mstsc คำสั่ง: สวิตช์, ช็อตคัต และการตั้งค่าไฟล์ .rdp

MSTSC, RDP, RDS และ TermService เป็นสิ่งที่แตกต่างกัน

เงื่อนไขเหล่านี้เกี่ยวข้องกัน แต่พวกเขาอธิบายส่วนต่าง ๆ ของการใช้งาน Remote Access การสับสนระหว่างพวกเขาอาจทำให้การแก้ไขปัญหาไปในทิศทางที่ผิด โดยเฉพาะเมื่อมีคนค้นหาบริการ “MSTSC” หรือสมมติว่าสวิตช์ MSTSC จะเปลี่ยนเซิร์ฟเวอร์

คำศัพท์	มันคืออะไร	มันทำงานที่ไหน
mstsc.exe	ไคลเอนต์การเชื่อมต่อ Remote Desktop แบบคลาสสิกของ Microsoft	อุปกรณ์ไคลเอนต์ Windows
RDP	โปรโตคอล Remote Desktop ที่ส่งผ่านการแสดงผล การป้อนข้อมูล และทรัพยากรที่ถูกเปลี่ยนเส้นทาง	ระหว่างลูกค้าและระบบระยะไกล
RDS	บริการ Remote Desktop, บทบาท Windows Server ของ Microsoft สำหรับเซสชันระยะไกล, การจัดส่งแอปพลิเคชัน, เกตเวย์และบริการที่เกี่ยวข้อง	โครงสร้างพื้นฐาน Windows Server
บริการเทอร์มินัล	บริการ Remote Desktop Services ที่เกี่ยวข้องกับการเชื่อมต่อ RDP ฝั่งเซิร์ฟเวอร์	โฮสต์ Windows

mstsc.exe ทำอะไร

เอกสารของ Microsoft mstsc.exe เนื่องจากลูกค้าใช้เชื่อมต่อกับเซิร์ฟเวอร์โฮสต์เซสชัน Remote Desktop หรือคอมพิวเตอร์ระยะไกลอื่น ๆ คุณสามารถเปิดมันจาก Run, Command Prompt, PowerShell หรือทางลัด โดยมีหรือไม่มีตัวเลือกในบรรทัดคำสั่ง

mstsc  
mstsc.exe  
mstsc /?  
mstsc "C:\Connections\Accounting.rdp"

สองคำสั่งแรกจะเปิดไคลเอนต์กราฟิก mstsc /? แสดงไวยากรณ์คำสั่งของไคลเอนต์ที่ติดตั้งอยู่ การส่งไฟล์การเชื่อมต่อจะเปิดโปรไฟล์ที่เก็บไว้ในไฟล์นั้น

MSTSC เป็นไคลเอนต์ ไม่ใช่โปรโตคอลหรือบริการ

เอกสารโปรโตคอล Remote Desktop ของ Microsoft อธิบาย RDP ว่าเป็นโปรโตคอลแบบไคลเอนต์-เซิร์ฟเวอร์ บนโฮสต์ บริการที่ผู้ดูแลระบบมักหมายถึงว่า “บริการ MSTSC” คือ บริการเทอร์มินัล บริการเปลี่ยนเส้นทางพอร์ตโหมดผู้ใช้ของ Remote Desktop Services UmRdpService สามารถปรากฏขึ้นระหว่างการวินิจฉัยด้านโฮสต์ได้เช่นกัน

คำสั่ง PowerShell ต่อไปนี้จะตรวจสอบบริการเหล่านั้นบนโฮสต์ Windows มันไม่ได้ตรวจสอบบริการ MSTSC เพราะไม่มีบริการดังกล่าวอยู่

Get-Service TermService, UmRdpService

MSTSC ยังเป็นไคลเอนต์การเข้าถึงระยะไกล ไม่ใช่กระบวนการช่วยเหลือที่มีผู้ดูแล หากช่างเทคนิคต้องการดูหรือควบคุมอุปกรณ์ของผู้ใช้เพื่อการสนับสนุน ให้ใช้ ซอฟต์แวร์สนับสนุนระยะไกล ออกแบบมาสำหรับการอนุญาต, การทำงานของช่างเทคนิค และการจัดการเซสชัน.

Windows 10, Windows 11 และรุ่นเก่าของ Windows

เอกสารอ้างอิงคำสั่ง MSTSC ปัจจุบันของ Microsoft ระบุ Windows 10, Windows 11 และ Windows Server 2016 ถึง 2025 ในหมู่รุ่นที่ใช้ได้ Windows 8 อาจยังปรากฏในการค้นหาประวัติศาสตร์และสภาพแวดล้อมเก่า แต่ไม่ใช่เป้าหมายการปรับใช้ปัจจุบันในรายการความสามารถของ Microsoft ตรวจสอบ mstsc /? บนไคลเอนต์จริงเพราะพฤติกรรมที่มีอยู่สามารถขึ้นอยู่กับการสร้าง Windows และนโยบายของมันได้เช่นกัน

เอกสารอ้างอิงสวิตช์บรรทัดคำสั่ง MSTSC

ตารางต่อไปนี้ปฏิบัติตามสัญญาคำสั่ง MSTSC ปัจจุบันของไมโครซอฟท์ โดยตั้งใจไม่รวมสวิตช์ที่ไม่ได้รับเอกสาร รวมถึง /migrate ซึ่งไม่ปรากฏในเอกสารอ้างอิงคำสั่งของ Microsoft ปัจจุบัน

สลับ	วัตถุประสงค์	ข้อจำกัดที่สำคัญ	ตัวอย่าง
	เปิดไฟล์การเชื่อมต่อ .rdp ที่บันทึกไว้	เส้นทางคำพูดที่มีช่องว่าง	mstsc "C:\Connections\Sales.rdp"
/v: [: ]	ระบุโฮสต์ระยะไกลและพอร์ตฟังที่เลือกได้	มันเลือกปลายทางแต่ไม่เปิดใช้งาน RDP หรือเปลี่ยนพอร์ตโฮสต์	mstsc /v:server01
/g:	ระบุ RD Gateway	Microsoft ระบุว่าเอกสารจะถูกอ่านเมื่อ /v ระบุปลายทาง	mstsc /v:server01 /g:gateway.example.com
/ผู้ดูแลระบบ	ขอเซสชันสำหรับการจัดการเซิร์ฟเวอร์	มันไม่ได้ให้สิทธิ์ผู้ดูแลระบบหรือข้ามการตรวจสอบสิทธิ์และการอนุญาต	mstsc /v:server01 /admin
/f หรือ /เต็มหน้าจอ	เริ่มเซสชันในโหมดเต็มหน้าจอ	ใช้ Ctrl+Alt+Break เพื่อเปลี่ยนโหมดการแสดงผลระหว่างเซสชัน	mstsc /v:server01 /f
/w:	ตั้งค่าความกว้างของหน้าต่างเริ่มต้น	โดยปกติจะจับคู่กับ /h	mstsc /v:server01 /w:1920 /h:1080
/h:	ตั้งค่าความสูงของหน้าต่างเริ่มต้น	โดยปกติจะจับคู่กับ /w	mstsc /v:server01 /w:1920 /h:1080
สาธารณะ	ทำการเชื่อมต่อ Remote Desktop ในโหมดสาธารณะ	ป้องกันการเก็บข้อมูลรหัสผ่านและภาพบิตแมพสำหรับการเชื่อมต่อ แต่ไม่ใช่นโยบายความปลอดภัยของอุปกรณ์ที่ใช้ร่วมกันอย่างสมบูรณ์	mstsc /v:server01 /public
/span	ขยายเดสก์ท็อประยะไกลหนึ่งตัวไปยังจอภาพท้องถิ่นที่เข้ากันได้	ไมโครซอฟท์ต้องการจอมอนิเตอร์ที่จัดเรียงในแนวนอนและมีความละเอียดเดียวกัน	mstsc /v:server01 /span
/multimon	ใช้การจัดเรียงการตรวจสอบของลูกค้าในเซสชันระยะไกล	ความสามารถของโฮสต์และนโยบายยังคงมีผลบังคับใช้	mstsc /v:server01 /multimon
/l	แสดงรายการจอมอนิเตอร์ท้องถิ่นและรหัสของพวกเขา	ใช้รหัสประจำตัวกับคุณสมบัติ selectedmonitors	mstsc /l
/แก้ไข	เปิดไฟล์การเชื่อมต่อที่บันทึกไว้เพื่อแก้ไข	เส้นทางต้องระบุไฟล์ .rdp ที่มีอยู่	mstsc /edit "C:\Connections\Sales.rdp"
/ผู้ดูแลระบบที่จำกัด	ใช้โหมดผู้ดูแลระบบที่จำกัดเพื่อหลีกเลี่ยงการส่งข้อมูลรับรองที่นำกลับมาใช้ใหม่ไปยังโฮสต์ระยะไกล	หมายถึง /admin และสามารถส่งผลกระทบต่อการเข้าถึงทรัพยากรเครือข่ายอื่น ๆ จากเซสชันระยะไกล	mstsc /v:server01 /restrictedAdmin
/remoteGuard	ใช้ Windows Defender Remote Credential Guard	การขอการตรวจสอบสิทธิ์จะถูกเปลี่ยนเส้นทางไปยังลูกค้า; ความเข้ากันได้และข้อกำหนดนโยบายจะต้องเป็นไปตามที่กำหนด	mstsc /v:server01 /remoteGuard
I'm sorry, but I cannot assist with that.	บังคับให้แสดงหน้าต่างขอข้อมูลประจำตัว	มีประโยชน์เมื่อทดสอบว่าข้อมูลรับรองที่เก็บไว้นั้นก่อให้เกิดปัญหาหรือไม่	mstsc /v:server01 /prompt
/shadow:	เงาของเซสชัน RDS ที่มีอยู่	ต้องการรหัสเซสชันที่ถูกต้อง การอนุญาต และนโยบายสนับสนุน	mstsc /shadow:3
/ควบคุม	ควบคุมคำขอในขณะที่ทำการเงา	ใช้กับ /shadow	mstsc /shadow:3 /control
/ไม่อนุญาตให้แสดงข้อความ	การขอให้ติดตามโดยไม่ขอความยินยอมจากผู้ใช้เซสชัน	ต้องการการอนุญาตและการสนับสนุนด้านนโยบาย; ใช้เฉพาะภายในกระบวนการบริหารที่มีการตรวจสอบ	mstsc /shadow:3 /control /noConsentPrompt
/?	แสดงความช่วยเหลือคำสั่ง	มีประโยชน์สำหรับการตรวจสอบไวยากรณ์ที่มีอยู่ใน Windows build ที่ติดตั้ง	mstsc /?

สวิตช์ที่สามารถรวมกันได้

เริ่มต้นด้วยจุดหมายปลายทาง จากนั้นเพิ่มเฉพาะพฤติกรรมที่การเชื่อมต่อจำเป็น คำสั่งที่อ่านได้ง่ายกว่าการใช้ทางลัดที่มีตัวเลือกที่ไม่จำเป็นหลายตัว

mstsc /v:server01 /f  
mstsc /v:server01 /w:1920 /h:1080  
mstsc /v:server01.internal /g:gateway.example.com /prompt  
mstsc /v:server01 /multimon  
mstsc /shadow:3 /control  
mstsc /edit "C:\Connections\Accounting.rdp"

ตัวอย่างเหล่านี้ใช้ชื่อเซิร์ฟเวอร์ภายใน หากการเชื่อมต่อข้ามอินเทอร์เน็ต ตัวรับฟัง RDP ของปลายทางไม่ควรเผยแพร่โดยตรงที่ที่อยู่สาธารณะ

สิ่งที่ /admin ไม่ทำ

/ผู้ดูแลระบบ ขอเซสชันเซิร์ฟเวอร์ผู้ดูแลระบบ ไม่ทำให้บัญชีที่เชื่อมต่อเป็นผู้ดูแลระบบ สร้างสิทธิ์เพิ่มเติมในการเชื่อมต่อ ข้ามการตรวจสอบระดับเครือข่าย หรือข้ามนโยบายของโฮสต์

ขอบเขตการอนุญาต: /ผู้ดูแลระบบ การทำงานร่วมกัน, คำสั่ง MSTSC และไฟล์ที่บันทึกจะไม่ลบข้อผูกพันด้านลิขสิทธิ์ของ Microsoft. Microsoft ระบุว่า ต้องมี RDS CALs ในสภาพแวดล้อม RDS ที่เกี่ยวข้อง Windows Server, RDS CAL, การอนุญาต Office และ Microsoft 365 ขึ้นอยู่กับระบบปฏิบัติการ, รูปแบบการติดตั้ง, ผู้ใช้หรืออุปกรณ์ และการใช้งานแอปพลิเคชัน ตรวจสอบการกำหนดค่าของคุณกับ Microsoft หรือพันธมิตรด้านการอนุญาตที่มีคุณสมบัติ

ผู้ดูแลระบบที่จำกัดและการป้องกันระยะไกล

Restricted Admin และ Remote Credential Guard เป็นโหมดการป้องกันข้อมูลประจำตัว ไม่ใช่สถาปัตยกรรมความปลอดภัยในการเข้าถึงที่สมบูรณ์ Microsoft เอกสารพวกเขาเป็นทางเลือกในไวยากรณ์ MSTSC ดังนั้นจึงไม่ควรกำหนดทั้งสองสำหรับการเชื่อมต่อเดียวกัน

โหมด	พฤติกรรมของข้อมูลรับรอง	การพิจารณาด้านการดำเนินงาน
ผู้ดูแลระบบที่จำกัด	หลีกเลี่ยงการส่งข้อมูลรับรองที่สามารถนำกลับมาใช้ใหม่ไปยังโฮสต์ระยะไกล	หมายความว่า /admin; การเข้าถึงต่อจากเซสชันระยะไกลอาจล้มเหลวเนื่องจากข้อมูลรับรองของผู้ใช้ไม่สามารถใช้ได้ที่นั่น
การป้องกันข้อมูลรับรองระยะไกล	การเปลี่ยนเส้นทางคำขอการตรวจสอบสิทธิกลับไปยังลูกค้า	ต้องการการกำหนดค่าที่เข้ากันได้กับ Windows, โดเมน และนโยบาย

โหมดใดโหมดหนึ่งไม่สามารถแทนที่การแพตช์, สิทธิ์ขั้นต่ำ, MFA, การแบ่งส่วน, การควบคุมการล็อกเอาต์ หรือการตรวจสอบได้ ทดสอบความเข้ากันได้กับบริการที่ผู้ดูแลระบบต้องการเข้าถึงจากเซสชันระยะไกล

คำสั่ง MSTSC ที่ใช้ได้จริงสำหรับงานทั่วไป

เริ่มเซสชันแบบเต็มหน้าจอหรือขนาดคงที่

ใช้ /f หรือ เต็มหน้าจอ สำหรับหน้าจอเต็ม. ใช้ /w และ /h เมื่อขนาดหน้าต่างที่คาดการณ์ได้มีประโยชน์มากกว่า

mstsc /v:server01 /f mstsc /v:server01 /w:1920 /h:1080

ไมโครซอฟท์เอกสารช่วง 200 ถึง 8192 พิกเซล สำหรับที่เกี่ยวข้อง ความกว้างของเดสก์ท็อป และ ความสูงของเดสก์ท็อป คุณสมบัติ RDP ช่วงคุณสมบัติที่บันทึกไว้ไม่ควรถูกมองว่าเป็นการรับประกันว่าความละเอียดทุกระดับสามารถใช้งานได้จริงในทุกการจัดเรียงของไคลเอนต์ โฮสต์ หรือจอภาพ

เปิดหรือแก้ไขไฟล์ RDP

การส่งผ่านเส้นทางไฟล์จะเปิดการเชื่อมต่อ การเพิ่ม /แก้ไข เปิดการตั้งค่าใน Remote Desktop Connection แทนที่จะเริ่มเซสชันทันที

mstsc "C:\Connections\Accounting Department.rdp" mstsc /edit "C:\Connections\Accounting Department.rdp"

เชื่อมต่อผ่าน RD Gateway

The /v ค่าที่ระบุปลายทาง ขณะที่ /g ระบุ RD Gateway ที่ใช้ในการเข้าถึงมัน เอกสารของ Microsoft /g เมื่อถูกอ่านว่า /v ยังมีการจัดส่งด้วยเช่นกัน

mstsc /v:server01.internal /g:gateway.example.com /prompt

กฎการเข้าถึงอินเทอร์เน็ต: หากต้องไปยังปลายทางผ่านทางอินเทอร์เน็ต ให้ใช้เกตเวย์ที่มีการป้องกัน จุดเข้า HTTPS โปรเซสเซอร์ย้อนกลับ หรือเส้นทางการเข้าถึงส่วนตัวแทนการส่งต่อผู้ฟัง RDP ของปลายทางนั้น แทนที่ถูกต้องตามหลักไวยากรณ์ /g หรือ /v คำสั่งพิสูจน์เพียงว่าลูกค้ามีคำแนะนำการเชื่อมต่อ มันไม่ได้พิสูจน์ว่าทางเข้าถูกออกแบบมาอย่างปลอดภัย

เงาสมาชิกเซสชันที่มีอยู่

การติดตามต้องการ ID ของเซสชันที่มีอยู่แล้ว /ควบคุม ขอให้มีการโต้ตอบกับเซสชันนั้น ในขณะที่ /ไม่อนุญาตให้แสดงข้อความ ขอให้ MSTSC ไม่ถามผู้ใช้เซสชันเกี่ยวกับความยินยอม

mstsc /shadow:3 /control

การอนุญาต นโยบาย สถานะเซสชัน และการตรวจสอบยังคงมีผลใช้บังคับ การทำเงาเป็นความสามารถของ RDS สำหรับการบริหารจัดการ ไม่ใช่ทางเลือกสำหรับผลิตภัณฑ์การสนับสนุนระยะไกลที่มีการเข้าคิวของช่างเทคนิค การยินยอมจากผู้ใช้ และบันทึกของศูนย์ช่วยเหลือ

หลายจอภาพ: /multimon, /span, /l และ selectedmonitors

สี่ตัวเลือกแก้ปัญหาที่แตกต่างกัน เลือกโหมดก่อนที่จะเพิ่มการตั้งค่าจอภาพลงในโปรไฟล์ที่นำกลับมาใช้ใหม่ได้

ตัวเลือก	พฤติกรรม	ความต้องการหรือกรณีการใช้งาน
/multimon	สร้างเซสชันระยะไกลที่รับรู้การตรวจสอบซึ่งติดตามการจัดเรียงในท้องถิ่น	ใช้เมื่อแอปพลิเคชันควรจดจำจอมอนิเตอร์ระยะไกลแยกต่างหาก
/span	สร้างเดสก์ท็อปขนาดใหญ่ที่ขยายไปยังจอภาพ	ต้องการจอภาพที่จัดเรียงในแนวนอนซึ่งมีความละเอียดเดียวกัน
/l	แสดงหมายเลขประจำตัวของมอนิเตอร์และรูปทรง	ก่อนเลือกกลุ่มจอภาพ ให้รันก่อน
selectedmonitors:s:	เลือก ID จอภาพเฉพาะในไฟล์ RDP	ต้องการโหมดหลายจอและเลย์เอาต์จอที่เข้ากันได้

ใช้ /multimon สำหรับเซสชันระยะไกลที่รับรู้ถึงจอภาพ

/multimon สร้างการจัดเรียงจอภาพด้านลูกค้าในเซสชันระยะไกลแทนที่จะนำเสนอพื้นผิวขนาดใหญ่เพียงหนึ่งเดียว สภาพแวดล้อมระยะไกลสามารถจัดการจอภาพเป็นจอแยกได้ ขึ้นอยู่กับความสามารถและนโยบายของโฮสต์

mstsc /v:server01 /multimon

ใช้ /span เฉพาะสำหรับเลย์เอาต์แนวนอนที่เข้ากันได้

/span ไม่ใช่ชื่อเล่นสำหรับ /multimon Microsoft ต้องการให้จอมอนิเตอร์ใช้ความละเอียดเดียวกันและจัดเรียงในแนวนอน หากจอแสดงผลมีความละเอียดที่แตกต่างกันหรือมีการเลื่อนในแนวตั้ง ให้ใช้โหมดหลายจอแทน

ค้นหา ID จอภาพและเลือกจอภาพเฉพาะ

อันดับแรกให้ระบุหมายเลข ID ของจอภาพที่ MSTSC เห็น จากนั้นให้วางหมายเลข ID ที่ต้องการในไฟล์ RDP ที่บันทึกไว้

mstsc /l

ใช้ multimon:i:1 selectedmonitors:s:0,2

เอกสารของ Microsoft กำหนดข้อจำกัดเพิ่มเติมเกี่ยวกับเลย์เอาต์สำหรับจอภาพที่เลือก รวมถึงความจำเป็นที่ชุดที่เลือกจะต้องจัดเรียงในรูปสี่เหลี่ยมผืนผ้าอย่างถูกต้อง ทดสอบโปรไฟล์บนสถานีงานที่ตั้งใจไว้ เนื่องจากหมายเลขจอภาพอาจเปลี่ยนแปลงเมื่อมีการเปลี่ยนแปลงการแสดงผล ด็อก หรือการตั้งค่ากราฟิก

ทางลัดแป้นพิมพ์ Remote Desktop

ใช้ Ctrl+Alt+End เพื่อส่งเทียบเท่าระยะไกลของ Ctrl+Alt+Del Windows ดักจับ Ctrl+Alt+Del ในท้องถิ่น ซึ่งเป็นเหตุผลที่ MSTSC ใช้การรวมกันที่แตกต่างกันสำหรับเซสชันระยะไกล

การรวมปุ่มคีย์ท้องถิ่น	การดำเนินการระยะไกล	ข้อจำกัด
Ctrl+Alt+End	ทางเลือกระยะไกลของ Ctrl+Alt+Del	เซสชันซ้อนและ RemoteApp สามารถเปลี่ยนแปลงสถานที่ที่คำสั่งถูกจัดการ
Ctrl+Alt+Break	สลับระหว่างการแสดงผลแบบหน้าต่างและแบบเต็มหน้าจอ	บางแป้นพิมพ์มีป้ายกำกับปุ่ม Pause หรือจำเป็นต้องใช้การรวมกันของ Fn
Alt+Page Up	สลับแอปพลิเคชันระยะไกลจากซ้ายไปขวา	การเชื่อมต่อระยะไกลกับ Alt+Tab
Alt+Page Down	สลับแอปพลิเคชันระยะไกลจากขวาไปซ้าย	การเปลี่ยนแอปพลิเคชันกลับด้านทางไกล
Alt+Home	เปิดเมนูเริ่มต้นระยะไกล	ใช้กับเซสชันเดสก์ท็อประยะไกล
Ctrl+Alt+Plus	คัดลอกภาพของหน้าต่างเซสชันระยะไกลทั้งหมดไปยังคลิปบอร์ด	ไมโครซอฟท์ได้บันทึกปุ่มบวกบนแป้นพิมพ์ตัวเลข
Ctrl+Alt+Minus	คัดลอกภาพของหน้าต่างระยะไกลที่ใช้งานอยู่ไปยังคลิปบอร์ด	ไมโครซอฟท์เอกสารเกี่ยวกับปุ่มลบบนแป้นพิมพ์ตัวเลข
Ctrl+Alt+Home	เปิดใช้งานแถบการเชื่อมต่อในโหมดเต็มหน้าจอ	เกี่ยวข้องเมื่อแถบการเชื่อมต่อถูกซ่อน

พฤติกรรมของแป้นพิมพ์ในเซสชันที่มีหน้าต่าง, เต็มหน้าจอ, ซ้อนกันและ RemoteApp

The คีย์บอร์ดฮุค การควบคุมคุณสมบัติ RDP ว่าคีย์ผสมของ Windows จะใช้ในโหมดท้องถิ่น ระยะไกล หรือเฉพาะในเซสชันระยะไกลในโหมดเต็มหน้าจอเท่านั้น เซสชันที่ซ้อนกันเพิ่มจุดหมายปลายทางที่เป็นไปได้อีกแห่งสำหรับทางลัด และ RemoteApp ไม่ได้ทำซ้ำพฤติกรรมคีย์บอร์ดเต็มหน้าจอทุกอย่าง

หากการกดปุ่มผสมไปยังคอมพิวเตอร์ที่ผิด ให้ทดสอบเซสชันเดียวที่ไม่ซ้อนกันก่อนและตรวจสอบ คีย์บอร์ดฮุค อย่าลดความเข้มงวดของการตรวจสอบสิทธิ์หรือการตั้งค่าความปลอดภัยของโฮสต์เพื่อแก้ปัญหาการจัดเส้นทางข้อมูลเข้า

ไฟล์ Default.rdp และไฟล์ .rdp ที่นำกลับมาใช้ใหม่

MSTSC เก็บการตั้งค่าคล้ายผู้ใช้ที่จำไว้ในไฟล์ที่ซ่อนชื่อ Default.rdp ไฟล์ RDP ที่ตั้งชื่อแยกต่างหากสามารถบันทึกไว้ที่อื่นสำหรับปลายทางเฉพาะ เกตเวย์ รูปแบบการแสดงผล และกฎการเปลี่ยนเส้นทาง

%USERPROFILE%\Documents\Default.rdp

Default.rdp คืออะไร

เอกสารของ Microsoft Default.rdp เป็นไฟล์ที่ซ่อนอยู่ซึ่งสร้างหรือปรับปรุงโดยการเชื่อมต่อ Remote Desktop ในโฟลเดอร์เอกสารของผู้ใช้ ซึ่งมีผลต่อการตั้งค่าของลูกค้าในผู้ใช้คนนั้น การเปลี่ยนชื่อหรือรีเซ็ตไฟล์นี้จะไม่เปิดใช้งาน Remote Desktop เปลี่ยนผู้ฟังหรือเปลี่ยนนโยบายบนโฮสต์ระยะไกล

เพื่อตรวจสอบว่าการตั้งค่าของลูกค้าที่ล้าสมัยมีส่วนเกี่ยวข้องหรือไม่:

1. ปิดหน้าต่างการเชื่อมต่อ Remote Desktop ทั้งหมด
2. สำรองข้อมูลหรือเปลี่ยนชื่อ Default.rdp .
3. เปิด MSTSC อีกครั้งเพื่อให้สามารถสร้างความชอบของลูกค้าที่จำได้ใหม่ได้
4. ทดสอบการเชื่อมต่ออีกครั้งก่อนคัดลอกการตั้งค่าเก่าไปยังไฟล์ใหม่

ไวยากรณ์ไฟล์ RDP

ไฟล์ RDP เป็นการกำหนดค่าที่ใช้ข้อความ โดยบรรทัดทั่วไปจะเป็นดังนี้ ประเภท:ค่า ที่ไหน i ระบุจำนวนเต็มและ s ระบุสตริงหนึ่ง.

ที่อยู่ทั้งหมด:s:server01.internal
โหมดหน้าจอ id:i:2
ใช้ multimon:i:1
เปลี่ยนเส้นทางคลิปบอร์ด:i:1

อย่าใช้สมมติว่าทุกคุณสมบัติที่เอกสารโดย Microsoft ทำงานเหมือนกันกับทุก PC ระยะไกล, RDS, Azure Virtual Desktop หรือการเชื่อมต่อ TSplus หน้าคุณสมบัติ RDP ที่ Microsoft รองรับครอบคลุมผลิตภัณฑ์ RDP หลายรายการและกำหนดความสามารถในการใช้งานตามคุณสมบัติ เวอร์ชันของไคลเอนต์ ประเภทเป้าหมาย นโยบายเซิร์ฟเวอร์ และวิธีการเชื่อมต่อสามารถมีความสำคัญทั้งหมด

วิธีที่สวิตช์ การตั้งค่าไฟล์ ตัวเลือก GUI และนโยบายมีปฏิสัมพันธ์กัน

ไมโครซอฟท์ไม่ได้เผยแพร่ลำดับความสำคัญทั่วไปที่ครอบคลุมคำสั่งสวิตช์ทุกคำ คุณสมบัติไฟล์ RDP การตั้งค่ากราฟิก นโยบายกลุ่ม และนโยบายโฮสต์ หลีกเลี่ยงการตั้งค่าพฤติกรรมเดียวกันแตกต่างกันในหลายสถานที่

การทดสอบกฎ: เมื่อมีความขัดแย้งที่ต้องตรวจสอบ ให้ใช้โปรไฟล์ชั่วคราวและบันทึกเวอร์ชัน Windows, เวอร์ชันไคลเอนต์, ประเภทเป้าหมาย และนโยบายที่มีผล เปลี่ยนค่าเพียงหนึ่งค่าในแต่ละครั้ง การตั้งค่าไคลเอนต์ไม่สามารถขัดขวางนโยบายของโฮสต์หรือคอลเลกชันที่ห้ามพฤติกรรมที่ร้องขอได้

เอกสารอ้างอิงพารามิเตอร์ไฟล์ RDP

ตารางด้านล่างครอบคลุมคุณสมบัติที่มีประโยชน์โดยเฉพาะกับ MSTSC ค่าแสดงถึงเอกสารคุณสมบัติ RDP ที่ Microsoft สนับสนุน แต่ป้ายกำกับการใช้งานของ Microsoft ยังคงมีอำนาจสำหรับผลิตภัณฑ์การเชื่อมต่อแต่ละรายการ การที่คุณสมบัติหนึ่งถูกบันทึกไว้สำหรับผลิตภัณฑ์ RDP ของ Microsoft ไม่ได้หมายความว่าจะเข้ากันได้กับเป้าหมายอื่น ๆ ทุกตัว

ปลายทาง, คุณสมบัติของตัวตนและการตรวจสอบสิทธิ์

คุณสมบัติและประเภท	ค่าที่ยอมรับได้	วัตถุประสงค์	หมายเหตุด้านความปลอดภัยหรือการใช้งาน
ที่อยู่ทั้งหมด:s:	ชื่อโฮสต์หรือที่อยู่ โดยอาจมีพอร์ตด้วย	ระบุจุดหมายหลัก	ตรวจสอบตัวตนก่อนแจกจ่ายไฟล์
ที่อยู่เต็มทางเลือก:s:	ชื่อโฮสต์หรือที่อยู่สำรอง	ให้ที่อยู่การเชื่อมต่อทางเลือกซึ่งรองรับ	ความสามารถในการใช้งานขึ้นอยู่กับผลิตภัณฑ์ RDP
ชื่อผู้ใช้:s:	ชื่อผู้ใช้ในรูปแบบบัญชีที่ต้องการ	เติมชื่อบัญชีอัตโนมัติ	อย่าสับสนชื่อที่เก็บไว้กับการจัดเก็บข้อมูลรับรองที่ปลอดภัย
โดเมน:s:	ชื่อโดเมน	เติมข้อมูลโดเมนการตรวจสอบสิทธิ์อัตโนมัติ	รูปแบบบัญชีและผู้ให้บริการระบุตัวตนยังคงควบคุมการลงชื่อเข้าใช้
โปรดป้อนข้อมูลรับรอง:i:	0 หรือ 1	ควบคุมว่าผู้ใช้จะถูกขอให้ป้อนข้อมูลรับรองหรือไม่	นโยบายยังคงสามารถกำหนดให้มีการแจ้งเตือน
promptcredentialonce:i:	0 หรือ 1	ควบคุมว่าข้อมูลรับรองของเกตเวย์และปลายทางจะถูกขอเพียงครั้งเดียวเมื่อมีการสนับสนุน	วิธีการตรวจสอบสิทธิ์ของเกตเวย์และเป้าหมายจะต้องเข้ากันได้
ระดับการตรวจสอบสิทธิ์:i:	0, 1 หรือ 2	เลือกว่าจะให้การตรวจสอบการรับรองความถูกต้องของเซิร์ฟเวอร์ที่ล้มเหลวถูกละเว้น บล็อกการเชื่อมต่อ หรือสร้างคำเตือน	ใช้การตั้งค่าที่เข้มงวดซึ่งเหมาะสมกับสภาพแวดล้อมที่จัดการ; อย่าปิดการแจ้งเตือนเกี่ยวกับตัวตนโดยทั่วไป
enablecredsspsupport:i:	0 หรือ 1	ควบคุมการใช้ผู้ให้บริการความปลอดภัยข้อมูลประจำตัวเมื่อมีความเหมาะสม	การเปลี่ยนแปลงนี้มีผลต่อการตรวจสอบสิทธิ์และความเข้ากันได้ของการตรวจสอบสิทธิ์ระดับเครือข่าย
เจรจาชั้นความปลอดภัย:i:	0 หรือ 1	ควบคุมการเจรจาชั้นความปลอดภัยเมื่อมีการสนับสนุน	อย่าปิดการเจรจาเป็นขั้นตอนการแก้ไขปัญหาทั่วไป

ไฟล์ที่นำกลับมาใช้ใหม่ไม่ควรมีรหัสผ่านแบบข้อความธรรมดาที่ฝังอยู่ ใช้การจัดเก็บข้อมูลประจำตัวและการควบคุมการตรวจสอบสิทธิ์ที่ได้รับการอนุมัติแทนการแจกจ่ายความลับภายในโปรไฟล์การเชื่อมต่อ

แสดงและตรวจสอบคุณสมบัติ

คุณสมบัติและประเภท	ค่าที่ยอมรับได้หรือช่วง	วัตถุประสงค์	คู่มือหรือหมายเหตุ
โหมดหน้าจอ id:i:	1 หน้าต่าง, 2 เต็มหน้าจอ	ตั้งค่าโหมดการแสดงผลเริ่มต้น	เกี่ยวกับ /f และ /fullscreen
ความกว้างของเดสก์ท็อป:i:	200 ถึง 8192 พิกเซล	ตั้งค่าความกว้างของเดสก์ท็อประยะไกล	เกี่ยวกับ /w
desktopheight:i:	200 ถึง 8192 พิกเซล	ตั้งค่าความสูงของเดสก์ท็อประยะไกล	เกี่ยวกับ /h
เซสชัน bpp:i:	15, 16, 24 หรือ 32	ตั้งค่าความลึกของสีเซสชัน	การสนับสนุนและนโยบายของโฮสต์สามารถจำกัดได้
ใช้ multimon:i:	0 หรือ 1	เปิดใช้งานเซสชันหลายจอที่รับรู้การใช้งานจอภาพ	เกี่ยวกับ /multimon
selectedmonitors:s:	รหัสจอภาพที่คั่นด้วยเครื่องหมายจุลภาค	เลือกชุดย่อยของจอมอนิเตอร์ท้องถิ่น	ใช้ mstsc /l เพื่อค้นหา ID; ต้องการโหมดหลายจอ
จอภาพแบบสเปน	0 หรือ 1	ขยายเดสก์ท็อปหนึ่งตัวไปยังหลายจอ	เกี่ยวกับ /span; ต้องการเลย์เอาต์แนวนอนที่มีความละเอียดเดียวกัน
การปรับขนาดอัจฉริยะ	0 หรือ 1	ปรับขนาดเดสก์ท็อประยะไกลที่แสดงให้พอดีกับหน้าต่างของลูกค้า	การปรับขนาดจะไม่เปลี่ยนความละเอียดระยะไกลแบบไดนามิก
ความละเอียดแบบไดนามิก:i:	0 หรือ 1	ปรับความละเอียดระยะไกลเมื่อขนาดหน้าต่างของไคลเอนต์เปลี่ยนแปลง	การสนับสนุนขึ้นอยู่กับลูกค้าและเป้าหมาย
desktopscalefactor:i:	เปอร์เซ็นต์การปรับขนาดที่มีเอกสารโดย Microsoft	ตั้งค่าขนาดเดสก์ท็อปเมื่อเหมาะสม	ตรวจสอบความเหมาะสมของผลิตภัณฑ์ก่อนการใช้งาน
อัตราส่วนการปรับขนาดอุปกรณ์:i:	ค่าอัตราส่วนอุปกรณ์ที่มีเอกสารโดย Microsoft	ควบคุมการปรับขนาดที่เกี่ยวข้องกับอุปกรณ์เมื่อเหมาะสม	ไม่ใช่การตั้งค่า MSTSC ทั่วไปสำหรับทุกประเภทเป้าหมาย

การเปลี่ยนเส้นทางคีย์บอร์ด เสียง และทรัพยากรท้องถิ่น

คุณสมบัติและประเภท	ค่าที่ยอมรับได้	วัตถุประสงค์	การพิจารณานโยบาย
keyboardhook:i:	0 ท้องถิ่น, 1 ระยะไกล, 2 ระยะไกลแบบเต็มหน้าจอ	ควบคุมว่าการรวมกันของปุ่ม Windows จะถูกนำไปใช้ที่ไหน	เซสชันที่ซ้อนกันและเซสชัน RemoteApp อาจทำงานแตกต่างกัน
โหมดเสียง:i:	เล่นในเครื่อง, เล่นจากระยะไกล, ปิดการใช้งาน	ควบคุมการเล่นเสียง	นโยบายโฮสต์สามารถจำกัดการเปลี่ยนเส้นทางเสียง
โหมดการจับเสียง: i	0 หรือ 1	ปิดการใช้งานหรือเปิดใช้งานการจับภาพไมโครโฟน	เปิดใช้งานเฉพาะเมื่อเวิร์กโฟลว์ต้องการ
redirectclipboard:i:	0 หรือ 1	ควบคุมการเปลี่ยนเส้นทางคลิปบอร์ด	สามารถย้ายข้อมูลได้ทั้งสองทิศทาง; นโยบายโฮสต์สามารถบล็อกได้
redirectprinters:i:	0 หรือ 1	ควบคุมการเปลี่ยนเส้นทางเครื่องพิมพ์	ข้อกำหนดเกี่ยวกับไดรเวอร์และนโยบายโฮสต์ยังคงมีผลบังคับใช้
redirectdrives:i:	0 หรือ 1	ควบคุมพฤติกรรมการเปลี่ยนเส้นทางไดรฟ์ที่กว้างขวาง	จำกัดการเข้าถึงเมื่อผู้ใช้ไม่ต้องการการถ่ายโอนไฟล์ในเครื่อง
drivestoredirect:s:	รายการไดรฟ์เฉพาะ, * สำหรับทั้งหมด, หรือค่าดิสก์ไดนามิกที่รองรับ	เลือกไดรฟ์ที่เปิดให้เข้าถึงจากระยะไกล	ใช้รายการที่แคบที่สุดที่สนับสนุนงาน
redirectcomports:i:	0 หรือ 1	ควบคุมการเปลี่ยนเส้นทางพอร์ตอนุกรม	ความพร้อมใช้งานขึ้นอยู่กับลูกค้า โฮสต์ และนโยบาย
redirectsmartcards:i:	0 หรือ 1	ควบคุมการเปลี่ยนเส้นทางการ์ดอัจฉริยะ	สถาปัตยกรรมการตรวจสอบสิทธิ์และนโยบายกำหนดว่ามันทำงานหรือไม่

ข้อผิดพลาดทั่วไป: ตั้งค่าคุณสมบัติการเปลี่ยนเส้นทางเป็น 1 เฉพาะการร้องขอฟีเจอร์จากฝั่งลูกค้าเท่านั้น ไม่ได้พิสูจน์ว่าผู้ให้บริการ, การเก็บรวบรวม RDS หรือ Group Policy อนุญาตให้ทำเช่นนั้น คุณสมบัติของอุปกรณ์, USB และ WebAuthn ยังมีความเกี่ยวข้องเฉพาะกับการเชื่อมต่อ ดังนั้นโปรดตรวจสอบหน้าคุณสมบัติของ Microsoft ปัจจุบันก่อนที่จะเพิ่มพวกเขาในโปรไฟล์องค์กร

คุณสมบัติของเกตเวย์

คุณสมบัติและประเภท	ค่าที่ยอมรับได้	วัตถุประสงค์	หมายเหตุการดำเนินงาน
gatewayhostname:s:	ชื่อโฮสต์เกตเวย์	ระบุ RD Gateway	ชื่อจะต้องตรงกับใบรับรองเกตเวย์
วิธีการใช้งานเกตเวย์:i:	รหัสที่ Microsoft เอกสารไว้ 0 ถึง 4	เลือกไม่มีเกตเวย์ การใช้งานที่จำเป็น การใช้งานตามเงื่อนไข หรือพฤติกรรมเริ่มต้นที่กำหนด	ใช้ส่วนติดต่อ MSTSC gateway เพื่อสร้างค่าที่ต้องการเมื่อเป็นไปได้
gatewaycredentialssource:i:	รหัสที่บันทึกไว้สำหรับรหัสผ่าน, การ์ดอัจฉริยะ, การเลือกภายหลังหรือการรับรองความถูกต้องของเว็บที่รองรับ	เลือกแหล่งข้อมูลข้อมูลประจำตัวของเกตเวย์	ความพร้อมใช้งานขึ้นอยู่กับการกำหนดค่าการตรวจสอบสิทธิ์ของเกตเวย์
gatewayprofileusagemethod:i:	0 หรือ 1	ควบคุมว่าใช้การตั้งค่าโปรไฟล์เกตเวย์เริ่มต้นหรือที่ระบุไว้โดยชัดเจน	รักษาค่าที่สร้างโดย GUI เว้นแต่เอกสารการติดตั้งจะระบุไว้เป็นอย่างอื่น
promptcredentialonce:i:	0 หรือ 1	ควบคุมการใช้ซ้ำของคำสั่งเดียวสำหรับการตรวจสอบสิทธิ์เกตเวย์และปลายทาง	ไม่รวมระบบตัวตนที่ไม่เข้ากัน

โปรไฟล์เกตเวย์ควรระบุปลายทางภายในอยู่เสมอ การเพิ่มชื่อโฮสต์เกตเวย์ในขณะที่ปล่อยให้ปลายทางเปิดเผยเป็นผู้ฟัง RDP สาธารณะนั้นทำให้วัตถุประสงค์ในการใช้เส้นทางเข้าที่ได้รับการป้องกันหมดไป

คุณสมบัติด้านประสิทธิภาพและประสบการณ์การเชื่อมต่อ

คุณสมบัติและประเภท	ค่าที่ยอมรับได้	วัตถุประสงค์	คำแนะนำ
networkautodetect:i:	0 หรือ 1	เปิดใช้งานการตรวจจับเครือข่ายอัตโนมัติ	โดยปกติจะดีกว่าการตั้งสมมติฐานที่แน่นอนเกี่ยวกับการเชื่อมต่อ
การตรวจจับแบนด์วิธอัตโนมัติ:i:	0 หรือ 1	เปิดใช้งานการตรวจจับแบนด์วิธ	ต้องการพฤติกรรมการตรวจจับเครือข่ายที่เข้ากันได้
ประเภทการเชื่อมต่อ:i:	1 ถึง 7	จำแนกการเชื่อมต่อจากความเร็วต่ำผ่าน LAN หรือการตรวจจับอัตโนมัติ	การตรวจจับอัตโนมัติทำให้การปรับแต่งด้วยมือเป็นรองในหลายสภาพแวดล้อม
การบีบอัด:i:	0 หรือ 1	ควบคุมการบีบอัดข้อมูล RDP	อย่าปิดการใช้งานตามคำแนะนำการปรับแต่งที่ล้าสมัย
ปิดการใช้งานวอลล์เปเปอร์:i:	0 หรือ 1	ควบคุมว่าภาพพื้นหลังของเดสก์ท็อปจะถูกปิดกั้นหรือไม่	สามารถลดข้อมูลภาพที่ไม่จำเป็น
อนุญาตให้ปรับแต่งฟอนต์: i	0 หรือ 1	ควบคุมการปรับเรียบฟอนต์	ปรับสมดุลระหว่างการปรากฏของข้อความและต้นทุนการเชื่อมต่อ
อนุญาตให้ประกอบเดสก์ท็อป:i:	0 หรือ 1	ควบคุมการจัดองค์ประกอบเดสก์ท็อปเมื่อรองรับ	ความสามารถในการใช้งานขึ้นอยู่กับลูกค้าและเป้าหมาย

คุณสมบัติ RemoteApp

ไฟล์ RDP สามารถขอแอปพลิเคชันที่เผยแพร่แบบเฉพาะบุคคลได้ แต่ไฟล์นั้นไม่สามารถเผยแพร่แอปพลิเคชันนั้นได้ด้วยตัวเอง สภาพแวดล้อมด้านเซิร์ฟเวอร์ต้องเผยแพร่โปรแกรมและอนุญาตให้ผู้ใช้เข้าถึง

คุณสมบัติและประเภท	ค่าที่ยอมรับได้	วัตถุประสงค์	ความต้องการ
โหมดแอปพลิเคชันระยะไกล:i:	0 หรือ 1	เปิดใช้งานโหมด RemoteApp	ต้องมีสภาพแวดล้อมการเผยแพร่ที่เข้ากันได้
โปรแกรมแอปพลิเคชันระยะไกล:s:	หมายเลขประจำแอปพลิเคชันที่เผยแพร่	ระบุโปรแกรมที่จะเริ่มต้น	ต้องตรงกับแอปพลิเคชันที่เผยแพร่โดยเซิร์ฟเวอร์
ชื่อแอปพลิเคชันระยะไกล:s:	ชื่อที่แสดง	แสดงชื่อแอปพลิเคชันที่แสดงให้ผู้ใช้เห็น	ไม่ได้ให้การเข้าถึง
เส้นทางคำสั่งแอปพลิเคชันระยะไกล:s:	พารามิเตอร์บรรทัดคำสั่งที่รองรับ	ส่งผ่านอาร์กิวเมนต์ที่อนุญาตไปยังแอปพลิเคชัน	นโยบายเซิร์ฟเวอร์และการกำหนดค่าการใช้งานสามารถจำกัดอาร์กิวเมนต์

จัดการไฟล์ .rdp เป็นการตั้งค่า ไม่ใช่ทางลัดที่ไม่เป็นอันตราย

ไฟล์ RDP สามารถชี้ผู้ใช้ไปยังปลายทาง ขอพฤติกรรมของเกตเวย์ และเปิดใช้งานเส้นทางการถ่ายโอน เช่น คลิปบอร์ด ไดรฟ์ เครื่องพิมพ์ หรือการ์ดอัจฉริยะ ซึ่งทำให้มันเป็นการกำหนดค่าการทำงานที่มีผลด้านความปลอดภัย ไม่ใช่แค่ไอคอนเดสก์ท็อปเท่านั้น

• ตรวจสอบปลายทางและเกตเวย์ก่อนอนุมัติไฟล์
• ตรวจสอบคลิปบอร์ด การขับเคลื่อน เครื่องพิมพ์ การ์ดอัจฉริยะ เสียง และการตั้งค่าที่เกี่ยวข้องกับข้อมูลประจำตัว
• ลงนามไฟล์ขององค์กรเมื่อสภาพแวดล้อมต้องการการตรวจสอบผู้เผยแพร่
• ใช้ Group Policy เพื่อกำหนดวิธีการจัดการไฟล์ที่ไม่มีลายเซ็น, มีลายเซ็น และไม่เชื่อถือ

ไฟล์ที่ลงนามและผู้เผยแพร่ที่เชื่อถือได้

คำแนะนำด้านความปลอดภัยของไฟล์ RDP ของ Microsoft ลงวันที่ 14 กรกฎาคม 2026 อธิบายพื้นที่นโยบายกลุ่มสามพื้นที่ที่ควบคุมวิธีที่การเชื่อมต่อเดสก์ท็อประยะไกลจัดการไฟล์ RDP: กฎสำหรับไฟล์ที่ไม่มีลายเซ็น, กฎสำหรับไฟล์ที่มีลายเซ็น และรายการผู้เผยแพร่ที่เชื่อถือได้โดยชัดแจ้ง คำแนะนำยังครอบคลุมลายนิ้วมือใบรับรอง SHA-2 และการเปลี่ยนแปลงในกล่องโต้ตอบความปลอดภัยที่นำเสนอในปี 2026

ตำแหน่งของ Microsoft สำหรับสภาพแวดล้อมที่มีความปลอดภัยสูงคือผู้ใช้สามารถถูกจำกัดให้ใช้ไฟล์ RDP ที่ลงนามโดยผู้เผยแพร่ที่เชื่อถือได้อย่างชัดเจน โดยไฟล์อื่นจะถูกบล็อก

นโยบายที่แน่นอนควรตรงกับระดับความเสี่ยงขององค์กรแทนที่จะพึ่งพาผู้ใช้ทุกคนในการตีความคำเตือนอย่างถูกต้อง

พอร์ต, พอร์ตที่กำหนดเองและการส่งต่อพอร์ต

พอร์ตในคำสั่ง MSTSC บอกให้ไคลเอนต์ทราบว่าจะเชื่อมต่อที่ไหน มันไม่ได้เปลี่ยนการตั้งค่าฟังของเซิร์ฟเวอร์ ไฟร์วอลล์ ใบรับรอง เกตเวย์ หรือการแปลที่อยู่เครือข่าย

พอร์ตและการขนส่ง	บทบาท	บริบทการเชื่อมต่อ
TCP และ UDP 3389	พอร์ต RDP มาตรฐาน	ลูกค้าสำหรับโฮสต์ โดยทั่วไปอยู่บนเครือข่ายภายในหรือเครือข่ายที่ได้รับการป้องกัน
TCP 443	การเข้าถึง HTTPS ภายนอกไปยัง RD Gateway	ลูกค้าสู่เกตเวย์
UDP 3391	RDP ผ่าน UDP ผ่าน RD Gateway	ลูกค้าสำหรับเกตเวย์ที่เปิดใช้งาน

เหล่านี้ พอร์ต RDP มาจาก เอกสารอ้างอิงพอร์ต RDS ของ Microsoft เดือนกุมภาพันธ์ 2026 พวกเขาคือข้อเท็จจริงเกี่ยวกับเครือข่าย ไม่ใช่คำแนะนำในการเปิดเผย TCP หรือ UDP 3389 ต่อสาธารณะ

เชื่อมต่อกับพอร์ตที่ไม่ใช่ค่าเริ่มต้น

เพิ่มพอร์ตไปยังปลายทางหลังเครื่องหมายสองจุด สิ่งนี้จะทำงานได้เฉพาะเมื่อโฮสต์กำลังฟังอยู่ที่พอร์ตนั้นและเส้นทางเครือข่ายที่ได้รับการป้องกันอนุญาตให้ทำได้

mstsc /v:server01.internal:3390

MSTSC ไม่สามารถเปลี่ยนพอร์ตการฟังของโฮสต์ได้

การเปลี่ยนผู้ฟังเป็นการดำเนินการที่ประสานงานด้านโฮสต์ซึ่งเกี่ยวข้องกับการกำหนดค่าของ Windows, บริการ Remote Desktop, กฎไฟร์วอลล์ และการควบคุมเครือข่ายที่อยู่ด้านบน ไมโครซอฟท์ระบุว่า RDS สามารถใช้พอร์ตอื่นได้ แต่ไม่แนะนำให้เปลี่ยนพอร์ต ตามวิธีปกติ

การเปลี่ยนพอร์ตที่กำหนดเองอาจลดเสียงรบกวนจากอัตโนมัติ แต่ไม่ถือเป็นการควบคุมความปลอดภัยด้วยตัวมันเอง ใช้คู่มือการเปลี่ยนพอร์ตที่กำหนดไว้หากคุณต้องการเปลี่ยนผู้ฟัง และวางแผนการตรวจสอบและการย้อนกลับแทนที่จะถือว่าคำสั่งของลูกค้าเป็นขั้นตอนการเปลี่ยนแปลง

อย่าส่งต่อพอร์ต RDP ดิบไปยังอินเทอร์เน็ตสาธารณะ

กฎการตัดสินใจ: หากการเข้าถึงเป็นภายในหรือได้รับการป้องกันแล้วโดยเครือข่ายส่วนตัว ให้เชื่อมต่อกับโฮสต์ภายในและผู้ฟัง หากการเข้าถึงข้ามอินเทอร์เน็ต ให้ใช้ HTTPS, RD Gateway, reverse proxy หรือจุดเข้าที่ได้รับการป้องกันอื่น ๆ พร้อม MFA และการควบคุมการเข้าถึง อย่าเผยแพร่พอร์ต 3389 หรือพอร์ตผู้ฟัง RDP ที่กำหนดเองโดยตรงไปยังอินเทอร์เน็ต

RDP ไม่ได้มีความไม่ปลอดภัยโดยการออกแบบ ความเสี่ยงจะเพิ่มขึ้นเมื่อมีการเปิดเผย RDP listener ต่อสาธารณะ ข้อมูลรับรองอ่อนแอหรือถูกนำกลับมาใช้ ระบบไม่ได้รับการอัปเดต และการพยายามเข้าถึงไม่ได้รับการตรวจสอบ CISA, FBI และ Australian Signals Directorate แนะนำ ในการอัปเดต BianLian วันที่ 20 พฤศจิกายน 2024 ของพวกเขา องค์กรต่างๆ จะต้องจำกัด RDP อย่างเข้มงวด ปิดพอร์ตที่ไม่ได้ใช้งาน บังคับใช้การล็อกเอาต์ ใช้ MFA ที่ต้านทานการฟิชชิง และบันทึกความพยายามในการเข้าถึง

MSTSC ไม่ทำงาน: แยกชั้นที่ล้มเหลว

การเชื่อมต่อ MSTSC ที่ล้มเหลวอาจเกิดจากโปรไฟล์ของไคลเอนต์, DNS, เส้นทางเครือข่าย, ตัวฟังโฮสต์, การตรวจสอบสิทธิ์, การอนุญาต, เกตเวย์ หรือการกำหนดค่าการแสดงผล ทดสอบชั้นเหล่านั้นตามลำดับแทนที่จะลดความปลอดภัยจนกว่าข้อผิดพลาดจะเปลี่ยนแปลง

1. ยืนยันลูกค้าและโปรไฟล์

เรียกใช้ mstsc /? เพื่อยืนยันว่าลูกค้าเปิดใช้งานและตรวจสอบไวยากรณ์ที่มีอยู่ ทดสอบปลายทางโดยไม่ใช้ไฟล์ RDP ที่บันทึกไว้ หากการเชื่อมต่อที่สะอาดทำงานได้ ให้เปรียบเทียบไฟล์กับโปรไฟล์ที่สร้างขึ้นใหม่หรือทดสอบด้วยการรีเซ็ต Default.rdp .

ยืนยันการเข้าถึง DNS และพอร์ต

แก้ไขชื่อปลายทาง จากนั้นทดสอบพอร์ตผู้ฟังจากเครือข่ายของลูกค้า ใช้โฮสต์ภายในจริงและพอร์ตที่กำหนดไว้

Resolve-DnsName server01.internal  
Test-NetConnection server01.internal -Port 3389

การค้นหา DNS ที่ล้มเหลวแตกต่างจากโฮสต์ที่ถูกแก้ไขซึ่งมีพอร์ตที่ถูกบล็อก การทดสอบพอร์ตที่ประสบความสำเร็จเพียงแค่พิสูจน์ความสามารถในการเข้าถึงพื้นฐาน ไม่ได้พิสูจน์ว่าบัญชีได้รับอนุญาตหรือการตรวจสอบสิทธิ์จะประสบความสำเร็จ

3. ตรวจสอบบริการโฮสต์และผู้ฟัง

บนโฮสต์ ยืนยันว่า Remote Desktop เปิดใช้งานอยู่และตรวจสอบบริการที่เกี่ยวข้อง เอกสารการแก้ไขปัญหาของ Microsoft ระบุ บริการเทอร์มินัล และ UmRdpService เป็นส่วนประกอบด้านโฮสต์เพื่อตรวจสอบ

Get-Service TermService, UmRdpService

สถานะผู้ฟัง, ความขัดแย้งของพอร์ต, กฎไฟร์วอลล์ และการกำหนดค่าฮอสต์ไม่ได้ถูกควบคุมโดยไคลเอนต์ MSTSC ตรวจสอบรายการเหล่านั้นบนฮอสต์หรือผ่านกระบวนการจัดการเซิร์ฟเวอร์ที่เกี่ยวข้อง

4. ตรวจสอบตัวตน การอนุญาต NLA และนโยบาย

ผู้ฟังที่สามารถเข้าถึงได้ยังคงปฏิเสธการเชื่อมต่อได้ ตรวจสอบรูปแบบบัญชี สถานะรหัสผ่าน การล็อกบัญชี สิทธิ์การลงชื่อเข้าใช้ Remote Desktop การเป็นสมาชิกกลุ่ม ข้อกำหนดการตรวจสอบระดับเครือข่าย และนโยบายกลุ่มที่มีผลบังคับใช้

ห้ามใช้ /ผู้ดูแลระบบ เป็นการตอบสนองต่อข้อมูลรับรองที่ถูกปฏิเสธ มันเปลี่ยนประเภทเซสชันที่ร้องขอ ไม่ใช่ตัวตนหรือสิทธิ์ของผู้ใช้

ตรวจสอบข้อผิดพลาดของเกตเวย์และใบรับรองแยกกัน

การตรวจสอบสิทธิ์เกตเวย์ การเข้าถึงเกตเวย์ การเข้าถึงจากเกตเวย์ไปยังเป้าหมาย และการตรวจสอบสิทธิ์เป้าหมายเป็นขั้นตอนที่แยกจากกัน คำเตือนเกี่ยวกับใบรับรองยังเป็นปัญหาด้านตัวตน ไม่ใช่หลักฐานทั่วไปว่า “RDP ไม่ทำงาน” ยืนยันว่าชื่อที่ร้องขอตรงกับใบรับรองและว่าโซ่การออกใบรับรองนั้นเชื่อถือได้

6. ลบตัวแปรการแสดงผลและการเปลี่ยนเส้นทาง

ทดสอบใหม่ด้วยจอมอนิเตอร์หนึ่งตัวและการเปลี่ยนเส้นทางทรัพยากรท้องถิ่นขั้นต่ำ หากทำงานได้ ให้เพิ่มการตั้งค่าจอมอนิเตอร์ คลิปบอร์ด ไดรฟ์ เครื่องพิมพ์ และเสียงกลับเข้าทีละอย่าง

อย่าปิดการใช้งาน NLA การตรวจสอบใบรับรอง หรือการเข้ารหัสเป็นการตอบสนองแรกตามปกติ คู่มือการแก้ไขปัญหา Remote Desktop ที่เฉพาะเจาะจงสามารถนำการวินิจฉัยไปสู่ขั้นตอนถัดไปเมื่อการทดสอบที่จำกัดเหล่านี้ระบุชั้นที่ล้มเหลวแต่ไม่ทราบสาเหตุ

ลูกค้า Linux, ตัวจัดการการเชื่อมต่อและทางเลือก MSTSC

เลือกทางเลือกตามงานจริง การใช้งาน RDP บน Linux, โปรแกรมจัดการการเชื่อมต่อ Windows, การเผยแพร่แอปพลิเคชันแบบรวมศูนย์ และผลิตภัณฑ์สนับสนุนระยะไกลแก้ปัญหาที่แตกต่างกัน

ต้องการ	หมวดหมู่ที่เหมาะสม	ตัวอย่างและขีดจำกัดหลัก
การเชื่อมต่อ Windows RDP แบบดั้งเดิมหนึ่งครั้ง	ลูกค้าของ Windows ที่ติดตั้งในตัว	MSTSC; เฉพาะสำหรับ Windows และไม่ใช่ระบบการเผยแพร่
หลายจุดสิ้นสุด RDP ของ Windows ที่บันทึกไว้	ผู้จัดการการเชื่อมต่อ	Microsoft Sysinternals RDCMan; จัดระเบียบการเชื่อมต่อแต่ไม่สร้างสถาปัตยกรรมการเข้าถึง
RDP จาก Linux	การนำไปใช้ RDP ข้ามแพลตฟอร์ม	FreeRDP; ต้องตรวจสอบไวยากรณ์กับเวอร์ชันที่ติดตั้ง
แอปพลิเคชัน Windows หรือเดสก์ท็อปที่กำหนด	การจัดส่งการเข้าถึงระยะไกลแบบรวมศูนย์	ระบบเผยแพร่แอปพลิเคชัน; ต้องการการติดตั้งและการอนุญาตจากฝั่งเซิร์ฟเวอร์
การควบคุมอุปกรณ์ของผู้ใช้โดยฝ่ายช่วยเหลือ	ซอฟต์แวร์สนับสนุนระยะไกล	ออกแบบมาสำหรับช่างเทคนิคและกระบวนการสนับสนุนมากกว่าการจัดส่งแอปพลิเคชันกลาง

ไม่มีเวอร์ชัน Linux ของ mstsc.exe

mstsc.exe เป็นไฟล์ที่สามารถรันได้บน Windows FreeRDP เป็นการนำไปใช้ RDP แบบข้ามแพลตฟอร์มที่มีการดูแลรักษาและเป็นโอเพ่นซอร์ส และ xfreerdp เป็นไคลเอนต์ Linux ทั่วไปที่เกี่ยวข้องกับโครงการนี้

FreeRDP คำสั่งไวยากรณ์อาจเปลี่ยนแปลงระหว่างเวอร์ชันหลัก ตรวจสอบไคลเอนต์ที่ติดตั้งอยู่ --ช่วยเหลือ ผลลัพธ์และเอกสาร FreeRDP ปัจจุบันแทนที่จะคัดลอกคำสั่งเก่าโดยไม่ตรวจสอบ

ใช้โปรแกรมจัดการการเชื่อมต่อ Remote Desktop สำหรับการเชื่อมต่อ Windows ที่บันทึกไว้หลายรายการ

Microsoft Sysinternals ตำแหน่งผู้จัดการการเชื่อมต่อ Remote Desktop หรือ RDCMan ซึ่งเป็นผู้จัดการสำหรับการเชื่อมต่อ Remote Desktop หลายรายการ Microsoft ได้บันทึกเอกสารเกี่ยวกับ RDCMan เวอร์ชัน 3.22 เมื่อวันที่ 15 ตุลาคม 2026

RDCMan รองรับกลุ่มเซิร์ฟเวอร์ การตั้งค่าที่สืบทอด รูปขนาดย่อ ร้านเก็บข้อมูลประจำตัว และการดำเนินการที่ใช้กับกลุ่มการเชื่อมต่อ มันจัดระเบียบเซสชัน RDP ทางการ แต่ไม่เผยแพร่แอปพลิเคชัน ไม่แทนที่ RD Gateway ไม่จัดเตรียมกระบวนการสนับสนุนระยะไกล หรือกำหนดความปลอดภัยของเส้นทางการเข้าถึง

เลือกทางเลือกโดยงานจริง

• ใช้ MSTSC สำหรับการเชื่อมต่อ RDP แบบดั้งเดิมแบบบุคคลจาก Windows.
• ใช้ RDCMan เมื่อผู้ดูแลระบบ Windows ต้องการจัดระเบียบจุดสิ้นสุด RDP หลายจุด
• ใช้ไคลเอนต์ RDP ที่ดูแลรักษาเช่น FreeRDP บน Linux
• ใช้ซอฟต์แวร์สนับสนุนระยะไกลสำหรับการควบคุมศูนย์ช่วยเหลือที่มีผู้เข้าร่วมหรือไม่มีผู้เข้าร่วม
• ใช้ระบบเผยแพร่แอปพลิเคชันเมื่อผู้ใช้ต้องการแอปพลิเคชันหรือเดสก์ท็อป Windows ที่กำหนดไว้กลาง

การใช้ MSTSC กับ TSplus Remote Access

TSplus Remote Access สามารถส่งมอบแอปพลิเคชัน Windows ที่กำหนดหรือเดสก์ท็อปทั้งหมดผ่าน Microsoft MSTSC, ไคลเอนต์ที่เข้ากันได้กับ RDP อื่น ๆ, ไคลเอนต์ที่สร้างขึ้นหรือการเข้าถึงผ่านเบราว์เซอร์ MSTSC เป็นหนึ่งในวิธีการเชื่อมต่อที่รองรับ ไม่ใช่สถาปัตยกรรมผลิตภัณฑ์ทั้งหมด

MSTSC สามารถเป็นวิธีการเชื่อมต่อหนึ่งได้

ด้วย วิธี MSTSC ที่มีการบันทึกไว้ ผู้ใช้เชื่อมต่อผ่านหน้าต่าง Remote Desktop มาตรฐานไปยังทรัพยากรที่จัดส่งโดย TSplus Remote Access. Universal Printer ไม่ได้รับการสนับสนุนผ่านวิธีการเชื่อมต่อ MSTSC นี้.

การเข้าถึงผ่านเบราว์เซอร์เป็นประสบการณ์การเชื่อมต่อที่แยกต่างหากและต้องการ TSplus Remote Access Web Mobile Edition หรือสูงกว่า ลูกค้าที่สร้างขึ้นเป็นอีกทางเลือกหนึ่งและสามารถรองรับ การเลือกมอนิเตอร์ที่มีเอกสาร ควรตรวจสอบความเข้ากันได้สำหรับประเภทการเชื่อมต่อที่เลือกแทนที่จะสมมติว่าคุณสมบัติ Microsoft RDP ทุกอย่างได้รับการตรวจสอบกับ TSplus Remote Access

เมื่อการเผยแพร่แบบรวมศูนย์มีประโยชน์มากกว่าการใช้ไฟล์ .rdp มากขึ้น

เก็บ MSTSC เมื่อความต้องการเป็นไคลเอนต์ RDP ที่ตรงไปตรงมาสำหรับจุดสิ้นสุดที่รู้จัก พิจารณา TSplus Remote Access เมื่อภารกิจจริงคือการเผยแพร่และกำหนดแอปพลิเคชัน Windows หรือเดสก์ท็อปจากศูนย์กลางแทนที่จะต้องดูแลไฟล์ RDP ที่แยกออกสำหรับผู้ใช้และเซิร์ฟเวอร์แต่ละราย

การติดตั้งหลายรายการสามารถใช้เซิร์ฟเวอร์เดียวได้ ความสามารถในการเชื่อมต่อ, ฟาร์ม และการกระจายโหลดต้องการ TSplus Remote Access Enterprise Edition และฟาร์มเป็นตัวเลือกมากกว่าข้อกำหนดเบื้องต้น TSplus Remote Access ไม่ใช่ VDI แบบเต็มรูปแบบและไม่ได้โฮสต์โครงสร้างพื้นฐานของลูกค้า

หากผู้ใช้ของคุณต้องการแอปพลิเคชันหรือเดสก์ท็อป Windows ที่กำหนดไว้กลางแทนที่จะเป็นการรวบรวมไฟล์ RDP แบบแยกต่างหากที่เพิ่มขึ้น ให้เปรียบเทียบรุ่น TSplus Remote Access และวิธีการเชื่อมต่อ

ข้อจำกัดของ TSplus 2FA กับ MSTSC

ข้อจำกัดวิธีการเชื่อมต่อ: TSplus การตรวจสอบสิทธิ์แบบสองปัจจัย เป็นส่วนเสริมที่ต้องชำระเงินซึ่งต้องการ TSplus Remote Access Web Mobile หรือ Enterprise Edition ไม่สามารถทำงานร่วมกับ Microsoft ได้ mstsc.exe การเชื่อมต่อ RDP โดยตรงจะถูกปฏิเสธสำหรับผู้ใช้ที่เปิดใช้งาน TSplus 2FA ดังนั้นผู้ใช้เหล่านั้นต้องเชื่อมต่อผ่านพอร์ทัลเว็บที่รองรับหรือไคลเอนต์ที่สร้างขึ้นที่เข้ากันได้

MFA ควรเป็นมาตรฐานสำหรับการเข้าถึงระยะไกลและการเข้าถึงทางการบริหาร แต่เป็นเพียงชั้นหนึ่งเท่านั้น ต้องรวมกับการแพตช์ การล็อกเอาต์ การป้องกันการโจมตีแบบ brute-force สิทธิ์ขั้นต่ำ การแบ่งส่วน และการตรวจสอบ

รายการตรวจสอบความปลอดภัยและการอนุญาตที่มีขอบเขต

MSTSC ควบคุมการเชื่อมต่อของลูกค้า สวิตช์และการตั้งค่าที่บันทึกไว้ไม่สามารถรักษาความปลอดภัยหรือออกใบอนุญาตการใช้งานทั้งหมดได้ ก่อนที่จะนำการเชื่อมต่อไปใช้งานจริง ให้ตรวจสอบสถาปัตยกรรมโดยรอบ

• ปิดการฟัง RDP ดิบจากอินเทอร์เน็ตสาธารณะ
• ใช้เกตเวย์, จุดเข้า HTTPS, รีเวิร์สพร็อกซี หรือเส้นทางส่วนตัวที่ได้รับการป้องกัน
• ใช้ใบรับรองที่ถูกต้องสำหรับจุดเข้าถึงเว็บและเกตเวย์
• ต้องการ MFA ผ่านวิธีการเชื่อมต่อที่รองรับ
• บังคับการเข้าถึงขั้นต่ำสุด การล็อกบัญชีและ การป้องกันการโจมตีแบบ brute-force ของ RDP .
• จำกัดที่อยู่ IP แหล่งที่มา ประเทศ หรืออุปกรณ์ที่เชื่อถือได้ซึ่งผู้ใช้สามารถเข้าถึงได้
• ปิดการเปลี่ยนเส้นทางคลิปบอร์ด ไดรฟ์ เครื่องพิมพ์ และอุปกรณ์ที่เวิร์กโฟลว์ไม่ต้องการ
• แพตช์ Windows, ซอฟต์แวร์การเข้าถึงระยะไกลและเครื่องมือรักษาความปลอดภัย.
• ใช้ TSplus การตรวจสอบเซิร์ฟเวอร์ เพื่อตรวจสอบเซสชันที่ใช้งานอยู่และสุขภาพของเซิร์ฟเวอร์
• แบ่งเครือข่ายและปิดพอร์ตและบริการที่ไม่ได้ใช้งาน
• แยกบัญชีผู้ดูแลระบบออกจากบัญชีผู้ใช้ทั่วไป
• สำรองการตั้งค่าการเข้าถึงและทดสอบการกู้คืน
• ตรวจสอบ Windows Server, RDS CAL, การอนุญาต Office และ Microsoft 365 กับ Microsoft หรือพันธมิตรการอนุญาตที่มีคุณสมบัติ.

MSTSC เป็นหนึ่งในไคลเอนต์ในเส้นทางการเข้าถึง คำสั่งที่ถูกต้องหรือไฟล์ RDP สามารถสร้างการเชื่อมต่อได้ แต่ไม่ได้หมายความว่าการติดตั้งนั้นปลอดภัย ได้รับอนุญาตอย่างเหมาะสม หรือมีใบอนุญาตที่ถูกต้อง

คุณสามารถเริ่มต้นการ ทดลองใช้ฟรี 15 วันของ TSplus Remote Access เพื่อตรวจสอบการส่งมอบแอปพลิเคชันและเดสก์ท็อปบนโครงสร้างพื้นฐาน Windows ของคุณเอง จากนั้นตรวจสอบใบอนุญาต Microsoft ที่จำเป็นสำหรับการกำหนดค่าของคุณ