mstsc Команда: Переключатели, Ярлыки и Настройки .rdp Файла

MSTSC, RDP, RDS и TermService — это разные вещи

Условия связаны, но они описывают разные части развертывания удаленного доступа. Путаница может привести к неправильному направлению при устранении неполадок, особенно когда кто-то ищет «службу MSTSC» или предполагает, что переключатель MSTSC изменяет сервер.

Термин	Что это такое	Где это работает
mstsc.exe	Классический клиент подключения к удаленному рабочему столу Microsoft	Клиентское устройство Windows
RDP	Протокол удаленного рабочего стола, который передает отображение, ввод и перенаправленные ресурсы	Между клиентом и удаленной системой
RDS	Службы удаленного рабочего стола, роли Windows Server от Microsoft для удаленных сеансов, доставки приложений, шлюзов и связанных услуг	Инфраструктура Windows Server
Служба терминалов	Служба удаленных рабочих столов, связанная с RDP-соединениями на стороне сервера	Windows-хост

Что делает mstsc.exe

Документы Microsoft mstsc.exe как клиент, который использовался для подключения к серверу хоста сеанса удаленного рабочего стола или другому удаленному компьютеру. Вы можете открыть его из Выполнить, Командной строки, PowerShell или ярлыка, с параметрами командной строки или без них.

mstsc  
mstsc.exe  
mstsc /?  
mstsc "C:\Connections\Accounting.rdp"

Первые две команды открывают графический клиент. mstsc /? отображает синтаксис команд установленного клиента. Передача файла подключения открывает профиль, сохраненный в этом файле.

MSTSC является клиентом, а не протоколом или службой

Документация протокола удаленного рабочего стола Microsoft описывает RDP как клиент-серверный протокол. На хосте служба, которую администраторы обычно имеют в виду под «службой MSTSC», это Служба терминалов Служба перенаправления портов пользовательского режима удаленных рабочих столов UmRdpService может также появляться во время диагностики на стороне хоста.

Следующая команда PowerShell проверяет эти службы на хосте Windows. Она не проверяет службу MSTSC, так как такая служба не существует.

Get-Service TermService, UmRdpService

MSTSC также является клиентом удаленного доступа, а не рабочим процессом помощи с участием. Если технику необходимо просмотреть или контролировать устройство пользователя для поддержки, используйте программное обеспечение для удаленной поддержки предназначен для согласия, рабочих процессов техников и обработки сеансов.

Windows 10, Windows 11 и более ранние версии Windows

Текущая справка по команде MSTSC от Microsoft перечисляет Windows 10, Windows 11 и Windows Server 2016 по 2025 годы среди применимых версий. Windows 8 может по-прежнему появляться в исторических поисках и старых средах, но не является текущей целью развертывания в списке применимости Microsoft. Проверьте mstsc /? на фактическом клиенте, поскольку доступное поведение также может зависеть от его сборки Windows и политик.

Справочник параметров командной строки MSTSC

Следующая таблица соответствует текущему контракту команды MSTSC от Microsoft. Она намеренно исключает не задокументированные переключатели, включая /мигрировать , который не указан в текущей справке по командам Microsoft.

Переключить	Цель	Важное ограничение	Пример
	Открывает сохраненный файл подключения .rdp	Цитировать пути, содержащие пробелы	mstsc "C:\Connections\Sales.rdp"
/v: [: ]	Указывает удаленный хост и необязательный порт прослушивателя	Он выбирает назначение, но не включает RDP и не изменяет порт хоста.	mstsc /v:server01
/g:	Указывает на шлюз RD	Microsoft документирует это как прочитанное, когда /v указывает назначение.	mstsc /v:server01 /g:gateway.example.com
/админ	Запрашивает сессию для администрирования сервера	Это не предоставляет права администратора и не обходит аутентификацию и лицензирование.	mstsc /v:server01 /admin
/f или /полноэкранный	Запускает сессию в полноэкранном режиме	Используйте Ctrl+Alt+Break для переключения режима отображения во время сеанса	mstsc /v:server01 /f
/w:	Устанавливает начальную ширину окна	Обычно в паре с /h	mstsc /v:server01 /w:1920 /h:1080
/h:	Устанавливает начальную высоту окна	Обычно в паре с /w	mstsc /v:server01 /w:1920 /h:1080
/public	Запускает удаленное подключение к рабочему столу в публичном режиме	Предотвращает кэширование паролей и битмапов для соединения, но не является полной политикой безопасности для общего устройства.	mstsc /v:server01 /public
/спан	Охватывает один удаленный рабочий стол на совместимых локальных мониторах	Microsoft требует горизонтально выровненные мониторы с одинаковым разрешением	mstsc /v:server01 /span
/мультиэкран	Использует расположение монитора клиента в удаленной сессии	Возможности хоста и политика по-прежнему применяются	mstsc /v:server01 /multimon
/л	Списки локальных мониторов и их идентификаторов	Используйте идентификаторы с свойством selectedmonitors	mstsc /l
/редактировать	Открывает сохраненный файл подключения для редактирования	Путь должен указывать на существующий файл .rdp	mstsc /edit "C:\Connections\Sales.rdp"
/ограниченныйАдминистратор	Использует режим ограниченного администратора, чтобы избежать отправки повторно используемых учетных данных на удаленный хост	Предполагает /admin и может повлиять на доступ к другим сетевым ресурсам из удаленной сессии	mstsc /v:server01 /restrictedAdmin
/remoteGuard	Использует Windows Defender Remote Credential Guard	Запросы на аутентификацию перенаправляются на клиент; применяются требования совместимости и политики.	mstsc /v:server01 /remoteGuard
/prompt	Вызывает запрос учетных данных	Полезно при тестировании, вызывают ли сохраненные учетные данные проблему.	mstsc /v:server01 /prompt
/shadow:	Затемнение существующей сессии RDS	Требуется действительный идентификатор сеанса, авторизация и поддерживающая политика	mstsc /shadow:3
/управление	Контроль запросов во время теневого доступа	Используется с /shadow	mstsc /shadow:3 /control
/нетСогласияЗапрос	Запросы на теневое управление без запроса согласия у пользователя сессии	Требуется авторизация и поддержка политики; использовать только в рамках проверяемого административного процесса	mstsc /shadow:3 /control /noConsentPrompt
/?	Отображает справку по командам	Полезно для проверки синтаксиса, доступного на установленной сборке Windows	mstsc /?

Коммутаторы, которые можно комбинировать

Начните с назначения, затем добавьте только поведение, необходимое для подключения. Читаемые команды легче устранять, чем ярлыки, содержащие несколько ненужных опций.

mstsc /v:server01 /f  
mstsc /v:server01 /w:1920 /h:1080  
mstsc /v:server01.internal /g:gateway.example.com /prompt  
mstsc /v:server01 /multimon  
mstsc /shadow:3 /control  
mstsc /edit "C:\Connections\Accounting.rdp"

Эти примеры используют внутренние имена серверов. Если соединение проходит через интернет, слушатель RDP назначения не должен быть опубликован напрямую по общему адресу.

Что /admin не делает

/админ запрашивает административную серверную сессию. Это не делает подключающуюся учетную запись администратором, не создает дополнительных прав на подключение, не обходит аутентификацию на уровне сети и не отменяет политику хоста.

Лицензионная граница: /админ теневое копирование, команды MSTSC и сохраненные файлы не освобождают от обязательств по лицензированию Microsoft. Microsoft утверждает, что Необходимы CAL для RDS в применимых средах RDS. Лицензирование Windows Server, RDS CAL, Office и Microsoft 365 зависит от операционной системы, модели развертывания, пользователей или устройств и использования приложений. Проверьте вашу конфигурацию с Microsoft или квалифицированным партнером по лицензированию.

Ограниченный администратор и удаленная защита

Restricted Admin и Remote Credential Guard являются режимами защиты учетных данных, а не полными архитектурами безопасности доступа. Microsoft документирует их как альтернативы в синтаксисе MSTSC, поэтому не указывайте оба для одного и того же соединения.

Режим	Поведение учетных данных	Операционные соображения
Ограниченный администратор	Избегает передачи повторно используемых учетных данных удаленному хосту	Подразумевает /admin; дальнейший доступ из удаленной сессии может не сработать, потому что учетные данные пользователя там недоступны.
Удаленный защитник учетных данных	Перенаправляет запросы аутентификации обратно к клиенту	Требуется совместимая конфигурация Windows, домена и политики

Ни один из режимов не заменяет патчинг, принцип наименьших привилегий, MFA, сегментацию, контроль блокировки или мониторинг. Проверьте совместимость с сервисами, к которым администратор должен получить доступ из удаленной сессии.

Практические команды MSTSC для общих задач

Начать сеанс на полный экран или фиксированный размер

Используйте /ф или /полноэкранный режим для полного экрана. Используйте /в и /ч] когда предсказуемый размер окна более полезен.

mstsc /v:server01 /f mstsc /v:server01 /w:1920 /h:1080

Microsoft документирует диапазон от 200 до 8192 пикселей для соответствующего ширина рабочего стола и высота рабочего стола Свойства RDP. Этот документированный диапазон свойств не следует рассматривать как гарантию того, что каждое разрешение является практичным для каждой конфигурации клиента, хоста или монитора.

Откройте или отредактируйте файл RDP

Передача пути к файлу открывает соединение. Добавление /редактировать открывает свои настройки в удаленном рабочем столе, а не начинает сессию немедленно.

mstsc "C:\Connections\Отдел учета.rdp" mstsc /edit "C:\Connections\Отдел учета.rdp"

Подключитесь через шлюз RD

The /v значение определяет назначение, в то время как /g определяет шлюз RD, используемый для его достижения. Документы Microsoft /g как читается, когда /v также поставляется.

mstsc /v:server01.internal /g:gateway.example.com /prompt

Правило доступа в Интернет: Если необходимо достичь назначения через интернет, используйте защищенный шлюз, точку входа HTTPS, обратный прокси или частный путь доступа вместо перенаправления слушателя RDP назначения. Синтаксически корректный /g или /v Команда лишь подтверждает, что у клиента есть инструкции по подключению. Она не подтверждает, что путь доступа безопасно спроектирован.

Стендировать существующую сессию

Теневое управление требует идентификатор существующей сессии. /управление запросы взаимодействия с этой сессией, в то время как /нетСогласияЗапрос запросы, чтобы MSTSC не запрашивал согласие у пользователя сеанса.

mstsc /shadow:3 /control

Авторизация, политика, состояние сеанса и аудит по-прежнему применяются. Теневое управление является административной возможностью RDS, а не заменой продукта удаленной поддержки с участием техников, очередями, согласиями пользователей и записями службы поддержки.

Несколько мониторов: /multimon, /span, /l и выбранныемониторы

Четыре варианта решают разные задачи. Выберите режим перед добавлением настроек монитора в многоразовый профиль.

Опция	Поведение	Требование или случай использования
/мультиэкран	Создает удаленную сессию с учетом монитора, которая следует за локальным расположением	Используйте, когда приложения должны распознавать отдельные удаленные мониторы
/спан	Создает один большой рабочий стол, охватывающий мониторы	Требуются горизонтально выровненные мониторы с одинаковым разрешением
/л	Списки идентификаторов мониторов и геометрии	Запустите перед выбором подмножества мониторов
выбранныемониторы:s:	Выбирает конкретные идентификаторы мониторов в файле RDP	Требуется режим многомониторного отображения и совместимая конфигурация мониторов

Используйте /multimon для удаленной сессии с учетом монитора

/мультиэкран воспроизводит расположение мониторов на стороне клиента в удаленной сессии, а не представляет одну увеличенную поверхность. Удаленная среда может затем рассматривать дисплеи как отдельные мониторы, в зависимости от возможностей хоста и политики.

mstsc /v:server01 /multimon

Используйте /span только для совместимого горизонтального макета

/спан не является псевдонимом для /мультиэкран Microsoft требует, чтобы мониторы использовали одно и то же разрешение и были выровнены по горизонтали. Если дисплеи имеют разные разрешения или вертикальный сдвиг, используйте режим многомониторного отображения.

Найдите идентификаторы мониторов и выберите конкретные мониторы

Сначала перечислите идентификаторы мониторов, которые видит MSTSC. Затем поместите необходимые идентификаторы в сохраненный RDP файл.

mstsc /l

использовать multimon:i:1 выбранныемониторы:s:0,2

Microsoft документирует дополнительные ограничения по компоновке для выбранных мониторов, включая необходимость того, чтобы выбранный набор образовывал действительное прямоугольное расположение. Протестируйте профиль на предполагаемой рабочей станции, так как нумерация мониторов может измениться при изменении дисплеев, док-станций или графических настроек.

Сочетания клавиш для удаленного рабочего стола

Используйте Ctrl+Alt+End отправить удаленный эквивалент Ctrl+Alt+Del Windows перехватывает Ctrl+Alt+Del локально, вот почему MSTSC использует другую комбинацию для удаленной сессии.

Локальная комбинация клавиш	Удаленное действие	Ограничение
Ctrl+Alt+End	Удаленный эквивалент Ctrl+Alt+Del	Вложенные сеансы и RemoteApp могут изменить, где обрабатывается команда
Ctrl+Alt+Break	Переключение между оконным и полноэкранным режимом	Некоторые клавиатуры обозначают клавишу Pause или требуют комбинации Fn.
Alt+Page Up	Переключает удаленные приложения слева направо	Удаленный аналог Alt+Tab
Alt+Page Down	Переключает удаленные приложения справа налево	Удаленный аналог переключения приложений в обратном направлении
Alt+Home	Открывает удаленное меню Пуск	Применяется к сеансу удаленного рабочего стола
Ctrl+Alt+Плюс	Копирует изображение всего окна удаленной сессии в буфер обмена	Microsoft документирует клавишу плюс на цифровой клавиатуре
Ctrl+Alt+Минус	Копирует изображение активного удаленного окна в буфер обмена	Microsoft документирует клавишу минус на цифровой клавиатуре
Ctrl+Alt+Home	Активирует панель подключения в полноэкранном режиме	Актуально, когда панель подключения скрыта

Поведение клавиатуры в оконных, полноэкранных, вложенных и RemoteApp сеансах

The клавиатурный хук Свойство RDP контролирует, применяются ли комбинации клавиш Windows локально, удаленно или только к удаленной сессии в полноэкранном режиме. Вложенные сессии добавляют еще одно возможное назначение для ярлыка, а RemoteApp не воспроизводит все клавиатурные действия полного рабочего стола.

Если комбинация клавиш попадает на неправильный компьютер, сначала протестируйте одну не вложенную сессию и просмотрите. клавиатурный хук Не ослабляйте настройки аутентификации или безопасности хоста для решения проблемы маршрутизации ввода.

Файлы Default.rdp и повторно используемые .rdp файлы

MSTSC сохраняет запомненные пользовательские настройки клиента в скрытом файле с именем Default.rdp Отдельно именованные файлы RDP могут быть сохранены в другом месте для конкретных назначений, шлюзов, макетов мониторов и правил перенаправления.

%USERPROFILE%\Documents\Default.rdp

Что такое Default.rdp

Документы Microsoft Default.rdp как скрытый файл, созданный или обновленный с помощью Remote Desktop Connection в папке Документы пользователя. Это влияет на предпочтения клиента этого пользователя. Переименование или сброс не включает Remote Desktop, не изменяет слушателя и не изменяет политику на удаленном хосте.

Чтобы проверить, связаны ли устаревшие настройки клиента:

1. Закройте все окна подключения к удаленному рабочему столу.
2. Создать резервную копию или переименовать Default.rdp .
3. Откройте MSTSC снова, чтобы он мог восстановить запомненные настройки клиента.
4. Проверьте соединение перед копированием старых настроек в новый файл.

Синтаксис файла RDP

Файл RDP является текстовой конфигурацией. Типичная строка выглядит следующим образом свойство:тип:значение , где я определяет целое число и s определяет строку.

полный адрес:s:server01.internal  
идентификатор режима экрана:i:2  
использовать многомонитор:i:1  
перенаправить буфер обмена:i:1

Не предполагайте, что каждое свойство, задокументированное Microsoft, работает одинаково с каждым удаленным ПК, RDS, Azure Virtual Desktop или подключением TSplus. Страница свойств RDP, поддерживаемых Microsoft, охватывает несколько продуктов RDP и определяет применимость по свойству. Версия клиента, тип цели, политика сервера и метод подключения могут иметь значение.

Как переключатели, настройки файлов, выборы интерфейса и политика взаимодействуют

Microsoft не публикует единую иерархию приоритетов, охватывающую каждую команду, свойства файла RDP, графические настройки, групповую политику и политику хоста. Избегайте установки одного и того же поведения по-разному в нескольких местах.

Тестирование правила: Когда необходимо расследовать конфликт, используйте одноразовый профиль и запишите сборку Windows, версию клиента, тип цели и действующие политики. Изменяйте одно значение за раз. Настройка клиента не может отменить политику хоста или коллекции, которая запрещает запрашиваемое поведение.

Справочник параметров файла RDP

Таблицы ниже охватывают свойства, которые особенно полезны при использовании MSTSC. Значения отражают документацию по поддерживаемым свойствам RDP от Microsoft, но метки применимости Microsoft остаются авторитетными для каждого продукта подключения. Документирование свойства для одного продукта RDP от Microsoft не устанавливает совместимость с каждым другим целевым продуктом.

Назначение, свойства идентификации и аутентификации

Свойство и тип	Принятое значение	Цель	Примечание о безопасности или применимости
полный адрес:s:	Имя хоста или адрес, опционально с портом	Определяет основное направление	Проверьте личность перед распространением файла
альтернативный полный адрес:s:	Альтернативное имя хоста или адрес	Предоставляет альтернативный адрес подключения, где это поддерживается	Применимость зависит от продукта RDP
имя пользователя:s:	Имя пользователя в требуемом формате учетной записи	Предзаполняет имя учетной записи	Не путайте сохраненное имя с безопасным хранением учетных данных
домен:s:	Доменное имя	Предзаполняет домен аутентификации	Формат учетной записи и поставщик идентификации по-прежнему контролируют вход в систему
введите учетные данные:i:	0 или 1	Управляет тем, запрашиваются ли у пользователя учетные данные.	Политика все еще может требовать запроса
пригласитьучетныеданныеодинраз:i:	0 или 1	Управляет тем, запрашиваются ли учетные данные шлюза и назначения один раз, если это поддерживается.	Методы аутентификации шлюза и целевого устройства должны быть совместимы
уровень аутентификации:i:	0, 1 или 2	Выбирает, игнорировать ли неудачную аутентификацию сервера, блокировать соединение или выдавать предупреждение.	Используйте строгие настройки, соответствующие управляемой среде; не подавляйте предупреждения о личности регулярно.
enablecredsspsupport:i:	0 или 1	Контроль безопасности учетных данных Провайдер поддержки используется, где это применимо	Изменение этого влияет на совместимость аутентификации и аутентификации на уровне сети.
переговоры о слое безопасности:i:	0 или 1	Управляет переговорами по уровню безопасности, где это поддерживается	Не отключайте переговоры как обычный шаг по устранению неполадок.

Повторно используемые файлы не должны содержать встроенные пароли в открытом виде. Используйте одобренное хранилище учетных данных и средства аутентификации, а не распространяйте секреты внутри профилей подключения.

Отображение и мониторинг свойств

Свойство и тип	Принятое значение или диапазон	Цель	Контрагент или примечание
идентификатор режима экрана:i:	1 оконный, 2 полный экран	Устанавливает начальный режим отображения	Связано с /f и /fullscreen
ширина_рабочего_стола:i:	от 200 до 8192 пикселей	Устанавливает ширину удаленного рабочего стола	Связано с /w
desktopheight:i:	от 200 до 8192 пикселей	Устанавливает высоту удаленного рабочего стола	Связано с /h
сессия bpp:i:	15, 16, 24 или 32	Устанавливает глубину цвета сеанса	Поддержка хоста и политика могут ограничивать это
использовать multimon:i:	0 или 1	Включает сессию с несколькими мониторами, учитывающую монитор	Связано с /multimon
выбранныемониторы:s:	Идентификаторы мониторов, разделенные запятыми	Выбирает подмножество локальных мониторов	Используйте mstsc /l для поиска идентификаторов; требуется режим многомониторного отображения
мониторы span:i:	0 или 1	Расширяет один рабочий стол на несколько мониторов	Связано с /span; требуется горизонтальная компоновка с одинаковым разрешением
умное изменение размера:i:	0 или 1	Масштабирует отображаемый удаленный рабочий стол в окно клиента	Масштабирование не изменяет удаленное разрешение динамически
динамическое разрешение:i:	0 или 1	Регулирует удаленное разрешение при изменении размера окна клиента	Поддержка зависит от клиента и цели
desktopscalefactor:i:	документированный Microsoft процент масштабирования	Устанавливает масштаб рабочего стола, где это применимо	Проверьте применимость продукта к свойству перед развертыванием
devicescalefactor:i:	Значение масштаба устройства, задокументированное Microsoft	Управляет масштабированием, связанным с устройством, где это применимо	Не универсальная настройка MSTSC для всех типов целей

Перенаправление клавиатуры, аудио и локальных ресурсов

Свойство и тип	Принятое значение	Цель	Учет политики
keyboardhook:i:	0 локальный, 1 удаленный, 2 удаленный в полноэкранном режиме	Контроль, где применяются комбинации клавиш Windows	Вложенные и RemoteApp-сессии могут вести себя по-разному
аудиомод:i:	0 играть локально, 1 играть удаленно, 2 отключить	Управление воспроизведением аудио	Политика хоста может ограничивать перенаправление аудио.
audiocapturemode:i:	0 или 1	Отключает или включает перенаправление захвата микрофона	Включать только при необходимости рабочего процесса
перенаправитьбуферобмена:i:	0 или 1	Управление перенаправлением буфера обмена	Можно перемещать данные в любом направлении; политика хоста может это блокировать
перенаправлениепринтеров:i:	0 или 1	Управление перенаправлением принтера	Требования к драйверам и политикам хоста по-прежнему применяются
перенаправитьдиски:i:	0 или 1	Управление поведением широкого перенаправления дисков	Ограничьте доступ, когда пользователям не требуется передача локальных файлов.
drivestoredirect:s:	Список конкретных дисков, * для всех или поддерживаемое значение динамического диска	Выбирает диски, доступные удаленно	Используйте самый узкий список, который поддерживает задачу
перенаправитькомпорты:i:	0 или 1	Управление перенаправлением последовательного порта	Доступность зависит от клиента, хоста и политики
перенаправитьумныекарты:i:	0 или 1	Управление перенаправлением смарт-карт	Архитектура аутентификации и политика определяют, работает ли это.

Распространенная ошибка: Установка свойства перенаправления на 1 только запрашивает функцию со стороны клиента. Это не доказывает, что хост, коллекция RDS или групповая политика это разрешают. Свойства устройства, USB и WebAuthn также имеют специфическую применимость к соединению, поэтому проверьте текущую страницу свойств Microsoft перед добавлением их в организационный профиль.

Свойства шлюза

Свойство и тип	Принятое значение	Цель	Оперативная записка
gatewayhostname:s:	Имя хоста шлюза	Определяет шлюз RD	Имя должно соответствовать сертификату шлюза
методиспользованияшлюза:i:	Коды от 0 до 4, задокументированные Microsoft	Выбор без шлюза, обязательное использование, условное использование или настроенное поведение по умолчанию	Используйте интерфейс шлюза MSTSC для генерации предполагаемого значения, когда это возможно
источник учетных данных шлюза:i:	Задокументированные коды для пароля, смарт-карты, последующего выбора или поддерживаемой веб-аутентификации	Выбор источника учетных данных шлюза	Доступ зависит от конфигурации аутентификации шлюза
методиспользованияпрофиляшлюза:i:	0 или 1	Управляет тем, используются ли настройки профиля шлюза по умолчанию или явные настройки.	Сохраняйте значения, сгенерированные GUI, если в документации по развертыванию не указано иное.
пригласитьучетныеданныеодинраз:i:	0 или 1	Контроль повторного использования одного запроса для аутентификации шлюза и назначения	Не объединяет несовместимые системы идентификации

Профиль шлюза все еще должен идентифицировать внутреннее назначение. Добавление имени хоста шлюза при оставлении назначения открытым в качестве публичного слушателя RDP противоречит цели использования защищенного входного пути.

Свойства производительности и качества соединения

Свойство и тип	Принятое значение	Цель	Руководство
networkautodetect:i:	0 или 1	Включает автоматическое обнаружение сети	Обычно предпочтительнее фиксированных предположений о соединении
ширина_канала_автоопределение:i:	0 или 1	Включает обнаружение пропускной способности	Требуется совместимое поведение обнаружения сети
тип подключения:i:	1 через 7	Классифицирует соединение от низкой скорости через LAN или автоматическое обнаружение	Автоматическое обнаружение делает ручную настройку второстепенной во многих средах
сжатие:i:	0 или 1	Управление сжатием данных RDP	Не отключайте его на основе устаревших рекомендаций по настройке.
отключить обои:i:	0 или 1	Контролирует, подавляется ли обои рабочего стола	Можно уменьшить ненужные визуальные данные
разрешить сглаживание шрифтов:i:	0 или 1	Управление сглаживанием шрифтов	Сбалансированное отображение текста и стоимость подключения
разрешить составление рабочего стола:i:	0 или 1	Управляет композицией рабочего стола, где это поддерживается	Применимость зависит от клиента и цели

Свойства RemoteApp

Файл RDP может запрашивать индивидуально опубликованное приложение, но файл не может самостоятельно опубликовать это приложение. Среда на стороне сервера должна опубликовать программу и авторизовать пользователя.

Свойство и тип	Принятое значение	Цель	Требование
режимудаленногоприложения:i:	0 или 1	Включает режим RemoteApp	Требуется совместимая среда публикации
удаленное приложение программы:s:	Идентификатор опубликованного приложения	Определяет программу для запуска	Должен соответствовать опубликованному на сервере приложению
имя_удаленного_приложения:s:	Отображаемое имя	Предоставляет имя приложения, отображаемое пользователю	Не предоставляет доступ
remoteapplicationcmdline:s:	Поддерживаемые параметры командной строки	Передает разрешенные аргументы приложению	Политика сервера и конфигурация приложений могут ограничивать аргументы

Обрабатывайте .rdp файлы как конфигурацию, а не безвредные ярлыки.

Файл RDP может направлять пользователей к месту назначения, запрашивать поведение шлюза и включать пути передачи, такие как буфер обмена, диски, принтеры или смарт-карты. Это делает его операционной конфигурацией с последствиями для безопасности, а не просто значком рабочего стола.

• Проверьте назначение и шлюз перед утверждением файла.
• Просмотрите настройки буфера обмена, диска, принтера, смарт-карты, аудио и учетных данных.
• Подписывайте организационные файлы, когда среда требует проверки издателя.
• Используйте групповую политику для определения того, как обрабатываются неподписанные, подписанные и ненадежные файлы.

Подписанные файлы и доверенные издатели

Руководство по безопасности файлов RDP от Microsoft , датированное 14 июля 2026 года, описывает три области групповой политики, контролирующие то, как подключение к удаленному рабочему столу обрабатывает файлы RDP: правила для неподписанных файлов, правила для подписанных файлов и список явно доверенных издателей. В руководстве также рассматриваются отпечатки сертификатов SHA-2 и изменения в диалогах безопасности, введенные в 2026 году.

Позиция Microsoft для высокозащищенных сред заключается в том, что пользователи могут быть ограничены файлами RDP, подписанными явно доверенными издателями, при этом другие файлы блокируются.

Точная политика должна соответствовать уровню риска организации, а не полагаться на то, что каждый пользователь правильно интерпретирует предупреждение.

Порты, пользовательские порты и переадресация портов

Порт в команде MSTSC указывает клиенту, куда подключаться. Он не изменяет настройки слушателя сервера, брандмауэра, сертификата, шлюза или конфигурацию трансляции сетевых адресов.

Порт и транспорт	Роль	Контекст подключения
TCP и UDP 3389	Стандартный прямой порт RDP	Клиент к хосту, обычно в внутренней или защищенной сети
TCP 443	Внешний HTTPS-трафик к RD Gateway	Клиент к шлюзу
UDP 3391	RDP через UDP через RD Gateway	Клиент к шлюзу, где это разрешено

Эти Порты RDP приходить из Справочник портов RDS от Microsoft за февраль 2026 года Это факты сети, а не рекомендация открывать TCP или UDP 3389 публично.

Подключиться к нестандартному порту

Добавьте порт к назначению после двоеточия. Это работает только тогда, когда хост уже прослушивает этот порт и защищенный сетевой путь это позволяет.

mstsc /v:server01.internal:3390

MSTSC не может изменить порт прослушивания хоста

Изменение слушателя — это согласованная операция на стороне хоста, включающая конфигурацию Windows, службы удаленного рабочего стола, правила брандмауэра и любые управляющие элементы сети на вышестоящем уровне. Microsoft утверждает, что RDS может использовать другой порт, но не рекомендует изменять порт. как обычный подход.

Пользовательский порт может уменьшить автоматизированный шум, но сам по себе он не является средством безопасности. Используйте руководство по изменению порта, если вам необходимо изменить слушатель, и планируйте проверку и откат, а не рассматривайте команду клиента как процедуру изменения.

Не перенаправляйте сырой RDP-порт в общедоступный интернет.

Правило принятия решений: Если доступ внутренний или уже защищен частной сетью, подключитесь к внутреннему хосту и слушателю. Если доступ проходит через интернет, используйте HTTPS, RD Gateway, обратный прокси или другую защищенную точку входа с MFA и контролем доступа. Не публикуйте порт 3389 или пользовательский порт слушателя RDP напрямую в интернет.

RDP не является небезопасным по дизайну. Риск увеличивается, когда слушатель RDP публично доступен, учетные данные слабы или повторно используются, системы не обновлены, а попытки доступа не контролируются. CISA, ФБР и Австралийское управление сигналов рекомендовали в своем обновлении BianLian от 20 ноября 2024 года организации строго ограничивают RDP, закрывают неиспользуемые порты, применяют блокировки, используют устойчивую к фишингу многофакторную аутентификацию и регистрируют попытки доступа.

MSTSC не работает: изолируйте слой, который вызывает сбой

Неудачное соединение MSTSC может возникнуть в профиле клиента, DNS, сетевом пути, слушателе хоста, аутентификации, авторизации, шлюзе или конфигурации дисплея. Тестируйте эти уровни по порядку, вместо того чтобы ослаблять настройки безопасности, пока ошибка не изменится.

1. Подтвердите клиента и профиль

Запуск mstsc /? чтобы подтвердить, что клиент запускается, и проверить его доступный синтаксис. Протестируйте назначение без сохраненного RDP файла. Если чистое соединение работает, сравните файл с вновь созданным профилем или протестируйте с сбросом. Default.rdp .

2. Подтвердите доступность DNS и порта

Разрешите имя назначения, затем протестируйте порт слушателя из сети клиента. Используйте фактический внутренний хост и настроенный порт.

Разрешить-DnsName server01.internal  
Проверить-СетевоеСоединение server01.internal -Порт 3389

Неудачный DNS-запрос отличается от разрешенного хоста с заблокированным портом. Успешное тестирование порта лишь подтверждает базовую доступность. Это не доказывает, что учетная запись авторизована или что аутентификация будет успешной.

3. Проверьте службу хоста и слушателя

На хосте подтвердите, что удаленный рабочий стол включен, и проверьте соответствующие службы. Документация по устранению неполадок Microsoft определяет Служба терминалов и UmRdpService как компоненты на стороне хоста для проверки.

Get-Service TermService, UmRdpService

Состояние слушателя, конфликты портов, правила брандмауэра и конфигурация хоста не контролируются клиентом MSTSC. Исследуйте эти элементы на хосте или через соответствующий процесс управления сервером.

4. Проверьте личность, авторизацию, NLA и политику

Доступный слушатель все еще может отклонить соединение. Проверьте формат учетной записи, состояние пароля, блокировку учетной записи, права на вход в Remote Desktop, членство в группе, требования к аутентификации на уровне сети и действующие групповые политики.

Не использовать /админ в качестве ответа на отклоненные учетные данные. Это изменяет запрашиваемый тип сеанса, а не личность или разрешения пользователя.

5. Проверьте ошибки шлюза и сертификата отдельно

Аутентификация шлюза, доступность шлюза, доступность шлюза к цели и аутентификация цели являются отдельными этапами. Предупреждение о сертификате также является проблемой идентификации, а не общим доказательством того, что "RDP не работает". Подтвердите, что запрашиваемое имя соответствует сертификату и что цепочка выдачи является доверенной.

6. Удалить переменные отображения и перенаправления

Проверьте снова с одним монитором и минимальной переадресацией локальных ресурсов. Если это сработает, добавляйте настройки монитора, буфера обмена, диска, принтера и аудио по одному.

Не отключайте NLA, проверку сертификатов или шифрование в качестве стандартного первого ответа. Специальное руководство по устранению неполадок Remote Desktop может углубить диагностику, когда эти ограниченные тесты выявляют неработающий уровень, но не его причину.

Клиенты Linux, менеджеры подключений и альтернативы MSTSC

Выберите альтернативу в зависимости от конкретной задачи. Реализация RDP для Linux, менеджер подключений для Windows, централизованная публикация приложений и продукт для удаленной поддержки решают разные проблемы.

Нужда	Подходящая категория	Пример и основной лимит
Одно традиционное соединение Windows RDP	Встроенный клиент Windows	MSTSC; специфичный для Windows и не является системой публикации
Много сохраненных конечных точек Windows RDP	Менеджер соединений	Microsoft Sysinternals RDCMan; организует подключения, но не создает архитектуру доступа
RDP из Linux	Кроссплатформенная реализация RDP	FreeRDP; синтаксис должен быть проверен на соответствие установленной версии
Назначенные приложения Windows или рабочие столы	Централизованная доставка удаленного доступа	Система публикации приложений; требует развертывания и авторизации на стороне сервера
Контроль устройства пользователя службой поддержки	Программное обеспечение для удаленной поддержки	Разработано для рабочих процессов техников и поддержки, а не для централизованной доставки приложений.

Нет версии mstsc.exe для Linux

mstsc.exe является исполняемым файлом Windows. FreeRDP является поддерживаемой реализацией RDP с открытым исходным кодом и кроссплатформенной. xfreerdp является общим клиентом Linux, связанным с проектом.

Синтаксис команды FreeRDP может изменяться между основными версиями. Проверьте установленный клиент. --помощь вывод и текущую документацию FreeRDP вместо копирования старой команды без проверки.

Используйте Диспетчер подключения к удаленному рабочему столу для множества сохраненных подключений Windows

Microsoft Sysinternals занимает позицию Менеджера подключения к удаленному рабочему столу или RDCMan, как менеджер для множества подключений к удаленному рабочему столу. Microsoft задокументировала версию RDCMan 3.22 15 октября 2026 года.

RDCMan поддерживает группы серверов, унаследованные настройки, миниатюры, хранилища учетных данных и действия, применяемые к группам подключений. Он организует административные RDP-сессии, но не публикует приложения, не заменяет RD Gateway, не предоставляет рабочий процесс удаленной поддержки и не определяет безопасность пути доступа.

Выберите альтернативу по текущей работе

• Используйте MSTSC для индивидуального традиционного RDP-соединения из Windows.
• Используйте RDCMan, когда администратору Windows необходимо организовать множество RDP конечных точек.
• Используйте поддерживаемый RDP-клиент, такой как FreeRDP на Linux.
• Используйте программное обеспечение для удаленной поддержки для управления службой поддержки с участием или без участия пользователя.
• Используйте систему публикации приложений, когда пользователям нужны централизованно назначенные приложения Windows или рабочие столы.

Использование MSTSC с TSplus Remote Access

TSplus Remote Access может предоставлять назначенные приложения Windows или полные рабочие столы через Microsoft MSTSC, другой клиент, совместимый с RDP, сгенерированный клиент или доступ через браузер. MSTSC является одним из поддерживаемых методов подключения, а не всей архитектурой продукта.

MSTSC может быть одним из методов подключения

С помощью документированный метод MSTSC пользователи подключаются через стандартное окно Remote Desktop к ресурсам, предоставляемым TSplus Remote Access. Универсальный принтер не поддерживается через этот метод подключения MSTSC.

Доступ через браузер - это отдельный опыт подключения и требует TSplus Remote Access Web Mobile edition или выше. Сгенерированные клиенты - это другой вариант и могут поддерживать документированный выбор монитора Совместимость следует проверять для выбранного типа подключения, а не предполагать, что каждое свойство Microsoft RDP было проверено с TSplus Remote Access.

Когда централизованная публикация полезнее, чем больше .rdp файлов

Сохраняйте MSTSC, когда требуется простой клиент RDP для известной конечной точки. Рассмотрите TSplus Удаленный доступ когда реальная задача заключается в централизованной публикации и назначении приложений Windows или рабочих столов вместо поддержания изолированных RDP-файлов для каждого пользователя и сервера.

Многие развертывания могут использовать один сервер. Возможности шлюза, фермы и балансировки нагрузки требуют версии Enterprise для TSplus Remote Access, а ферма является опцией, а не предварительным условием. TSplus Remote Access не является полноценным VDI и не размещает инфраструктуру клиента.

Если вашим пользователям нужны централизованно назначенные приложения Windows или рабочие столы, а не растущая коллекция отдельных файлов RDP, сравните редакции TSplus Remote Access и методы подключения.

Ограничение TSplus 2FA с MSTSC

Ограничение метода подключения: TSplus двухфакторная аутентификация является платным дополнением, требующим TSplus Remote Access Web Mobile или Enterprise edition. Оно не работает с Microsoft mstsc.exe Прямые RDP-соединения запрещены для пользователей, включенных в TSplus 2FA, поэтому этим пользователям необходимо подключаться через поддерживаемый веб-портал или совместимый сгенерированный клиент.

MFA должна быть базовым уровнем для удаленного и административного доступа, но это лишь один уровень. Его необходимо сочетать с обновлениями, блокировкой, защитой от грубой силы, минимальными привилегиями, сегментацией и мониторингом.

Ограниченный контроль безопасности и лицензирования

MSTSC управляет клиентским подключением. Его переключатели и сохраненные настройки не могут обеспечить безопасность или лицензирование развертывания в целом. Перед тем как запустить подключение в эксплуатацию, проверьте окружающую архитектуру:

• Держите сырые RDP-слушатели вне публичного интернета.
• Используйте шлюз, точку входа HTTPS, обратный прокси или защищенный частный путь.
• Используйте действительные сертификаты для веб- и шлюзовых точек входа.
• Требуйте MFA через метод подключения, который поддерживает его.
• Применяйте принцип наименьших привилегий, блокировку учетной записи и Защита от грубой силы RDP .
• Ограничьте IP-адреса источников, страны или доверенные устройства, где это позволяет база пользователей.
• Отключите перенаправление буфера обмена, диска, принтера и устройств, которые не нужны для рабочего процесса.
• Патч Windows, программное обеспечение для удаленного доступа и инструменты безопасности.
• Используйте Мониторинг сервера TSplus для мониторинга активных сеансов и состояния сервера.
• Сегментируйте сеть и отключите неиспользуемые порты и службы.
• Отделите административные учетные записи от учетных записей обычных пользователей.
• Создайте резервную копию конфигураций доступа и протестируйте восстановление.
• Проверьте лицензирование Windows Server, RDS CAL, Office и Microsoft 365 с Microsoft или квалифицированным партнером по лицензированию.

MSTSC является одним из клиентов в пути доступа. Правильная команда или файл RDP могут установить соединение, но это не гарантирует, что развертывание безопасно, должным образом авторизовано или правильно лицензировано.

Вы можете начать a бесплатная 15-дневная пробная версия TSplus Remote Access для тестирования доставки приложений и рабочего стола на вашей собственной инфраструктуре Windows, затем подтвердите необходимую лицензию Microsoft для вашей конфигурации.