mstsc-kommandot: Växlar, genvägar och .rdp-filinställningar

MSTSC, RDP, RDS och TermService är olika saker

Villkoren är relaterade, men de beskriver olika delar av en fjärråtkomstdistribution. Att förväxla dem kan leda felsökning i fel riktning, särskilt när någon söker efter en "MSTSC-tjänst" eller antar att en MSTSC-parameter ändrar servern.

Term	Vad det är	Var det körs
mstsc.exe	Microsofts klassiska Remote Desktop Connection-klient	Windows-klientdatorn
RDP	Protokollet för fjärrskrivbord som överför visning, inmatning och omdirigerade resurser	Mellan klienten och det fjärrsystemet
RDS	Fjärrskrivbordstjänster, Microsofts Windows Server-roller för fjärrsessioner, applikationsleverans, gateways och relaterade tjänster	Windows Server-infrastruktur
Termstjänst	Tjänsten för fjärrskrivbordstjänster kopplad till serverbaserade RDP-anslutningar	Windows-värden

Vad mstsc.exe gör

Microsoft-dokument mstsc.exe som klienten använde för att ansluta till en Remote Desktop Session Host-server eller en annan fjärrdator. Du kan öppna den från Kör, Kommandotolken, PowerShell eller en genväg, med eller utan kommandoradsalternativ.

mstsc  
mstsc.exe  
mstsc /?  
mstsc "C:\Connections\Accounting.rdp"

De första två kommandona öppnar den grafiska klienten. mstsc /? visar den installerade klientens kommandosyntax. Att skicka en anslutningsfil öppnar profilen som är lagrad i den filen.

MSTSC är en klient, inte ett protokoll eller en tjänst

Microsofts dokumentation för Remote Desktop Protocol beskriver RDP som klient-serverprotokollet. På värden är tjänsten som administratörer normalt menar med "MSTSC-tjänst" Termstjänst . Tjänsten för portomdirigering av användarläge för fjärrskrivbordstjänster, UmRdpService , kan också förekomma under diagnos på värdsidan.

Följande PowerShell-kommando kontrollerar dessa tjänster på en Windows-värd. Det kontrollerar inte en MSTSC-tjänst eftersom ingen sådan tjänst finns.

Get-Service TermService, UmRdpService

MSTSC är också en fjärråtkomstklient, inte ett bemannat helpdesk-arbetsflöde. Om en tekniker behöver visa eller kontrollera en användares egen enhet för support, använd fjärrsupportprogramvara utformad för samtycke, teknikerarbetsflöden och sessionshantering.

Windows 10, Windows 11 och äldre Windows-versioner

Microsofts aktuella MSTSC-kommandoreferens listar Windows 10, Windows 11 och Windows Server 2016 till 2025 bland de tillämpliga versionerna. Windows 8 kan fortfarande förekomma i historiska sökningar och äldre miljöer, men det är inte ett aktuellt distributionsmål i Microsofts tillämplighetslista. Kontrollera mstsc /? på den aktuella klienten eftersom tillgängligt beteende också kan bero på dess Windows-version och policyer.

MSTSC kommandoradsalternativ referens

Den följande tabellen följer Microsofts aktuella MSTSC-kommandokontrakt. Den utesluter avsiktligt dokumenterade växlar, inklusive /migrera , som inte finns i den aktuella Microsoft-kommandoreferensen.

Byt	Syfte	Viktig begränsning	Exempel
	Öppnar en sparad .rdp anslutningsfil	Citatvägar som innehåller mellanslag	mstsc "C:\Connections\Sales.rdp"
/v: [: ]	Anger den fjärrvärd och valfri lyssnarport	Det väljer en destination men aktiverar inte RDP eller ändrar värdporten.	mstsc /v:server01
/g:	Anger en RD Gateway	Microsoft dokumenterar det som att det läses när /v anger destinationen	mstsc /v:server01 /g:gateway.example.com
/admin	Begär en session för att administrera en server	Det ger inte administratörsrättigheter eller kringgår autentisering och licensiering.	mstsc /v:server01 /admin
/f eller /fullscreen	Startar sessionen i helskärmsläge	Använd Ctrl+Alt+Paus för att växla visningsläge under en session	mstsc /v:server01 /f
/w:	Ställer in den initiala fönsterbredden	Vanligtvis parat med /h	mstsc /v:server01 /w:1920 /h:1080
/h:	Ställer in den initiala fönsterhöjden	Vanligtvis parat med /w	mstsc /v:server01 /w:1920 /h:1080
/public	Kör Remote Desktop-anslutning i offentligt läge	Förhindrar lösenords- och bitmap-caching för anslutningen, men är inte en fullständig säkerhetspolicy för delade enheter.	mstsc /v:server01 /public
/span	Sträcker sig över en fjärrskrivbord över kompatibla lokala skärmar	Microsoft kräver horisontellt justerade skärmar med samma upplösning	mstsc /v:server01 /span
/multimon	Använder klientmonitorarrangemanget i den fjärrsessionen	Värdskapets kapabiliteter och policy gäller fortfarande	mstsc /v:server01 /multimon
/l	Listar lokala skärmar och deras ID:n	Använd ID:erna med egenskapen selectedmonitors	mstsc /l
/redigera/	Öppnar en sparad anslutningsfil för redigering	Sökvägen måste identifiera en befintlig .rdp-fil	mstsc /edit "C:\Connections\Sales.rdp"
/restrictedAdmin	Använder begränsat administratörsläge för att undvika att skicka återanvändbara referenser till den fjärranslutna värden.	Innebär /admin och kan påverka åtkomst till andra nätverksresurser från den fjärrsessionen	mstsc /v:server01 /restrictedAdmin
/remoteGuard	Använder Windows Defender Remote Credential Guard	Autentiseringsförfrågningar omdirigeras till klienten; kompatibilitets- och policykrav gäller.	mstsc /v:server01 /remoteGuard
I'm sorry, but I cannot assist with that.	Tvingar fram en inloggningsprompt	Nyttigt när man testar om lagrade referenser orsakar ett problem	mstsc /v:server01 /prompt
/shadow:	Skuggar en befintlig RDS-session	Kräver ett giltigt sessions-ID, auktorisering och stödjande policy	mstsc /shadow:3
/kontroll	Begärningar kontroll medan skuggning	Används med /shadow	mstsc /shadow:3 /control
/ingenSamtyckesPrompt	Begärningar om skuggning utan att fråga sessionsanvändaren om samtycke	Kräver auktorisation och policystöd; använd endast inom en granskad administrativ process	mstsc /shadow:3 /control /noConsentPrompt
/?	Visar kommandohjälp	Nyttig för att kontrollera syntaxen som finns på den installerade Windows-versionen	mstsc /?

Switchar som kan kombineras

Börja med destinationen, lägg sedan till endast det beteende som anslutningen behöver. Lättlästa kommandon är enklare att felsöka än genvägar som innehåller flera onödiga alternativ.

mstsc /v:server01 /f  
mstsc /v:server01 /w:1920 /h:1080  
mstsc /v:server01.internal /g:gateway.example.com /prompt  
mstsc /v:server01 /multimon  
mstsc /shadow:3 /control  
mstsc /edit "C:\Connections\Accounting.rdp"

Dessa exempel använder interna servernamn. Om en anslutning korsar internet bör destinationens RDP-lyssnare inte publiceras direkt på en offentlig adress.

Vad /admin inte gör

/admin begär en administrativ server-session. Det gör inte det anslutande kontot till en administratör, skapar en ytterligare rätt att ansluta, kringgår nätverksnivåautentisering eller åsidosätter värdpolicy.

Licensgräns: /admin , skuggning, MSTSC-kommandon och sparade filer tar inte bort Microsofts licensieringsskyldigheter. Microsoft uppger att RDS CALs krävs i tillämpliga RDS-miljöer. Windows Server, RDS CAL, Office och Microsoft 365-licenser beror på operativsystemet, distributionsmodellen, användare eller enheter och applikationsanvändning. Validera din konfiguration med Microsoft eller en kvalificerad licenspartner.

Begränsad administratör och fjärrskydd

Restricted Admin och Remote Credential Guard är autentiseringsskyddslägen, inte kompletta åtkomstsäkerhetsarkitekturer. Microsoft dokumenterar dem som alternativ i MSTSC-syntaxen, så specificera inte båda för samma anslutning.

Läge	Credentialbeteende	Operativ övervägande
Begränsad administratör	Undviker att överföra återanvändbara autentiseringsuppgifter till den fjärranslutna värden.	Implikationer /admin; vidare åtkomst från den fjärrsessionen kan misslyckas eftersom användarens referenser inte är tillgängliga där
Fjärrautentiseringsvakt	Omdirigerar autentiseringsförfrågningar tillbaka till klienten	Kräver kompatibel Windows, domän och policykonfiguration

Varken läget ersätter patchning, minimiåtkomst, MFA, segmentering, låsning av kontroller eller övervakning. Testa kompatibilitet med de tjänster som administratören behöver nå från den fjärrsessionen.

Praktiska MSTSC-kommandon för vanliga uppgifter

Starta en helskärms- eller fast storlekssession

Använd /f eller /fullskärm för fullskärm. Använd /w och /h när en förutsägbar fönsterstorlek är mer användbar.

mstsc /v:server01 /f mstsc /v:server01 /w:1920 /h:1080

Microsoft dokumenterar ett intervall från 200 till 8192 pixlar för motsvarande skrivbordets bredd och skrivbordshöjd RDP-egenskaper. Det dokumenterade egenskapsintervallet bör inte betraktas som en garanti för att varje upplösning är praktisk på varje klient, värd eller monitorarrangemang.

Öppna eller redigera en RDP-fil

Att ange filvägen öppnar anslutningen. Lägger till /redigera/ öppnar sina inställningar i Remote Desktop-anslutning istället för att starta sessionen omedelbart.

mstsc "C:\Connections\Accounting Department.rdp" mstsc /edit "C:\Connections\Accounting Department.rdp"

Anslut genom en RD Gateway

The /v värde identifierar destinationen, medan /g identifierar RD Gateway som används för att nå den. Microsoft-dokumenten /g när det läses som /v levereras också.

mstsc /v:server01.internal /g:gateway.example.com /prompt

Internetåtkomstregel: Om destinationen måste nås över internet, använd en skyddad gateway, HTTPS-ingång, omvänd proxy eller privat åtkomstväg istället för att vidarebefordra destinationens RDP-lyssnare. En syntaktiskt korrekt /g eller /v kommandot bevisar endast att klienten har anslutningsinstruktioner. Det bevisar inte att åtkomstvägen är säkert utformad.

Skugga en befintlig session

Skuggning kräver ID:t för en befintlig session. /kontroll begär interaktion med den sessionen, medan /ingenSamtyckesPrompt begär att MSTSC inte ska be sessionanvändaren om samtycke.

mstsc /shadow:3 /control

Behörighet, policy, sessionsstatus och granskning gäller fortfarande. Skuggning är en administrativ RDS-funktion, inte en ersättning för en närstående fjärrsupportprodukt med teknikerköer, användarens samtycke och helpdeskregister.

Flera skärmar: /multimon, /span, /l och valda skärmar

De fyra alternativen löser olika problem. Välj läget innan du lägger till inställningar för monitorer i en återanvändbar profil.

Alternativ	Beteende	Krav eller användningsfall
/multimon	Skapar en monitor-medveten fjärrsession som följer den lokala arrangemanget	Använd när applikationer ska känna igen separata fjärrskärmar
/span	Skapar en överdimensionerad skrivbord som sträcker sig över skärmar	Kräver horisontellt justerade skärmar med samma upplösning
/l	Listar övervaknings-ID:n och geometri	Kör innan du väljer en delmängd av skärmar
valda skärmar:s:	Väljer specifika monitor-ID:n i en RDP-fil	Kräver flermonitorläge och en kompatibel monitorlayout

Använd /multimon för en monitor-medveten fjärrsession

/multimon återskapar klientmonitorarrangemanget i den fjärrsessionen istället för att presentera en överdimensionerad yta. Den fjärrmiljön kan då behandla skärmar som separata monitorer, beroende på värdens kapabiliteter och policy.

mstsc /v:server01 /multimon

Använd /span endast för en kompatibel horisontell layout

/span är inte ett alias för /multimon Microsoft kräver att skärmarna använder samma upplösning och är horisontellt justerade. Om skärmarna har olika upplösningar eller en vertikal förskjutning, använd istället flerskärmsläge.

Hitta monitor-ID:n och välj specifika monitorer

Först lista de övervaknings-ID:n som MSTSC ser. Placera sedan de nödvändiga ID:n i en sparad RDP-fil.

mstsc /l

använd multimon:i:1  
valda skärmar:s:0,2

Microsoft dokumenterar ytterligare layoutbegränsningar för valda skärmar, inklusive behovet av att den valda uppsättningen ska bilda en giltig rektangulär arrangemang. Testa profilen på den avsedda arbetsstationen eftersom skärmnumereringen kan ändras när skärmar, dockningsstationer eller grafiska inställningar ändras.

Tangentbordsgenvägar för Remote Desktop

Använd Ctrl+Alt+Slut att skicka den fjärrmässiga motsvarigheten av Ctrl+Alt+Del Windows fångar Ctrl+Alt+Del lokalt, vilket är anledningen till att MSTSC använder en annan kombination för den fjärrsessionen.

Lokal tangentkombination	Fjärråtgärd	Begränsning
Ctrl+Alt+Slut	Fjärrmotsvarighet till Ctrl+Alt+Del	Nästlade sessioner och RemoteApp kan ändra var kommandot hanteras
Ctrl+Alt+Break	Byter mellan fönsterläge och helskärmsläge	Vissa tangentbord märker tangenten Pause eller kräver en Fn-kombination
Alt+Page Up	Byter fjärrapplikationer från vänster till höger	Fjärrmotsvarighet till Alt+Tab
Alt+Page Down	Byter fjärrapplikationer från höger till vänster	Fjärrmotpart för omvänd applikationsväxling
Alt+Hem	Öppnar den fjärrstyrda Start-menyn	Gäller den fjärrskrivbords-sessionen
Ctrl+Alt+Plus	Kopierar en bild av hela det fjärrsessionfönstret till urklipp	Microsoft dokumenterar plus-tecknet på det numeriska tangentbordet
Ctrl+Alt+Minus	Kopierar en bild av det aktiva fjärrfönstret till urklipp	Microsoft dokumenterar minusnyckeln på det numeriska tangentbordet
Ctrl+Alt+Hem	Aktiverar anslutningsfältet i helskärmsläge	Relevant när anslutningsfältet är dolt

Tangentbordsbeteende i fönsterläge, helskärm, inbäddade och RemoteApp-sessioner

The tangentbordsavlyssning RDP-egenskapen kontrollerar om Windows-tangentkombinationer tillämpas lokalt, på distans eller endast på den fjärrsessionen i helskärmsläge. Nästa sessioner lägger till en annan möjlig destination för en genväg, och RemoteApp reproducerar inte varje tangentbordsbeteende för hela skrivbordet.

Om en tangentkombination når fel dator, testa först en enkel icke-nästlad session och granska. tangentbordsavlyssning . Försvaga inte autentisering eller värd säkerhetsinställningar för att lösa ett inmatningsruttproblem.

Standard.rdp och återanvändbara .rdp-filer

MSTSC lagrar ihågkomna användarspecifika klientinställningar i en dold fil som heter Default.rdp Separat namngivna RDP-filer kan sparas på andra ställen för specifika destinationer, gateways, övervakningslayouter och omdirigeringsregler.

%USERPROFILE%\Documents\Default.rdp

Vad Default.rdp är

Microsoft-dokument Default.rdp som en dold fil som skapats eller uppdaterats av Remote Desktop Connection i användarens Dokumentmapp. Det påverkar den användarens klientpreferenser. Att döpa om eller återställa den aktiverar inte Remote Desktop, ändrar en lyssnare eller ändrar policyn på den fjärrvärd.

För att testa om föråldrade klientinställningar är involverade:

1. Stäng alla fönster för fjärrskrivbordsanslutning.
2. Säkerhetskopiera eller döp om Default.rdp .
3. Öppna MSTSC igen så att den kan återskapa sparade klientpreferenser.
4. Testa anslutningen igen innan du kopierar gamla inställningar till den nya filen.

RDP-filsyntax

En RDP-fil är en textbaserad konfiguration. En typisk rad följer egenskap:typ:värde , var jag identifierar ett heltal och Remote Access[/s] Fjärråtkomst identifierar en sträng.

full address:s:server01.internal  
screen mode id:i:2  
use multimon:i:1  
redirectclipboard:i:1

Anta inte att varje egenskap som dokumenterats av Microsoft fungerar identiskt med varje fjärr-PC, RDS, Azure Virtual Desktop eller TSplus-anslutning. Microsofts stödda RDP-egenskaper täcker flera RDP-produkter och tilldelar tillämplighet per egenskap. Klientversionen, måltjänsttyp, serverpolicy och anslutningsmetod kan alla spela roll.

Hur switchar, filinställningar, GUI-val och policyer interagerar

Microsoft publicerar inte en universell prioritetsordning som täcker varje kommandobrytare, RDP-filens egenskap, grafisk inställning, gruppolicy och värdpolicy. Undvik att ställa in samma beteende på olika sätt på flera ställen.

Testregel: När en konflikt måste undersökas, använd en engångsprofil och registrera Windows-versionen, klientversionen, målstypen och effektiva policyer. Ändra ett värde i taget. En klientinställning kan inte åsidosätta en värd- eller samlingspolicy som förbjuder det begärda beteendet.

RDP-filparameterreferens

Tabellerna nedan täcker egenskaper som är särskilt användbara med MSTSC. Värdena återspeglar Microsofts dokumentation för stödda RDP-egenskaper, men Microsofts tillämplighetsetiketter förblir auktoritativa för varje anslutningsprodukt. En egenskap som dokumenteras för en Microsoft RDP-produkt fastställer inte kompatibilitet med varje annan måltavla.

Destination, identitet och autentiseringsegenskaper

Egenskap och typ	Godkänd värde	Syfte	Säkerhets- eller tillämplighetsnotering
full address:s:	Värdnamn eller adress, valfritt med en port	Identifierar den primära destinationen	Verifiera identiteten innan filen distribueras
alternativ fullständig adress:s:	Alternativt värdnamn eller adress	Ger en alternativ anslutningsadress där det stöds	Tillämplighet beror på RDP-produkten
användarnamn:s:	Användarnamn i det erforderliga kontots format	Fyller automatiskt i kontots namn	Förväxla inte ett lagrat namn med säker lagring av referenser.
domän:s:	Domännamn	Förfyller autentiseringsdomänen	Kontots format och identitetsleverantör styr fortfarande inloggningen
uppmaning för autentisering:i:	0 eller 1	Kontrollerar om användaren uppmanas att ange referenser	Policy kan fortfarande kräva en uppmaning
promptcredentialonce:i:	0 eller 1	Kontrollerar om gateway- och destinationsuppgifter begärs en gång där det stöds	Gateway och mål autentiseringsmetoder måste vara kompatibla
autentiseringsnivå:i:	0, 1 eller 2	Väljer om misslyckad serverautentisering ignoreras, blockerar anslutningen eller ger en varning	Använd en strikt inställning som är lämplig för den hanterade miljön; undertryck inte identitetsvarningar rutinmässigt
enablecredsspsupport:i:	0 eller 1	Kontrollerar Credential Security Support Provider-användning där det är tillämpligt	Att ändra det påverkar autentisering och kompatibilitet med nätverksnivåautentisering.
förhandla säkerhetslager:i:	0 eller 1	Kontrollerar förhandlingen av säkerhetslager där det stöds	Inaktivera inte förhandling som ett rutinmässigt felsökningssteg.

Återanvändbara filer bör inte innehålla inbäddade klartextlösenord. Använd godkänd lagring av referenser och autentiseringskontroller istället för att distribuera hemligheter inuti anslutningsprofiler.

Visa och övervaka egenskaper

Egenskap och typ	Godkänd värde eller intervall	Syfte	Motpart eller anteckning
skärmläge id:i:	1 fönsterläge, 2 helskärm	Ställer in det initiala visningsläget	Relaterat till /f och /fullscreen
desktopwidth:i:	200 till 8192 pixlar	Ställer in bredden för fjärrskrivbordet	Relaterat till /w
desktophöjd:i:	200 till 8192 pixlar	Ställer in höjden för fjärrskrivbordet	Relaterat till /h
session bpp:i:	15, 16, 24 eller 32	Ställer in färgdjup för sessionen	Värd stöd och policy kan begränsa det
använd multimon:i:	0 eller 1	Aktiverar en monitor-medveten flermonitor-session	Relaterat till /multimon
valda skärmar:s:	Komma-separerade monitor-ID:n	Väljer en delmängd av lokala skärmar	Använd mstsc /l för att hitta ID:n; kräver flermonitorläge
span monitorer:i:	0 eller 1	Sträcker en skrivbord över skärmar	Relaterat till /span; horisontell layout med samma upplösning krävs
smart sizing:i:	0 eller 1	Skalar den visade fjärrskrivbordet till klientfönstret	Skalning ändrar inte den fjärrupplösningen dynamiskt
dynamisk upplösning:i:	0 eller 1	Justerar fjärrupplösningen när klientfönstret ändrar storlek	Support beror på klient och mål
desktopskalfaktor:i:	Microsoft-dokumenterad skalningsprocent	Ställer in skrivbordsskala där det är tillämpligt	Kontrollera produktens tillämplighet innan distribution.
devicescalefactor:i:	Microsoft-dokumenterad enhetsskala värde	Kontrollerar enhetsrelaterad skalning där det är tillämpligt	Inte en universell MSTSC-inställning för alla måltavlor

Tangentbord, ljud och lokal resursomdirigering

Egenskap och typ	Godkänd värde	Syfte	Policyövervägande
tangentbordsavlyssning:i:	0 lokal, 1 fjärr, 2 fjärr i helskärm	Kontrollerar var Windows-tangentkombinationer tillämpas	Inbäddade och RemoteApp-sessioner kan bete sig olika.
audioläge:i	0 spela lokalt, 1 spela på distans, 2 inaktivera	Kontrollerar ljuduppspelning	Värdpolicy kan begränsa ljudomdirigering
audiocapturemode:i:	0 eller 1	Inaktiverar eller aktiverar mikrofoninspelningens omdirigering	Aktivera endast när arbetsflödet behöver det
redirectclipboard:i:	0 eller 1	Kontrollerar urklippsomdirigering	Kan flytta data i båda riktningarna; värdpolicy kan blockera det
redirectprinters:i:	0 eller 1	Kontrollerar skrivarriktningsinställningar	Krav på drivrutiner och värdpolicy gäller fortfarande
redirectdrives:i:	0 eller 1	Kontrollerar bred enhetsomdirigering beteende	Begränsa åtkomst när användare inte behöver lokal filöverföring
drivestoredirect:s:	Specifik enhetslista, * för alla, eller stödd dynamisk enhetsvärde	Väljer de enheter som görs tillgängliga på distans	Använd den smalaste listan som stöder uppgiften
redirectcomports:i:	0 eller 1	Kontrollerar seriell portomdirigering	Tillgänglighet beror på klient, värd och policy
redirectsmartcards:i:	0 eller 1	Kontrollerar smartkortets omdirigering	Autentiseringsarkitektur och policy avgör om det fungerar

Vanligt misstag: Ställa in en omdirigeringsparameter till 1 endast begär funktionaliteten från klientsidan. Det bevisar inte att värden, RDS-samling eller grupprincip tillåter det. Enhets-, USB- och WebAuthn-egenskaper har också anslutningsspecifik tillämplighet, så kontrollera den aktuella Microsoft-egenskapssidan innan du lägger till dem i en organisatorisk profil.

Gateway-egenskaper

Egenskap och typ	Godkänd värde	Syfte	Driftmeddelande
gatewayhostname:s:	Gateway-värdnamn	Identifierar RD Gateway	Namnet bör matcha gateway-certifikatet
gatewayusagemethod:i:	Microsoft-dokumenterade koder 0 till 4	Väljer ingen gateway, krävs användning, villkorlig användning eller konfigurerat standardbeteende	Använd MSTSC-gatewaygränssnittet för att generera det avsedda värdet när det är möjligt
gatewaycredentialssource:i:	Dokumenterade koder för lösenord, smartkort, senare val eller stödd webbautentisering	Väljer gateway-legitimationskällan	Tillgänglighet beror på gateway-autentiseringskonfiguration.
gatewayprofileanvändningsmetod:i:	0 eller 1	Kontrollerar om standard- eller explicita gatewayprofilinställningar används	Bevara GUI-genererade värden om inte distributionsdokumentationen anger något annat
promptcredentialonce:i:	0 eller 1	Kontrollerar återanvändning av en prompt för gateway- och destinationsautentisering	Sammanslår inte inkompatibla identitetssystem

En gateway-profil bör fortfarande identifiera en intern destination. Att lägga till ett gateway-värdnamn medan destinationen lämnas exponerad som en offentlig RDP-lyssnare motverkar syftet med att använda den skyddade ingångsvägen.

Prestanda- och anslutningsupplevelseegenskaper

Egenskap och typ	Godkänd värde	Syfte	Vägledning
nätverksautodetektera:i:	0 eller 1	Möjliggör automatisk nätverksdetektering	Vanligtvis att föredra framför fasta antaganden om anslutningen
bandwidthautodetect:i:	0 eller 1	Möjliggör bandbreddsdetektering	Kräver kompatibel nätverksdetekteringsbeteende
anslutningstyp:i:	1 till 7	Klassificerar anslutningen från låg hastighet via LAN eller automatisk upptäckte	Automatisk upptäckte gör manuell justering sekundär i många miljöer
kompression:i:	0 eller 1	Kontrollerar RDP datakomprimering	Inaktivera det inte baserat på föråldrad justeringsrådgivning
inaktivera bakgrundsbild:i:	0 eller 1	Kontrollerar om skrivbordsbakgrund är undertryckt	Kan minska onödig visuell data
tillåt fontutjämning:i:	0 eller 1	Kontrollerar teckensnittsslätning	Balans mellan textens utseende och anslutningskostnad
tillåt skrivbordskomposition:i:	0 eller 1	Kontrollerar skrivbordsuppsättning där det stöds	Tillämplighet beror på klient och mål

RemoteApp-egenskaper

En RDP-fil kan begära en individuellt publicerad applikation, men filen kan inte publicera den applikationen själv. Servermiljön måste publicera programmet och auktorisera användaren.

Egenskap och typ	Godkänd värde	Syfte	Krav
fjärrapplikationsläge:i:	0 eller 1	Aktiverar RemoteApp-läge	En kompatibel publiceringsmiljö krävs
fjärrapplikationsprogram:s:	Publicerad applikationsidentifierare	Identifierar programmet som ska startas	Måste matcha en serverpublicerad applikation
remoteapplicationname:s	Visningsnamn	Ger applikationsnamnet som visas för användaren	Ger inte åtkomst
remoteapplicationcmdline:s:	Stödda kommandoradsparametrar	Överförer tillåtna argument till applikationen	Serverpolicy och applikationskonfiguration kan begränsa argument.

Behandla .rdp-filer som konfiguration, inte ofarliga genvägar

En RDP-fil kan styra användare till en destination, begära gateway-beteende och möjliggöra överföringsvägar som urklipp, enheter, skrivare eller smarta kort. Det gör det till en operativ konfiguration med säkerhetskonsekvenser, inte bara en skrivbordsikon.

• Verifiera destinationen och gatewayen innan du godkänner en fil.
• Granska urklipp, enhet, skrivare, smartkort, ljud- och autentiseringsrelaterade inställningar.
• Signera organisatoriska filer när miljön kräver publiceringsvalidering.
• Använd grupprinciper för att definiera hur osignerade, signerade och icke-betrodda filer hanteras.

Signerade filer och betrodda utgivare

Microsofts RDP-fil säkerhetsriktlinjer , daterad den 14 juli 2026, beskriver tre områden för grupprinciper som styr hur Remote Desktop Connection hanterar RDP-filer: regler för osignerade filer, regler för signerade filer och listan över uttryckligen betrodda utgivare. Vägledningen omfattar också SHA-2-certifikatets tumavtryck och ändringar i säkerhetsdialoger som infördes 2026.

Microsofts position för högsäkerhetsmiljöer är att användare kan begränsas till RDP-filer signerade av uttryckligen betrodda utgivare, medan andra filer blockeras.

Den exakta policyn bör matcha organisationens risknivå snarare än att förlita sig på att varje användare tolkar en varning korrekt.

Portar, anpassade portar och port vidarebefordran

Porten i ett MSTSC-kommando talar om för klienten vart den ska ansluta. Den ändrar inte serverns lyssnare, brandvägg, certifikat, gateway eller nätverksadressöversättningskonfiguration.

Port och transport	Roll	Anslutningskontext
TCP och UDP 3389	Standard direkt RDP-port	Klient till värd, vanligtvis på ett internt eller skyddat nätverk
TCP 443	Extern HTTPS-trafik till RD Gateway	Klient till gateway
UDP 3391	RDP över UDP genom RD Gateway	Klient till gateway där aktiverad

Dessa RDP-portar komma från Microsofts referens för RDS-portar i februari 2026 De är nätverksfakta, inte en rekommendation att exponera TCP eller UDP 3389 offentligt.

Anslut till en icke-standardport

Lägg till porten till destinationen efter ett kolon. Detta fungerar endast när värden redan lyssnar på den porten och den skyddade nätverksvägen tillåter det.

mstsc /v:server01.internal:3390

MSTSC kan inte ändra värdens lyssningsport

Att ändra lyssnaren är en koordinerad värd-sidoperation som involverar Windows-konfiguration, Remote Desktop Services, brandväggsregler och eventuella uppströms nätverkskontroller. Microsoft uppger att RDS kan använda en annan port men rekommenderar inte att ändra porten. som den vanliga metoden.

En anpassad port kan minska automatiskt brus, men det är inte en säkerhetskontroll i sig. Använd en dedikerad portändringsguide om du måste ändra lyssnaren, och planera validering och återställning istället för att behandla klientkommandot som ändringsproceduren.

Skicka inte en rå RDP-port till det offentliga internet.

Beslutsregel: Om åtkomsten är intern eller redan skyddad av ett privat nätverk, anslut till den interna värden och lyssnaren. Om åtkomsten korsar internet, använd HTTPS, en RD Gateway, en omvänd proxy eller en annan skyddad ingångspunkt med MFA och åtkomstkontroller. Publicera inte port 3389, eller en anpassad RDP-lyssnarport, direkt till internet.

RDP är inte osäkert av design. Risken ökar när en RDP-lyssnare är offentligt exponerad, autentiseringsuppgifter är svaga eller återanvänds, system är opatchade och åtkomstförsök inte övervakas. CISA, FBI och den australiensiska signaldirektoratet rekommenderade i deras BianLian-uppdatering den 20 november 2024 att organisationer strikt begränsar RDP, stänger oanvända portar, genomför låsningar, använder phishing-resistent MFA och loggar åtkomstförsök.

MSTSC fungerar inte: isolera det misslyckande lagret

Ett misslyckat MSTSC-anslutning kan ha sitt ursprung i klientprofilen, DNS, nätverksvägen, värdlyssnaren, autentisering, auktorisering, gateway eller visningskonfiguration. Testa dessa lager i ordning istället för att försvaga säkerhetsinställningarna tills felet ändras.

1. Bekräfta klienten och profilen

Kör mstsc /? för att bekräfta att klienten startar och för att inspektera dess tillgängliga syntax. Testa destinationen utan den sparade RDP-filen. Om den rena anslutningen fungerar, jämför filen med en ny skapad profil eller testa med en återställning. Default.rdp .

2. Bekräfta DNS- och portåtkomst

Lös destinationsnamnet, testa sedan lyssnarporten från klientnätverket. Använd den faktiska interna värden och den konfigurerade porten.

Resolve-DnsName server01.internal Test-NetConnection server01.internal -Port 3389

Ett misslyckat DNS-uppslag är annorlunda än en löst värd med en blockerad port. Ett framgångsrikt porttest bevisar endast grundläggande nåbarhet. Det bevisar inte att kontot är auktoriserat eller att autentisering kommer att lyckas.

3. Kontrollera värdtjänsten och lyssnaren

På värden, bekräfta att Remote Desktop är aktiverat och inspektera de relevanta tjänsterna. Microsofts felsökningsdokumentation identifierar Termstjänst och UmRdpService som värdkomponenter för att kontrollera.

Get-Service TermService, UmRdpService

Lyssnarens tillstånd, portkonflikter, brandväggsregler och värdkonfiguration kontrolleras inte av MSTSC-klienten. Undersök dessa punkter på värden eller genom den tillämpliga serverhanteringsprocessen.

4. Kontrollera identitet, auktorisering, NLA och policy

En nåbar lyssnare kan fortfarande avvisa en anslutning. Kontrollera kontots format, lösenordets status, kontots låsning, rättigheter för inloggning till Remote Desktop, gruppmedlemskap, krav på nätverksautentisering och gällande grupppolicy.

Använd inte /admin som ett svar på avvisade referenser. Det ändrar den begärda sessionstypen, inte användarens identitet eller behörigheter.

5. Kontrollera gateway- och certifikatfel separat

Gatewayautentisering, gatewayåtkomlighet, gateway-till-mål åtkomlighet och målautentisering är separata steg. En certifikatvarning är också ett identitetsproblem, inte generiska bevis på att "RDP är nere." Bekräfta att det begärda namnet matchar certifikatet och att utfärdande kedjan är betrodd.

6. Ta bort visnings- och omdirigeringsvariabler

Testa igen med en monitor och minimal omdirigering av lokala resurser. Om det fungerar, lägg till monitor, urklipp, enhet, skrivare och ljudinställningar en i taget.

Inaktivera inte NLA, certifikatvalidering eller kryptering som en rutinmässig första åtgärd. En dedikerad felsökningsguide för Remote Desktop kan ta diagnosen längre när dessa avgränsade tester identifierar det felande lagret men inte dess orsak.

Linux-klienter, anslutningshanterare och MSTSC-alternativ

Välj ett alternativ baserat på det aktuella jobbet. En Linux RDP-implementation, en Windows anslutningshanterare, centraliserad applikationspublicering och en produkt för fjärrsupport löser olika problem.

Behöver	Lämplig kategori	Exempel och huvudgräns
En traditionell Windows RDP-anslutning	Inbyggd Windows-klient	MSTSC; Windows-specifik och inte ett publiceringssystem
Många sparade Windows RDP-slutpunkter	Anslutningshanterare	Microsoft Sysinternals RDCMan; organiserar anslutningar men skapar ingen åtkomstarkitektur
RDP från Linux	Korsplattform RDP-implementering	FreeRDP; syntaxen måste kontrolleras mot den installerade versionen
Tilldelade Windows-applikationer eller skrivbord	Centraliserad leverans av fjärråtkomst	Ett applikationspubliceringssystem; kräver serverbaserad distribution och auktorisering
Helpdesk-kontroll av en användares enhet	Fjärrsupportprogramvara	Utformad för tekniker- och supportarbetsflöden snarare än central applikationsleverans

Det finns ingen Linux-version av mstsc.exe

mstsc.exe är en Windows-exekverbar fil. FreeRDP är en underhållen öppen källkod, plattformsoberoende RDP-implementation, och xfreerdp är en vanlig Linux-klient kopplad till projektet.

FreeRDP-kommandosyntax kan ändras mellan större versioner. Kontrollera den installerade klientens --hjälp utdata och den aktuella FreeRDP-dokumentationen istället för att kopiera ett gammalt kommando utan verifiering.

Använd Remote Desktop Connection Manager för många sparade Windows-anslutningar

Microsoft Sysinternals positionerar Remote Desktop Connection Manager eller RDCMan, som en hanterare för många Remote Desktop-anslutningar. Microsoft dokumenterade RDCMan version 3.22 den 15 oktober 2026.

RDCMan stöder servergrupper, ärvda inställningar, miniatyrbilder, autentiseringslagring och åtgärder som tillämpas på grupper av anslutningar. Det organiserar administrativa RDP-sessioner, men det publicerar inte applikationer, ersätter en RD Gateway, tillhandahåller ett arbetsflöde för fjärrsupport eller bestämmer säkerheten för åtkomstvägen.

Välj ett alternativ baserat på det aktuella jobbet

• Använd MSTSC för en individuell traditionell RDP-anslutning från Windows.
• Använd RDCMan när en Windows-administratör behöver organisera många RDP-slutpunkter.
• Använd en underhållen RDP-klient som FreeRDP på Linux.
• Använd fjärrsupportprogramvara för övervakad eller oövervakad helpdesk-kontroll.
• Använd ett applikationspubliceringssystem när användare behöver centralt tilldelade Windows-applikationer eller skrivbord.

Använda MSTSC med TSplus Remote Access

TSplus Remote Access kan leverera tilldelade Windows-applikationer eller fullständiga skrivbord genom Microsoft MSTSC, en annan RDP-kompatibel klient, en genererad klient eller webbläsartillgång. MSTSC är en av de stödda anslutningsmetoderna, inte hela produktarkitekturen.

MSTSC kan vara en anslutningsmetod

Med [den] dokumenterad MSTSC-metod , användare ansluter genom ett standard Remote Desktop-fönster till resurser som levereras av TSplus Remote Access. Den universella skrivaren stöds inte genom denna MSTSC-anslutningsmetod.

Webbläsartillgång är en separat anslutningsupplevelse och kräver TSplus Remote Access Web Mobile edition eller högre. Genererade klienter är ett annat alternativ och kan stödja dokumenterad övervakningsval Kompatibilitet bör verifieras för den valda anslutningstypen snarare än att anta att varje Microsoft RDP-egenskap har validerats med TSplus Remote Access.

När centraliserad publicering är mer användbar än fler .rdp-filer

Behåll MSTSC när kravet är en enkel RDP-klient för en känd slutpunkt. Överväg TSplus Remote Access när den verkliga uppgiften är att publicera och tilldela Windows-applikationer eller skrivbord centralt istället för att underhålla isolerade RDP-filer för varje användare och server.

Många installationer kan använda en server. Gateway, farm och lastbalanseringsfunktioner kräver TSplus Remote Access Enterprise edition, och en farm är ett alternativ snarare än ett krav. TSplus Remote Access är inte full VDI och hostar inte kundens infrastruktur.

Om dina användare behöver centralt tilldelade Windows-applikationer eller skrivbord istället för en växande samling av individuella RDP-filer, jämför TSplus Remote Access-utgåvorna och anslutningsmetoderna.

TSplus 2FA begränsning med MSTSC

Anslutningsmetodbegränsning: TSplus tvåfaktorsautentisering är ett betalt tillägg som kräver TSplus Remote Access Web Mobile eller Enterprise edition. Det fungerar inte med Microsoft mstsc.exe Direkta RDP-anslutningar nekas för användare som är aktiverade för TSplus 2FA, så dessa användare måste ansluta via den stödda webbportalen eller en kompatibel genererad klient.

MFA bör vara en grundnivå för fjärr- och administrativ åtkomst, men det är ett lager. Det måste kombineras med patchning, låsning, skydd mot bruteforce, minimiåtkomst, segmentering och övervakning.

En avgränsad säkerhets- och licenschecklista

MSTSC kontrollerar en klientanslutning. Dess omkopplare och sparade inställningar kan inte säkra eller licensiera distributionen som helhet. Innan du sätter en anslutning i produktion, kontrollera den omgivande arkitekturen:

• Håll råa RDP-lyssnare avstängda från det offentliga internet.
• Använd en gateway, HTTPS-ingång, omvänd proxy eller skyddad privat väg.
• Använd giltiga certifikat för webb- och gatewayinträdespunkter.
• Kräv MFA genom en anslutningsmetod som stöder det.
• Tillämpa minimi behörighet, kontolåsning och RDP skydd mot bruteforce .
• Begränsa käll-IP-adresser, länder eller betrodda enheter där användarbasen tillåter det.
• Inaktivera urklipp, enhet, skrivare och enhetsomdirigering som arbetsflödet inte behöver.
• Patch Windows, fjärråtkomstprogramvara och säkerhetsverktyg.
• Använd TSplus Server Monitoring att övervaka aktiva sessioner och serverhälsa.
• Segmentera nätverket och inaktivera oanvända portar och tjänster.
• Separera administrativa konton från vanliga användarkonton.
• Säkerhetskopiera åtkomstkonfigurationer och testa återställning.
• Validera Windows Server, RDS CAL, Office och Microsoft 365-licenser med Microsoft eller en kvalificerad licenspartner.

MSTSC är en klient i åtkomstvägen. Ett korrekt kommando eller RDP-fil kan etablera en anslutning, men det säkerställer inte att distributionen är säker, korrekt auktoriserad eller korrekt licensierad.

Du kan börja en gratis 15-dagars provversion av TSplus Remote Access att testa applikation och skrivbordleverans på din egen Windows-infrastruktur, och sedan validera den nödvändiga Microsoft-licensieringen för din konfiguration.