceeași rezoluție
/l	Listează ID-urile monitorului și geometria	Rulați înainte de a selecta un subset de monitoare
monitoareselectate:s:	Selectează ID-uri specifice ale monitorului într-un fișier RDP	Necesită modul multi-monitor și un aranjament de monitor compatibil

Utilizați /multimon pentru o sesiune de remote care recunoaște monitoarele.

multimon reproducează aranjamentul monitorului de client în sesiunea la distanță, mai degrabă decât să prezinte o suprafață supradimensionată. Mediul la distanță poate trata apoi afișajele ca monitoare separate, supuse capacităților și politicii gazdei.

mstsc /v:server01 /multimon

Utilizați /span doar pentru un layout orizontal compatibil

/span nu este un alias pentru multimon Microsoft necesită ca monitoarele să folosească aceeași rezoluție și să fie aliniate orizontal. Dacă afișajele au rezoluții diferite sau un offset vertical, utilizați modul multi-monitor în schimb.

Găsiți ID-urile monitorului și selectați monitoare specifice

Mai întâi listați ID-urile monitorului pe care le vede MSTSC. Apoi plasați ID-urile necesare într-un fișier RDP salvat.

mstsc /l

use multimon:i:1 selectedmonitors:s:0,2

Microsoft documentează constrângeri suplimentare de layout pentru monitoarele selectate, inclusiv necesitatea ca setul ales să formeze o aranjare rectangulară validă. Testați profilul pe stația de lucru intenționată, deoarece numerotarea monitoarelor poate varia atunci când se schimbă afișajele, docurile sau setările grafice.

Comenzi rapide pentru tastatură Remote Desktop

Utilizați Ctrl+Alt+End a trimite echivalentul de la distanță al Ctrl+Alt+Del Windows intercepts Ctrl+Alt+Del local, motiv pentru care MSTSC folosește o combinație diferită pentru sesiunea la distanță.

Combinare de taste locală	Acțiune la distanță	Limitare
Ctrl+Alt+End	Echivalentul la distanță al Ctrl+Alt+Del	Sesiunile imbricate și RemoteApp pot schimba locul în care este gestionată comanda.
Ctrl+Alt+Break	Comută între modul fereastră și modul ecran complet	Unele tastaturi etichetează tasta Pauză sau necesită o combinație Fn.
Alt+Page Up	Comută aplicațiile la distanță de la stânga la dreapta	Contrapartea de la distanță a Alt+Tab
Alt+Page Down	Comută aplicațiile remote de la dreapta la stânga	Contrapartea de la distanță pentru comutarea aplicațiilor inversă
Alt+Acasă	Deschide meniul Start la distanță	Se aplică la sesiunea de desktop la distanță
Ctrl+Alt+Plus	Copiază o imagine a întregului fereastră de sesiune la distanță în clipboard.	Microsoft documentează tasta plus de pe tastatura numerică
Ctrl+Alt+Minus	Copiază o imagine a feroneriei remote active în clipboard	Microsoft documentează tasta minus de pe tastatura numerică
Ctrl+Alt+Home	Activează bara de conexiune în modul pe tot ecranul	Relevant atunci când bara de conexiune este ascunsă

Comportamentul tastaturii în sesiuni fereastră, pe ecran complet, încorporate și RemoteApp

The hook de tastatură Controlul proprietății RDP stabilește dacă combinațiile de taste Windows se aplică local, de la distanță sau doar în sesiunea de la distanță în modul pe ecran complet. Sesiunile încorporate adaugă o altă destinație posibilă pentru un scurtătură, iar RemoteApp nu reproduce fiecare comportament al tastaturii pe desktop complet.

Dacă o combinație de taste ajunge la computerul greșit, testați mai întâi o sesiune simplă, non-nested și revizuiți. hook de tastatură Nu slăbiți autentificarea sau setările de securitate ale gazdelor pentru a rezolva o problemă de rutare a intrărilor.

Default.rdp și fișiere .rdp reutilizabile

MSTSC stochează preferințele clientului pe utilizator, reținute, într-un fișier ascuns numit Default.rdp Fișierele RDP denumite separat pot fi salvate în altă parte pentru destinații specifice, gateway-uri, aranjamente de monitor și reguli de redirecționare.

%USERPROFILE%\Documents\Default.rdp

Ce este Default.rdp

documente Microsoft Default.rdp ca un fișier ascuns creat sau actualizat de Remote Desktop Connection în folderul Documente al utilizatorului. Acesta afectează preferințele clientului acelui utilizator. Renaming sau resetarea acestuia nu activează Remote Desktop, nu schimbă un ascultător și nu alterează politica pe gazda la distanță.

Pentru a verifica dacă sunt implicate setările clientului învechite:

1. Închideți toate feroneriile de conexiune Remote Desktop.
2. Backup sau redenumi Default.rdp .
3. Deschideți din nou MSTSC pentru a putea recrea preferințele clientului memorate.
4. Retestați conexiunea înainte de a copia setările vechi în fișierul nou.

Sintaxa fișierului RDP

Un fișier RDP este o configurație bazată pe text. O linie tipică urmează proprietate:tip:valoare , unde i identifică un întreg și Remote Access Solution [s] Soluție de acces la distanță identifică un șir.

full address:s:server01.internal  
screen mode id:i:2  
use multimon:i:1  
redirectclipboard:i:1

Nu presupune că fiecare proprietate documentată de Microsoft funcționează identic cu fiecare PC remote, RDS, Azure Virtual Desktop sau conexiune TSplus. Pagina de proprietăți RDP suportate de Microsoft acoperă mai multe produse RDP și atribuie aplicabilitatea în funcție de proprietate. Versiunea clientului, tipul țintă, politica serverului și metoda de conexiune pot conta toate.

Cum interacționează comutatoarele, setările fișierelor, alegerile GUI și politica

Microsoft nu publică o ierarhie de precedență universală care să acopere fiecare comutator de comandă, proprietate a fișierului RDP, setare grafică, Politica de Grup și politica gazdă. Evitați să setați același comportament diferit în mai multe locuri.

Testarea regulii: Când un conflict trebuie investigat, utilizați un profil temporar și înregistrați versiunea Windows, versiunea clientului, tipul țintei și politicile efective. Schimbați o valoare de fiecare dată. O setare a clientului nu poate suprascrie o politică a gazdei sau a colecției care interzice comportamentul solicitat.

Referință parametru fișier RDP

Tabelele de mai jos acoperă proprietăți care sunt deosebit de utile cu MSTSC. Valorile reflectă documentația proprietăților RDP suportate de Microsoft, dar etichetele de aplicabilitate ale Microsoft rămân autoritare pentru fiecare produs de conexiune. O proprietate documentată pentru un produs RDP Microsoft nu stabilește compatibilitatea cu fiecare alt țintă.

Destinație, identitate și proprietăți de autentificare

Proprietate și tip	Valoare acceptată	Scop	Notă de securitate sau aplicabilitate
adresă completă:s:	Numele gazdei sau adresa, opțional cu un port	Identifică destinația principală	Verificați identitatea înainte de a distribui fișierul
adresă completă alternativă:s:	Nume sau adresă alternativă de gazdă	Oferă o adresă de conexiune alternativă unde este acceptată	Aplicabilitatea depinde de produsul RDP
nume utilizator:s:	Numele utilizatorului în formatul de cont solicitat	Prepopulează numele contului	Nu confundați un nume stocat cu stocarea securizată a acreditivelor.
domeniu:s:	Nume de domeniu	Prepopulează domeniul de autentificare	Formatul contului și furnizorul de identitate controlează în continuare autentificarea.
solicitare de acreditive:i:	0 sau 1	Controlează dacă utilizatorul este solicitat să introducă acreditivele.	Politica poate totuși să necesite un prompt
promptcredentialonce:i:	0 sau 1	Controlează dacă acreditivele gateway-ului și destinației sunt solicitate o singură dată, acolo unde este suportat.	Metodele de autentificare a gateway-ului și a țintei trebuie să fie compatibile
nivel de autentificare:i:	0, 1 sau 2	Selectează dacă autentificarea serverului eșuată este ignorată, blochează conexiunea sau produce un avertisment.	Utilizați o setare strictă adecvată mediului gestionat; nu suprimați în mod obișnuit avertizările de identitate.
enablecredsspsupport:i:	0 sau 1	Controlați utilizarea furnizorului de suport pentru securitatea acreditivelor, acolo unde este cazul.	Schimbarea acestuia afectează autentificarea și compatibilitatea cu autentificarea la nivel de rețea.
negociază stratul de securitate:i:	0 sau 1	Controlează negocierea stratului de securitate acolo unde este acceptat	Nu dezactiva negocierea ca un pas de depanare de rutină

Fișierele reutilizabile nu ar trebui să conțină parole în text simplu încorporate. Utilizați stocarea de acreditive și controalele de autentificare aprobate în loc să distribuiți secrete în interiorul profilurilor de conexiune.

Afișați și monitorizați proprietățile

Proprietate și tip	Valoare sau interval acceptat	Scop	Contrapartidă sau notă
modul de ecran id:i:	1 fereastră, 2 ecran complet	Setează modul de afișare inițial	Referitor la /f și /fullscreen
lățimea desktopului:i:	200 până la 8192 pixeli	Setează lățimea desktop-ului la distanță	Referitor la /w
desktopheight:i:	200 până la 8192 pixeli	Setează înălțimea desktop-ului la distanță	Referitor la /h
session bpp:i:	15, 16, 24 sau 32	Setează adâncimea de culoare a sesiunii	Suportul pentru gazde și politica pot restricționa acest lucru
folosiți multimon:i:	0 sau 1	Activează o sesiune multi-monitor conștientă de monitor.	Referitor la /multimon
monitoareselectate:s:	ID-uri de monitor separate prin virgulă	Selectează un subset de monitoare locale	Utilizați mstsc /l pentru a găsi ID-uri; necesită modul multi-monitor.
monitoare span:i:	0 sau 1	Se extinde un desktop pe mai multe monitoare	Referitor la /span; layout orizontal de aceeași rezoluție necesar
dimensiune inteligentă:i:	0 sau 1	Scalarea desktopului la distanță afișat în fereastra clientului	Scalarea nu schimbă dinamic rezoluția la distanță
rezolutie dinamică:i:	0 sau 1	Ajustează rezoluția de la distanță atunci când fereastra clientului își schimbă dimensiunea	Suportul depinde de client și de țintă
desktopscalefactor:i:	procentaj de scalare documentat de Microsoft	Setează scala desktopului acolo unde este cazul	Verificați aplicabilitatea produsului proprietății înainte de implementare
devicescalefactor:i:	valoare de scalare a dispozitivului documentată de Microsoft	Controlează scalarea legată de dispozitive, acolo unde este cazul	Nu este o setare MSTSC universală pentru toate tipurile de destinație

Redirecționarea tastaturii, audio și a resurselor locale

Proprietate și tip	Valoare acceptată	Scop	Considerația politicii
keyboardhook:i:	0 local, 1 la distanță, 2 la distanță pe ecran complet	Controale unde sunt aplicate combinațiile de taste Windows	Sesiunile Nested și RemoteApp pot avea comportamente diferite
audiomode:i	0 joacă local, 1 joacă de la distanță, 2 dezactivează	Controlează redarea audio	Politica de gazdă poate restricționa redirecționarea audio
modulcapturareaudio:i:	0 sau 1	Dezactivează sau activează redirecționarea capturii microfonului	Activați doar atunci când fluxul de lucru are nevoie de aceasta
redirectclipboard:i:	0 sau 1	Controlul redirecționării clipboard-ului	Poate muta datele în ambele direcții; politica gazdei le poate bloca.
redirectprinters:i:	0 sau 1	Controlul redirecționării imprimantei	Cerințele de politică pentru driver și gazdă se aplică în continuare
redirectdrives:i:	0 sau 1	Controlează comportamentul redirecționării unității extinse.	Limitați accesul atunci când utilizatorii nu au nevoie de transfer de fișiere locale
drivestoredirect:s:	Listă specifică de unități, * pentru toate sau valoare dinamică de unitate acceptată	Selectează unitățile disponibile la distanță	Folosiți cea mai restrânsă listă care susține sarcina
redirectcomports:i:	0 sau 1	Controlul redirecționării portului serial	Disponibilitatea depinde de client, gazdă și politică
redirectsmartcards:i:	0 sau 1	Controlul redirecționării cardurilor inteligente	Arhitectura și politica de autentificare determină dacă funcționează

Greșeală comună: Setarea unei proprietăți de redirecționare la 1 solicită doar funcția din partea clientului. Nu dovedește că gazda, colecția RDS sau Politica de Grup o permit. Proprietățile dispozitivului, USB și WebAuthn au, de asemenea, aplicabilitate specifică conexiunii, așa că verificați pagina de proprietăți Microsoft curentă înainte de a le adăuga la un profil organizațional.

Proprietăți gateway

Proprietate și tip	Valoare acceptată	Scop	Notă operațională
gatewayhostname:s:	Numele gazdei gateway	Identifică RD Gateway	Numele ar trebui să corespundă certificatului gateway.
gatewayusagemethod:i:	Coduri documentate de Microsoft de la 0 la 4	Selectează fără gateway, utilizare necesară, utilizare condiționată sau comportament implicit configurat	Utilizați interfața gateway MSTSC pentru a genera valoarea dorită atunci când este posibil.
gatewaycredentialssource:i:	Coduri documentate pentru parolă, card inteligent, selecție ulterioară sau autentificare web suportată	Selectează sursa de acreditive a gateway-ului	Disponibilitatea depinde de configurația autentificării gateway-ului
gatewayprofileusagemethod:i:	0 sau 1	Controlează dacă se utilizează setările implicite sau cele explicite ale profilului gateway.	Păstrați valorile generate de GUI, cu excepția cazului în care documentația de implementare specifică altceva.
promptcredentialonce:i:	0 sau 1	Controlează reutilizarea unei solicitări pentru autentificarea portalului și a destinației	Nu combină sisteme de identitate incompatibile

Un profil de gateway ar trebui să identifice în continuare o destinație internă. Adăugarea unui nume de gazdă pentru gateway în timp ce destinația rămâne expusă ca un ascultător RDP public contravine scopului utilizării căii de intrare protejate.

Proprietăți de performanță și experiență a conexiunii

Proprietate și tip	Valoare acceptată	Scop	Îndrumare
networkautodetect:i:	0 sau 1	Activează detectarea automată a rețelei	De obicei, este preferabil să nu avem presupuneri fixe despre conexiune.
detectare automată a lățimii de bandă:i:	0 sau 1	Activează detectarea lățimii de bandă	Necesită un comportament de detectare a rețelei compatibil
tip de conexiune:i:	1 până la 7	Clasifică conexiunea de la viteză mică prin LAN sau detectare automată	Detectarea automată face ca ajustarea manuală să fie secundară în multe medii.
compresie:i:	0 sau 1	Controale compresie date RDP	Nu dezactivați-l pe baza unor sfaturi de reglare învechite.
dezactivează fundalul:i:	0 sau 1	Controlează dacă fundalul desktopului este suprascris	Poate reduce datele vizuale inutile
permite netezirea fontului:i:	0 sau 1	Controlați netezirea fontului	Echilibrează aspectul textului și costul conexiunii
permite compunerea desktopului:i:	0 sau 1	Controlează compunerea desktopului acolo unde este acceptată	Aplicabilitatea depinde de client și de țintă

Proprietăți RemoteApp

Un fișier RDP poate solicita o aplicație publicată individual, dar fișierul nu poate publica acea aplicație de unul singur. Mediul de server trebuie să publice programul și să autorizeze utilizatorul.

Proprietate și tip	Valoare acceptată	Scop	Cerință
modul aplicație la distanță:i:	0 sau 1	Activează modul RemoteApp	Este necesar un mediu de publicare compatibil
program de aplicație la distanță:s:	Identificatorul aplicației publicate	Identifică programul care trebuie să pornească	Trebuie să se potrivească cu o aplicație publicată pe server
numeaplicațiilorremote:s:	Nume de afișare	Oferă numele aplicației afișat utilizatorului	Nu acordă acces
liniecomandăaplicațieremotă:s:	Parametrii de linie de comandă suportați	Permite argumente permise aplicației	Politica serverului și configurarea aplicației pot restricționa argumentele

Tratați fișierele .rdp ca pe o configurație, nu ca pe scurtături inofensive.

Un fișier RDP poate direcționa utilizatorii către o destinație, solicita comportamentul portalului și activa căile de transfer, cum ar fi clipboard-ul, unitățile, imprimantele sau cardurile inteligente. Aceasta face parte din configurația operațională cu consecințe de securitate, nu doar un icon de desktop.

• Verificați destinația și gateway-ul înainte de a aproba un fișier.
• Revizuirea setărilor legate de clipboard, unitate, imprimantă, card inteligent, audio și acreditive.
• Semnați fișierele organizaționale atunci când mediul necesită validarea editorului.
• Utilizați Politica de Grup pentru a defini modul în care sunt gestionate fișierele nesemnate, semnate și de încredere.

Fișiere semnate și editori de încredere

Ghidul de securitate pentru fișierele RDP de la Microsoft , datat 14 iulie 2026, descrie trei domenii de Politică de Grup care controlează modul în care Conexiunea Desktop la Distanță gestionează fișierele RDP: reguli pentru fișiere nesemnate, reguli pentru fișiere semnate și lista editorilor de încredere explicit. Ghidul acoperă de asemenea amprentele certificatelor SHA-2 și modificările dialogului de securitate introduse în 2026.

Poziția Microsoft pentru medii de înaltă securitate este că utilizatorii pot fi limitați la fișiere RDP semnate de editori de încredere explicit, cu alte fișiere blocate.

Politica exactă ar trebui să se potrivească nivelului de risc al organizației, mai degrabă decât să se bazeze pe fiecare utilizator pentru a interpreta corect un avertisment.

Porturi, porturi personalizate și redirecționare de porturi

Portul dintr-o comandă MSTSC îi spune clientului unde să se conecteze. Nu schimbă configurația ascultătorului serverului, a firewall-ului, a certificatului, a gateway-ului sau a traducerii adresei de rețea.

Port și transport	Rol	Context de conexiune
TCP și UDP 3389	Port RDP direct standard	Client pentru gazdă, de obicei pe o rețea internă sau protejată
TCP 443	Trafic HTTPS extern către RD Gateway	Client către portalul gateway
UDP 3391	RDP prin UDP prin RD Gateway	Client către portalul de gateway unde este activat

Acestea porturile RDP provine din Referința portului RDS din februarie 2026 a Microsoft . Ele sunt fapte de rețea, nu o recomandare de a expune TCP sau UDP 3389 public.

Conectați-vă la un port nonimplicit

Adăugați portul la destinație după un două puncte. Acest lucru funcționează doar atunci când gazda ascultă deja pe acel port și calea rețelei protejate permite acest lucru.

mstsc /v:server01.internal:3390

MSTSC nu poate schimba portul de ascultare al gazdei

Schimbarea ascultătorului este o operațiune coordonată pe partea gazdei care implică configurarea Windows, Serviciile Desktop Remote, regulile de firewall și orice controale de rețea în amonte. Microsoft afirmă că RDS poate folosi un alt port, dar nu recomandă schimbarea portului. ca abordarea normală.

Un port personalizat poate reduce zgomotul automatizat, dar nu este un control de securitate de la sine. Folosiți un ghid dedicat pentru schimbarea portului dacă trebuie să modificați ascultătorul și planificați validarea și revenirea înapoi în loc să tratați comanda clientului ca pe o procedură de schimbare.

Nu redirecționați un port RDP brut către internetul public

Regula de decizie: Dacă accesul este intern sau deja protejat de o rețea privată, conectați-vă la gazda internă și la ascultător. Dacă accesul traversează internetul, utilizați HTTPS, un RD Gateway, un proxy invers sau un alt punct de intrare protejat cu MFA și controale de acces. Nu publicați portul 3389 sau un port personalizat pentru ascultătorul RDP direct pe internet.

RDP nu este nesigur prin design. Riscul crește atunci când un ascultător RDP este expus public, acreditivele sunt slabe sau reutilizate, sistemele nu sunt actualizate și încercările de acces nu sunt monitorizate. CISA, FBI-ul și Direcția de Semnale din Australia au sfătuit în actualizarea BianLian din 20 noiembrie 2024, organizațiile limitează strict RDP, închid porturile neutilizate, impun blocări, folosesc MFA rezistent la phishing și înregistrează încercările de acces.

MSTSC nu funcționează: izolați stratul care eșuează

O conexiune MSTSC eșuată poate avea originea în profilul clientului, DNS, calea de rețea, ascultătorul gazdă, autentificare, autorizare, gateway sau configurația de afișare. Testați acele straturi în ordine în loc să slăbiți setările de securitate până când eroarea se schimbă.

1. Confirmă clientul și profilul

Rulare mstsc /? pentru a confirma că clientul se lansează și pentru a inspecta sintaxa sa disponibilă. Testați destinația fără fișierul RDP salvat. Dacă conexiunea curată funcționează, comparați fișierul cu un profil nou creat sau testați cu o resetare. Default.rdp .

2. Confirmați accesibilitatea DNS și a portului

Rezolvați numele destinației, apoi testați portul listener-ului din rețeaua clientului. Utilizați gazda internă actuală și portul configurat.

Rezolvați-DnsName server01.internal Test-NetConnection server01.internal -Port 3389

O căutare DNS eșuată este diferită de un gazdă rezolvată cu un port blocat. Un test de port reușit dovedește doar accesibilitatea de bază. Nu dovedește că contul este autorizat sau că autentificarea va avea succes.

3. Verificați serviciul gazdă și ascultătorul

Pe gazdă, confirmați că Remote Desktop este activat și inspectați serviciile relevante. Documentația de depanare Microsoft identifică Termenul de serviciu și UmRdpService ca componente de partea gazdelor pentru a verifica.

Get-Service TermService, UmRdpService

Starea ascultătorului, conflictele de porturi, regulile de firewall și configurația gazdei nu sunt controlate de clientul MSTSC. Investigați aceste elemente pe gazdă sau prin procesul de gestionare a serverului aplicabil.

4. Verificați identitatea, autorizarea, NLA și politica

Un ascultător accesibil poate totuși să respingă o conexiune. Verificați formatul contului, starea parolei, blocarea contului, drepturile de conectare la Remote Desktop, apartenența la grup, cerințele de autentificare la nivel de rețea și politica de grup efectivă.

Nu folosi /admin ca un răspuns la acreditivele respinse. Schimbă tipul de sesiune solicitat, nu identitatea sau permisiunile utilizatorului.

5. Verificați erorile de gateway și certificate separat

Autentificarea gateway-ului, accesibilitatea gateway-ului, accesibilitatea gateway-ului către țintă și autentificarea țintei sunt etape separate. O avertizare de certificat este, de asemenea, o problemă de identitate, nu o dovadă generică că „RDP este căzut.” Confirmați că numele solicitat se potrivește cu certificatul și că lanțul de emitere este de încredere.

6. Eliminarea variabilelor de afișare și redirecționare

Retestați cu un monitor și redirecționare minimă a resurselor locale. Dacă funcționează, adăugați setările pentru monitor, clipboard, unitate, imprimantă și audio înapoi câte una pe rând.

Nu dezactivați NLA, validarea certificatului sau criptarea ca răspuns de rutină inițial. Un ghid dedicat pentru depanarea Remote Desktop poate duce diagnosticul mai departe atunci când aceste teste limitate identifică stratul defectuos, dar nu și cauza acestuia.

Clienți Linux, gestionari de conexiuni și alternative MSTSC

Alegeți o alternativă în funcție de locul de muncă actual. O implementare Linux RDP, un manager de conexiuni Windows, publicarea centralizată a aplicațiilor și un produs de suport la distanță rezolvă probleme diferite.

Necesitate	Categorie potrivită	Exemplu și limită principală
O conexiune tradițională Windows RDP	Client Windows încorporat	MSTSC; specific Windows și nu un sistem de publicare
Multe puncte finale Windows RDP salvate	Manager de conexiune	Microsoft Sysinternals RDCMan; organizează conexiunile, dar nu creează o arhitectură de acces
RDP de pe Linux	Implementare RDP multiplatformă	FreeRDP; sintaxa trebuie verificată în raport cu versiunea instalată
Aplicații sau desktopuri Windows atribuite	Livrare centralizată a accesului la distanță	Un sistem de publicare a aplicațiilor; necesită implementare și autorizare pe partea serverului
Controlul helpdesk al dispozitivului unui utilizator	software de suport la distanță	Proiectat pentru fluxurile de lucru ale tehnicienilor și suportului, mai degrabă decât pentru livrarea centralizată a aplicațiilor.

Nu există o versiune Linux a mstsc.exe

mstsc.exe este un executabil Windows. FreeRDP este o implementare RDP open-source, întreținută și multiplatformă, și xfreerdp este un client Linux comun asociat cu proiectul.

Sintaxa comenzii FreeRDP se poate schimba între versiunile majore. Verificați clientul instalat. --ajutor output și documentația actuală FreeRDP în loc să copiați o comandă veche fără verificare.

Utilizați Managerul de Conexiuni Desktop Remote pentru multe conexiuni Windows salvate

Microsoft Sysinternals poziționează Managerul de Conexiune Desktop Remote sau RDCMan, ca un manager pentru multe conexiuni Remote Desktop. Microsoft a documentat versiunea 3.22 a RDCMan pe 15 octombrie 2026.

RDCMan suportă grupuri de servere, setări moștenite, miniaturi, stocuri de acreditive și acțiuni aplicate grupurilor de conexiuni. Organizează sesiuni administrative RDP, dar nu publică aplicații, nu înlocuiește un RD Gateway, nu oferă un flux de lucru pentru suportul la distanță și nu determină securitatea căii de acces.

Alegeți o alternativă în funcție de locul de muncă actual

• Utilizați MSTSC pentru o conexiune RDP tradițională individuală din Windows.
• Utilizați RDCMan atunci când un administrator Windows trebuie să organizeze multe puncte finale RDP.
• Utilizați un client RDP întreținut, cum ar fi FreeRDP pe Linux.
• Utilizați software-ul de suport la distanță pentru controlul asistenței cu prezență sau fără prezență.
• Utilizați un sistem de publicare a aplicațiilor atunci când utilizatorii au nevoie de aplicații sau desktopuri Windows atribuite central.

Folosind MSTSC cu TSplus Remote Access

TSplus Remote Access poate livra aplicații Windows atribuite sau desktopuri complete prin Microsoft MSTSC, un alt client compatibil RDP, un client generat sau acces prin browser. MSTSC este o metodă de conectare suportată, nu întreaga arhitectură a produsului.

MSTSC poate fi o metodă de conectare.

Cu [cu] metoda MSTSC documentată , utilizatorii se conectează printr-o fereastră standard Remote Desktop la resursele livrate de TSplus Remote Access. Imprimanta Universală nu este suportată prin această metodă de conexiune MSTSC.

Accesul prin browser este o experiență de conexiune separată și necesită ediția Web Mobile TSplus Remote Access sau o versiune superioară. Clienții generați sunt o altă opțiune și pot suporta selecția monitorului documentat Compatibilitatea ar trebui să fie verificată pentru tipul de conexiune ales, mai degrabă decât să se presupună că fiecare proprietate Microsoft RDP a fost validată cu TSplus Remote Access.

Când publicarea centralizată este mai utilă decât mai multe fișiere .rdp

Păstrați MSTSC atunci când cerința este un client RDP simplu pentru un punct final cunoscut. Luați în considerare TSplus Remote Access când sarcina reală este de a publica și atribui aplicații Windows sau desktopuri centralizat în loc de a menține fișiere RDP izolate pentru fiecare utilizator și server.

Multe implementări pot folosi un singur server. Capacitățile de gateway, fermă și echilibrare a încărcării necesită ediția Enterprise a TSplus Remote Access, iar o fermă este o opțiune mai degrabă decât o cerință prealabilă. TSplus Remote Access nu este un VDI complet și nu găzduiește infrastructura clientului.

Dacă utilizatorii dvs. au nevoie de aplicații sau desktopuri Windows atribuite centralizat, mai degrabă decât de o colecție în creștere de fișiere RDP individuale, comparați edițiile TSplus Remote Access și metodele de conectare.

Limitarea TSplus 2FA cu MSTSC

Limitarea metodei de conexiune: TSplus autentificare cu două factori este un add-on plătit care necesită TSplus Remote Access Web Mobile sau Enterprise Edition. Nu funcționează cu Microsoft mstsc.exe Conexiunile directe RDP sunt interzise pentru utilizatorii activați pentru TSplus 2FA, așa că acești utilizatori trebuie să se conecteze prin portalul web suportat sau un client generat compatibil.

MFA ar trebui să fie o bază pentru accesul la distanță și administrativ, dar este doar un strat. Trebuie combinat cu actualizări, blocare, protecție împotriva atacurilor de forță brută, privilegii minime, segmentare și monitorizare.

O listă de verificare a securității și licențierii limitate

MSTSC controlează o conexiune client. Comutatoarele și setările salvate nu pot securiza sau licenția desfășurarea în ansamblu. Înainte de a pune o conexiune în producție, verificați arhitectura înconjurătoare:

• Păstrați ascultătorii RDP neprocesați de pe internetul public.
• Utilizați un gateway, punct de intrare HTTPS, proxy invers sau cale privată protejată.
• Utilizați certificate valide pentru punctele de intrare web și gateway.
• Solicitați MFA printr-o metodă de conexiune care o suportă.
• Aplicarea celui mai mic privilegiu, blocarea contului și protecția împotriva atacurilor brute-force RDP .
• Restricționați adresele IP sursă, țările sau dispozitivele de încredere unde baza de utilizatori permite acest lucru.
• Dezactivați redirecționarea clipboard-ului, a unităților, a imprimantei și a dispozitivelor de care fluxul de lucru nu are nevoie.
• Patch Windows, software de acces de la distanță și instrumente de securitate.
• Utilizați TSplus Server Monitoring pentru a monitoriza sesiunile active și sănătatea serverului.
• Segmentați rețeaua și dezactivați porturile și serviciile neutilizate.
• Separarea conturilor administrative de conturile utilizatorilor obișnuiți.
• Salvați configurațiile de acces și testați restaurarea.
• Validare licențiere Windows Server, RDS CAL, Office și Microsoft 365 cu Microsoft sau un partener de licențiere calificat.

MSTSC este un client în calea de acces. O comandă corectă sau un fișier RDP poate stabili o conexiune, dar nu garantează că implementarea este sigură, autorizată corespunzător sau licențiată corect.

Puteți începe un gratuită probă de 15 zile a TSplus Remote Access pentru a testa livrarea aplicațiilor și desktop-ului pe propria infrastructură Windows, apoi validați licențierea Microsoft necesară pentru configurația dumneavoastră.