簡(jiǎn)介針對(duì)Windows Server 2012多用戶遠(yuǎn)程桌面登錄這一常見(jiàn)運(yùn)維需求這份資料以docx文檔形式提供了一套可直接落地的配置指南面向需要同時(shí)支持多個(gè)用戶遠(yuǎn)程接入服務(wù)器的IT管理員與系統(tǒng)運(yùn)維人員。內(nèi)容從打開(kāi)本地組策略編輯器起步逐步講解啟用遠(yuǎn)程桌面服務(wù)、在“遠(yuǎn)程桌面會(huì)話主機(jī)-連接”中禁用“將遠(yuǎn)程桌面服務(wù)用戶限制到單獨(dú)的遠(yuǎn)程桌面服務(wù)會(huì)話”以及通過(guò)編輯“限制連接的數(shù)量”將默認(rèn)雙會(huì)話擴(kuò)展為指定數(shù)量如3個(gè)連接等要點(diǎn)并配有操作界面截圖降低實(shí)操門(mén)檻。文檔按操作順序組織關(guān)鍵節(jié)點(diǎn)均有標(biāo)注能有效避免因默認(rèn)限制導(dǎo)致多用戶無(wú)法同時(shí)登錄的問(wèn)題。壓縮包內(nèi)為單個(gè)docx文檔體積僅386KB方便下載閱讀。截至目前已有3855人學(xué)習(xí)瀏覽說(shuō)明該配置方案具有較高參考價(jià)值適合在搭建遠(yuǎn)程辦公或維護(hù)多用戶登錄環(huán)境時(shí)快速查閱。1. Windows Server 2012 默認(rèn) 2 個(gè)并發(fā)會(huì)話多用戶遠(yuǎn)程桌面登錄到底卡在哪公司用友管理系統(tǒng)跑在一臺(tái) Windows Server 2012 上早上八點(diǎn)半財(cái)務(wù)、倉(cāng)庫(kù)、業(yè)務(wù)三個(gè)部門(mén)同時(shí)要遠(yuǎn)程桌面操作第三個(gè)人剛輸完賬號(hào)密碼就被彈出來(lái)“連接被拒絕”。很多人第一反應(yīng)是服務(wù)器性能不行、帶寬不夠其實(shí)都不是。Windows Server 2012 對(duì)遠(yuǎn)程桌面會(huì)話數(shù)有硬性限制默認(rèn)只放行 2 個(gè)并發(fā)管理會(huì)話這是授權(quán)機(jī)制規(guī)定的行為不是系統(tǒng)故障。要讓多用戶遠(yuǎn)程桌面登錄真正跑起來(lái)需要安裝遠(yuǎn)程桌面服務(wù)RDS的角色、配置授權(quán)服務(wù)器再通過(guò)組策略放開(kāi)并發(fā)上限和授權(quán)模式。下面就把原理拆開(kāi)、命令給全適合剛接手 Windows 服務(wù)器、被多用戶并發(fā)登錄卡住又不想繞路的運(yùn)維和管理員。2. 多用戶遠(yuǎn)程桌面登錄的原理與兩種合法方案先搞懂會(huì)話、授權(quán)和許可證2.1 會(huì)話主機(jī)、授權(quán)、網(wǎng)關(guān)三個(gè)角色各管什么先理解 Server 2012 為什么默認(rèn)只讓 2 個(gè)會(huì)話。系統(tǒng)里有一個(gè)“遠(yuǎn)程桌面管理”模式專為管理員維護(hù)設(shè)計(jì)允許最多 2 個(gè)并發(fā)管理會(huì)話不需要任何額外授權(quán)。日常運(yùn)維時(shí)直接用 mstsc 連進(jìn)去做操作用的就是這兩個(gè)名額。但這個(gè)模式的目標(biāo)用戶只有管理員普通業(yè)務(wù)人員想同時(shí)登錄被卡正是撞上了這堵墻。要突破 2 個(gè)名額唯一正規(guī)做法是安裝遠(yuǎn)程桌面服務(wù)Remote Desktop ServicesRDS角色把它從“管理模式”升級(jí)成“會(huì)話模式”。裝完之后服務(wù)器就像多用戶終端入口允許 N 個(gè)用戶同時(shí)建立獨(dú)立桌面會(huì)話共享操作系統(tǒng)和應(yīng)用程序用戶之間互不干擾每個(gè)會(huì)話有獨(dú)立的進(jìn)程和內(nèi)存空間。RDS 按功能拆成多個(gè)角色服務(wù)多用戶登錄場(chǎng)景里打交道最多的是三個(gè)會(huì)話主機(jī)、授權(quán)服務(wù)器、網(wǎng)關(guān)。會(huì)話主機(jī)RD Session Host是多用戶登錄的核心。每個(gè)用戶連上來(lái)后由它建立獨(dú)立會(huì)話、分配資源、隔離操作。裝完它系統(tǒng)才會(huì)真正按多用戶邏輯運(yùn)行。只裝會(huì)話主機(jī)而不配置授權(quán)系統(tǒng)會(huì)進(jìn)入 120 天寬限期寬限期內(nèi)能跑到期后所有客戶端都會(huì)被拒絕。授權(quán)服務(wù)器RD Licensing負(fù)責(zé)發(fā)放 RDP-TCP 終端服務(wù)許可證。它的存在是為了讓使用 RDS 的每一份用戶或設(shè)備都有合法授權(quán)。Vista 之后微軟對(duì)遠(yuǎn)程桌面授權(quán)校驗(yàn)非常嚴(yán)格寬限期一過(guò)客戶端登錄時(shí)就會(huì)彈“由于沒(méi)有遠(yuǎn)程桌面授權(quán)服務(wù)器可以提供許可證”這類(lèi)報(bào)錯(cuò)然后斷開(kāi)連接。網(wǎng)關(guān)RD Gateway解決的是外網(wǎng)穿透問(wèn)題讓遠(yuǎn)程用戶通過(guò)加密通道連進(jìn)內(nèi)網(wǎng)。如果只是局域網(wǎng)內(nèi)部使用網(wǎng)關(guān)可以完全不裝要異地訪問(wèn)再按需增加。絕大多數(shù)中小企業(yè)場(chǎng)景裝會(huì)話主機(jī)加授權(quán)服務(wù)器就夠了網(wǎng)關(guān)后面再補(bǔ)不遲。這里有一個(gè)非常常見(jiàn)的誤用先在系統(tǒng)屬性里勾了“允許遠(yuǎn)程連接到此計(jì)算機(jī)”然后去網(wǎng)上找各種改注冊(cè)表、替換系統(tǒng)文件的辦法來(lái)突破并發(fā)結(jié)果重啟后依然卡 2 個(gè)會(huì)話。根本原因是系統(tǒng)屬性里的開(kāi)關(guān)只打開(kāi)了遠(yuǎn)程桌面功能的入口它管的是“管理模式”這一層多用戶合法并發(fā)的開(kāi)關(guān)在“角色”這一層。不裝會(huì)話主機(jī)角色改再多注冊(cè)表都只是繞過(guò)問(wèn)題而不是解決問(wèn)題一旦系統(tǒng)更新隨時(shí)翻車(chē)。管理會(huì)話和 RDS 會(huì)話還有一個(gè)本質(zhì)差異管理會(huì)話下所有管理員共用同一個(gè)窗口視野和會(huì)話上下文RDS 會(huì)話模式下每個(gè)用戶看到的是自己獨(dú)立的桌面、開(kāi)始菜單、配置文件互不可見(jiàn)。如果你的業(yè)務(wù)場(chǎng)景要求不同角色看到不同應(yīng)用或不同數(shù)據(jù)權(quán)限那只有 RDS 會(huì)話模式能滿足。2.2 按用戶還是按設(shè)備授權(quán)模式怎么選安裝完 RDS面臨第一個(gè)選擇授權(quán)模式。只有兩個(gè)選項(xiàng)每用戶Per User和每設(shè)備Per Device計(jì)費(fèi)對(duì)象完全不同選錯(cuò)會(huì)導(dǎo)致客戶端登錄失敗。每用戶模式下許可證綁定用戶賬戶一個(gè)員工不管換幾臺(tái)電腦登錄都消耗同一張?jiān)搯T工的許可證。適合“一人一臺(tái)固定電腦、但偶爾換終端訪問(wèn)”的公司員工在工位一臺(tái)電腦、出差帶筆記本、偶爾用手機(jī)遠(yuǎn)程許可證跟著人走不用為每臺(tái)設(shè)備額外買(mǎi)。每設(shè)備模式則相反許可證綁定物理設(shè)備一臺(tái)電腦無(wú)論幾個(gè)人用它登錄只消耗一張?jiān)撛O(shè)備的許可證。適合公用終端多的場(chǎng)景比如醫(yī)院值班站、工廠車(chē)間、前臺(tái)公用機(jī)幾班人輪流用各自賬號(hào)登錄同一臺(tái)設(shè)備。授權(quán)模式計(jì)費(fèi)對(duì)象適合場(chǎng)景管理成本每用戶 Per User用戶賬戶一人多終端、人員流動(dòng)大較高需維護(hù)用戶與授權(quán)關(guān)系每設(shè)備 Per Device物理設(shè)備公用終端多、設(shè)備數(shù)量穩(wěn)定較低設(shè)備不換就不管選擇上沒(méi)有絕對(duì)好壞重點(diǎn)是組策略里配置的授權(quán)模式必須和你實(shí)際購(gòu)買(mǎi)的許可證類(lèi)型一致否則即使裝了授權(quán)服務(wù)器客戶端也會(huì)因?yàn)槟Ｊ讲黄ヅ浔痪芙^。我一般建議小公司優(yōu)先選“每設(shè)備”設(shè)備數(shù)量可控許可證管理省心很多。只有明確算過(guò)用戶數(shù)遠(yuǎn)小于設(shè)備數(shù)時(shí)才考慮每用戶。授權(quán)服務(wù)器安裝完成后還需要激活。打開(kāi)“遠(yuǎn)程桌面授權(quán)管理器”對(duì)服務(wù)器執(zhí)行“激活服務(wù)器”按向?qū)崾就ㄟ^(guò)聯(lián)網(wǎng)或電話完成激活激活后繼續(xù)“安裝許可證”輸入采購(gòu)渠道獲得的許可證序列號(hào)。這套動(dòng)作要在正式商用前做完別依賴 120 天寬限期當(dāng)永久許可用。3. 裝好會(huì)話主機(jī)與授權(quán)角色PowerShell 一步安裝和三組必改策略3.1 最小可用的安裝命令I(lǐng)nstall-WindowsFeature安裝 RDS 角色有兩種途徑圖形界面用服務(wù)器管理器命令行用 PowerShell。生產(chǎn)環(huán)境我習(xí)慣用命令行可重復(fù)、可記錄重裝服務(wù)器時(shí)直接跑一遍流程即可不用點(diǎn)點(diǎn)點(diǎn)踩漏項(xiàng)。打開(kāi)管理員 PowerShell 執(zhí)行# 安裝遠(yuǎn)程桌面會(huì)話主機(jī)、授權(quán)角色及配套管理工具完成后自動(dòng)重啟 Install-WindowsFeature RDS-Role-Services, RDS-Licensing -IncludeManagementTools -Restart參數(shù)含義拆開(kāi)說(shuō)RDS-Role-Services會(huì)把遠(yuǎn)程桌面會(huì)話主機(jī)、連接代理等核心角色服務(wù)一次性裝好RDS-Licensing裝授權(quán)服務(wù)器IncludeManagementTools把“遠(yuǎn)程桌面服務(wù)管理器”“遠(yuǎn)程桌面授權(quán)管理器”等圖形工具一并裝上后面激活授權(quán)會(huì)用到-Restart表示安裝結(jié)束自動(dòng)重啟RDS 角色安裝一般都需要重啟生效建議直接帶這個(gè)參數(shù)。如果不想重啟也可以省略-Restart后續(xù)手動(dòng)重啟。但注意不重啟的話部分角色服務(wù)處于“已安裝但未生效”狀態(tài)直接去配組策略會(huì)看到并發(fā)數(shù)仍不生效容易白忙一場(chǎng)。裝完重啟后確認(rèn)角色狀態(tài)# 查看 RDS 角色安裝情況 Get-WindowsFeature RDS-Role-Services, RDS-Licensing | Select-Object Name, InstallStateInstallState顯示Installed說(shuō)明角色就位顯示Available說(shuō)明沒(méi)裝成功。常見(jiàn)原因是缺少 .NET Framework 或 IIS 相關(guān)組件先補(bǔ)裝依賴再重試。3.2 組策略三件套并發(fā)數(shù)、授權(quán)模式、許可證服務(wù)器地址角色裝完真正的多用戶開(kāi)關(guān)在組策略里。打開(kāi)運(yùn)行框輸入gpedit.msc路徑計(jì)算機(jī)配置 → 管理模板 → Windows 組件 → 遠(yuǎn)程桌面服務(wù) → 遠(yuǎn)程桌面會(huì)話主機(jī) → 連接。第一個(gè)必改項(xiàng)是“限制連接的數(shù)量”。啟用后填入并發(fā)數(shù)量比如 8。這里的數(shù)量指同時(shí)允許的遠(yuǎn)程會(huì)話總數(shù)超過(guò)后新連接會(huì)被拒絕。按實(shí)際同時(shí)在線人數(shù)估算留一點(diǎn)余量比如日常 5 人同時(shí)用就填 6 或 8。第二個(gè)必改項(xiàng)是“使用指定的遠(yuǎn)程桌面許可證服務(wù)器”。啟用后填本機(jī)計(jì)算機(jī)名或 IP比如SRV2012-RDS或192.168.1.10。這條策略是給客戶端指路許可證去哪領(lǐng)。不填的話客戶端永遠(yuǎn)找不到授權(quán)服務(wù)器即便授權(quán)角色已經(jīng)裝好。第三個(gè)必改項(xiàng)是“設(shè)置遠(yuǎn)程桌面授權(quán)模式”。啟用后選“按用戶”或“按設(shè)備”必須和實(shí)際購(gòu)買(mǎi)的許可證類(lèi)型一致。改完執(zhí)行g(shù)pupdate /force讓策略立即生效。如果你這臺(tái)服務(wù)器加入了域注意域組策略“計(jì)算機(jī)配置 → 管理模板 → 遠(yuǎn)程桌面服務(wù)”下的設(shè)置會(huì)覆蓋本地策略改完本地設(shè)置后要用rsop.msc查看最終生效的策略值避免域策略壓著本地配置導(dǎo)致不生效。3.3 用戶權(quán)限與防火墻讓指定的人能進(jìn)來(lái)還有兩個(gè)容易漏的配置用戶組和防火墻。遠(yuǎn)程桌面默認(rèn)只允許管理員組登錄。要開(kāi)放給普通員工需要把賬戶加入Remote Desktop Users組# 把域內(nèi)用戶 ops01 加入遠(yuǎn)程桌面用戶組 net localgroup Remote Desktop Users DOMAIN\ops01 /add本機(jī)用戶則直接寫(xiě)用戶名net localgroup Remote Desktop Users ops01 /add不加這一步用戶輸入正確密碼也會(huì)被拒事件日志里會(huì)記錄“由于賬戶限制登錄失敗”。很多人折騰半天防火墻和端口最后發(fā)現(xiàn)是這行權(quán)限沒(méi)給。防火墻一側(cè)Server 2012 默認(rèn)對(duì)遠(yuǎn)程桌面服務(wù)3389端口的入站規(guī)則是啟用的但如果你自定義過(guò)防火墻策略可能被覆蓋。手動(dòng)確認(rèn)并放行# 開(kāi)啟遠(yuǎn)程桌面入站規(guī)則 Set-NetFirewallRule -DisplayName 遠(yuǎn)程桌面 -Enabled True如果只想讓指定網(wǎng)段訪問(wèn)不要開(kāi)“全部”。在 Windows 防火墻高級(jí)設(shè)置里把遠(yuǎn)程桌面規(guī)則的“遠(yuǎn)程地址”改為指定 IP 或子網(wǎng)如192.168.10.0/24能顯著減少被掃描爆破的暴露面。新手最容易犯的錯(cuò)誤是所有配置改完直接在自己電腦上mstsc連過(guò)去連不上就一遍遍懷疑配置沒(méi)生效其實(shí)是因?yàn)闆](méi)有執(zhí)行g(shù)pupdate /force刷新策略。改完組策略一定先刷新再用rsop.msc驗(yàn)證策略已經(jīng)應(yīng)用再去試連接順序別反。4. 多用戶遠(yuǎn)程桌面登錄的避坑排查四個(gè)高頻問(wèn)題現(xiàn)象到解決4.1 彈窗“由于沒(méi)有遠(yuǎn)程桌面授權(quán)服務(wù)器可以提供許可證登錄失敗”現(xiàn)象客戶端輸入賬號(hào)密碼后屏幕一黑隨即退出彈窗提示“由于沒(méi)有遠(yuǎn)程桌面授權(quán)服務(wù)器可以提供許可證登錄失敗”。原因授權(quán)服務(wù)器沒(méi)裝、沒(méi)激活或者組策略里沒(méi)指定許可證服務(wù)器地址。很多人的服務(wù)器半年前裝完 RDS 一直跑得好好的某一天突然全員登不進(jìn)去大概率是 120 天寬限期到了系統(tǒng)開(kāi)始強(qiáng)制校驗(yàn)許可證。解決先在 PowerShell 里確認(rèn)授權(quán)角色在不在# 確認(rèn)授權(quán)角色已裝 Get-WindowsFeature RDS-Licensing | Select-Object InstallState然后打開(kāi)“遠(yuǎn)程桌面授權(quán)管理器”對(duì)服務(wù)器右鍵選擇“激活服務(wù)器”按向?qū)崾就瓿杉せ?。激活后繼續(xù)“安裝許可證”輸入采購(gòu)獲得的許可證序列號(hào)?；氐浇M策略確認(rèn)“使用指定的遠(yuǎn)程桌面許可證服務(wù)器”里的地址和本機(jī)名稱一致再執(zhí)行g(shù)pupdate /force。如果服務(wù)器名稱改過(guò)授權(quán)管理器里顯示的服務(wù)器名也會(huì)變組策略里的地址要同步更新。4.2 只允許兩個(gè)并發(fā)第三個(gè)用戶連不上現(xiàn)象兩個(gè)會(huì)話在線時(shí)第三個(gè)用戶連接一直轉(zhuǎn)圈或直接提示連接被拒絕。原因角色沒(méi)裝成功。最常見(jiàn)的畫(huà)面組策略里并發(fā)數(shù)是 10但服務(wù)器上根本沒(méi)裝 RD Session Host系統(tǒng)還是默認(rèn) 2 個(gè)管理會(huì)話模式。組策略里的“限制連接的數(shù)量”只對(duì)啟用了 RDS 角色后的會(huì)話主機(jī)生效不裝角色改多少都白搭。解決查角色狀態(tài)如果RDS-Role-Services不是Installed回到第 3 章重裝并重啟。裝完后用以下命令驗(yàn)證當(dāng)前會(huì)話qwinsta如果輸出里能同時(shí)列出 3 個(gè) Active 會(huì)話說(shuō)明會(huì)話主機(jī)生效了。注意這里測(cè)試要用不同用戶賬戶登錄同一個(gè)用戶重復(fù)登錄有時(shí)會(huì)被系統(tǒng)定向到已有會(huì)話顯示不出來(lái)增長(zhǎng)。4.3 客戶端報(bào) ActiveX 控件錯(cuò)誤rdclientax.dll 加載失敗現(xiàn)象用戶從瀏覽器訪問(wèn)遠(yuǎn)程桌面 Web 訪問(wèn)頁(yè)面時(shí)頁(yè)面報(bào)“無(wú)法加載遠(yuǎn)程桌面服務(wù) ActiveX 控件。請(qǐng)確保 rdclientax.dll 在路徑中”。原因這個(gè)問(wèn)題不在服務(wù)器側(cè)在發(fā)起連接的客戶端機(jī)上。TS Web 通過(guò)瀏覽器里的 ActiveX 控件拉起遠(yuǎn)程桌面連接客戶端系統(tǒng)更新、IE 設(shè)置被改或控件注冊(cè)信息丟失后這個(gè) dll 就找不到了。解決在客戶端機(jī)器上用管理員權(quán)限打開(kāi)命令提示符重新注冊(cè)控件regsvr32 C:\Windows\System32\rdclientax.dll注冊(cè)成功后關(guān)掉瀏覽器重新訪問(wèn)。還不行就檢查 IE 兼容性視圖設(shè)置把內(nèi)網(wǎng)地址加入受信任站點(diǎn)。更省事的方案是放棄網(wǎng)頁(yè)入口直接用mstsc客戶端連接客戶端直連完全不依賴 ActiveX穩(wěn)定性高得多。排查這類(lèi)問(wèn)題先分清是服務(wù)器問(wèn)題還是客戶端問(wèn)題別拿著客戶端報(bào)錯(cuò)去服務(wù)器上查半天浪費(fèi)時(shí)間。4.4 會(huì)話掛死不釋放新用戶登錄越來(lái)越卡現(xiàn)象有人正常點(diǎn)“斷開(kāi)連接”走人了但qwinsta里他的會(huì)話一直是“已連接”或“運(yùn)行中”CPU 和內(nèi)存占用居高不下新用戶一登錄就卡。原因斷開(kāi)的連接沒(méi)有真正注銷(xiāo)。常見(jiàn)觸發(fā)因素客戶端電腦直接拔網(wǎng)線、睡眠喚醒、遠(yuǎn)程會(huì)話里的應(yīng)用不響應(yīng)退出信號(hào)。會(huì)話主機(jī)默認(rèn)保留斷開(kāi)的會(huì)話不會(huì)主動(dòng)回收。解決臨時(shí)處理方法是用管理員身份登錄服務(wù)器執(zhí)行l(wèi)ogoff 2把編號(hào)為 2 的會(huì)話強(qiáng)制注銷(xiāo)。長(zhǎng)期解法是給會(huì)話主機(jī)配置空閑會(huì)話超時(shí)策略第 5 章會(huì)詳細(xì)說(shuō)。讓系統(tǒng)在用戶離開(kāi)一段時(shí)間后自動(dòng)注銷(xiāo)會(huì)話既釋放授權(quán)額度又釋放內(nèi)存資源。還有一條經(jīng)驗(yàn)每個(gè) RDS 會(huì)話都是獨(dú)立的資源占用單元跑業(yè)務(wù)軟件的會(huì)話掛死占用的內(nèi)存往往比活躍會(huì)話更頑固。遇到并發(fā)數(shù)高、內(nèi)存不足的機(jī)器先看qwinsta別盲目加內(nèi)存。5. 多用戶登錄之后的會(huì)話控制與安全策略把并發(fā)從“能用”做到“穩(wěn)”5.1 會(huì)話超時(shí)與自動(dòng)斷開(kāi)三個(gè)必調(diào)時(shí)間參數(shù)多用戶登錄能用和穩(wěn)定是兩回事。默認(rèn)配置下用戶會(huì)話斷開(kāi)后不會(huì)自動(dòng)注銷(xiāo)空閑會(huì)話也沒(méi)有時(shí)間上限這會(huì)導(dǎo)致兩個(gè)問(wèn)題持續(xù)占用許可證額度、持續(xù)消耗服務(wù)器內(nèi)存。對(duì)于只有 8 個(gè)并發(fā)會(huì)話的小服務(wù)器兩三個(gè)僵尸會(huì)話就能讓新用戶擠不上來(lái)。在組策略里路徑仍是“計(jì)算機(jī)配置 → 管理模板 → Windows 組件 → 遠(yuǎn)程桌面服務(wù) → 遠(yuǎn)程桌面會(huì)話主機(jī) → 會(huì)話時(shí)間限制”。三個(gè)參數(shù)我一般都會(huì)調(diào)。第一個(gè)是“設(shè)置活動(dòng)但空閑的遠(yuǎn)程桌面服務(wù)會(huì)話的時(shí)間限制”。默認(rèn)是“從不”啟用后從下拉框選“30 分鐘”。它的含義是用戶鍵盤(pán)鼠標(biāo)停止操作多少分鐘后系統(tǒng)把會(huì)話置為“已斷開(kāi)”但不注銷(xiāo)用戶的應(yīng)用狀態(tài)。適合處理人離開(kāi)后忘記斷開(kāi)的場(chǎng)景。第二個(gè)是“設(shè)置已斷開(kāi)會(huì)話的時(shí)間限制”。選“5 分鐘”或“10 分鐘”。它控制的是會(huì)話被置為斷開(kāi)狀態(tài)后多久強(qiáng)制注銷(xiāo)這個(gè)會(huì)話釋放占用的內(nèi)存和許可證。第三個(gè)是“達(dá)到時(shí)間限制時(shí)終止會(huì)話”。選“啟用”。它和上面兩條聯(lián)動(dòng)確保超時(shí)后的處置是“終止”而不是“僅提示”。三個(gè)參數(shù)組合起來(lái)就是空閑 30 分鐘 → 斷開(kāi)斷開(kāi) 10 分鐘 → 注銷(xiāo)。這樣用戶臨時(shí)離開(kāi)不丟工作狀態(tài)長(zhǎng)時(shí)間離開(kāi)則釋放資源并發(fā)數(shù)不容易被占光。策略推薦值作用活動(dòng)但空閑的會(huì)話時(shí)間限制30 分鐘空閑觸發(fā)會(huì)話斷開(kāi)已斷開(kāi)會(huì)話的時(shí)間限制10 分鐘斷開(kāi)后強(qiáng)制注銷(xiāo)達(dá)到時(shí)間限制時(shí)終止會(huì)話啟用保證超時(shí)策略真正執(zhí)行這套參數(shù)適合大多數(shù)內(nèi)部業(yè)務(wù)系統(tǒng)。如果業(yè)務(wù)場(chǎng)景要求用戶掛機(jī)一整天不退出比如車(chē)間電子看板那就不宜設(shè)太短的空閑超時(shí)否則看板會(huì)頻繁掉線。按業(yè)務(wù)屬性分服務(wù)器配置才是合理的做法。5.2 多用戶的端口加固與登錄審計(jì)只留必要入口多用戶遠(yuǎn)程桌面登錄意味著訪問(wèn)機(jī)會(huì)變多安全策略要跟上。核心思路默認(rèn) 3389 端口太容易被掃描能改就改改端口后把防火墻放行規(guī)則限定到具體來(lái)源。修改遠(yuǎn)程桌面端口需要?jiǎng)幼?cè)表# 把遠(yuǎn)程桌面端口改為 13389 Set-ItemProperty -Path HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp -Name PortNumber -Value 13389 Restart-Service TermService -Force改完之后客戶端連接地址從192.168.1.10變成192.168.1.10:13389。同時(shí)要在防火墻里放行新端口并禁用舊規(guī)則# 放行自定義 RDP 端口并禁用默認(rèn)規(guī)則 New-NetFirewallRule -DisplayName RDP-Custom -Direction Inbound -Protocol TCP -LocalPort 13389 -Action Allow Disable-NetFirewallRule -DisplayName 遠(yuǎn)程桌面如果訪問(wèn)來(lái)源固定給New-NetFirewallRule加上-RemoteAddress參數(shù)比如-RemoteAddress 192.168.10.0/24這樣連掃描的機(jī)會(huì)都不留。端口改動(dòng)后記得在客戶端測(cè)試一次連接確認(rèn)能通再批量推廣。賬號(hào)策略同樣重要。遠(yuǎn)程桌面是暴力破解的常見(jiàn)目標(biāo)管理員賬號(hào)務(wù)必用強(qiáng)密碼或者禁用本地 Administrator改用指定運(yùn)維賬號(hào)。本地安全策略里在“用戶權(quán)限分配 → 允許通過(guò)遠(yuǎn)程桌面服務(wù)登錄”中只保留明確名單不給其他用戶留下登錄權(quán)限。這一步能防止有人私下把自己加入 Remote Desktop Users 組。登錄審計(jì)也別落下。在服務(wù)器事件查看器里開(kāi)啟“Windows 日志 → 安全”的登錄事件審核每天掃一眼 4624登錄成功和 4625登錄失敗事件能從日志里快速發(fā)現(xiàn)異常訪問(wèn)。多用戶場(chǎng)景下登錄日志量大直接篩選事件 ID 看明顯異常比逐個(gè)翻日志高效得多。最后強(qiáng)調(diào)一點(diǎn)不要試圖繞過(guò)授權(quán)機(jī)制。網(wǎng)上那些改文件、裝補(bǔ)丁繞掉授權(quán)限制的做法短期看似省錢(qián)但服務(wù)器在非授權(quán)狀態(tài)下運(yùn)行補(bǔ)丁更新、系統(tǒng)重啟后隨時(shí)可能翻車(chē)客戶端報(bào)授權(quán)錯(cuò)誤的排查成本遠(yuǎn)高于規(guī)規(guī)矩矩裝授權(quán)的成本。我見(jiàn)過(guò)不止一次客戶為省幾百塊用旁門(mén)左道最后在關(guān)鍵業(yè)務(wù)日被授權(quán)彈窗打停。6. 從 2 個(gè)并發(fā)跑到 20 個(gè)會(huì)話狀態(tài)檢查與一次到位的小技巧先說(shuō)說(shuō)如何快速驗(yàn)證配置真正生效。在服務(wù)器上執(zhí)行qwinsta能看到當(dāng)前所有會(huì)話編號(hào)、用戶名、狀態(tài)。多開(kāi)幾個(gè)遠(yuǎn)程桌面客戶端窗口用不同賬號(hào)依次登錄每登錄一個(gè)就回來(lái)看一眼qwinsta如果各賬號(hào)都得到獨(dú)立的 Active 會(huì)話說(shuō)明會(huì)話主機(jī)和組策略都正常。這個(gè)驗(yàn)證動(dòng)作放最后做前面配置有問(wèn)題時(shí)這一步不用測(cè)也知道會(huì)失敗。批量添加用戶時(shí)寫(xiě)一個(gè)循環(huán)腳本比逐個(gè)點(diǎn)界面高效# 批量把多個(gè)用戶加入 Remote Desktop Users $users (ops01,ops02,ops03,ops04) foreach ($u in $users) { net localgroup Remote Desktop Users $env:COMPUTERNAME\$u /add } Write-Host done腳本里$env:COMPUTERNAME自動(dòng)替換成當(dāng)前服務(wù)器名適合本機(jī)用戶如果是域用戶把$env:COMPUTERNAME\$u換成DOMAIN\$u。添加后用戶下次登錄立即生效無(wú)需重啟。我自己的習(xí)慣是每次配置完遠(yuǎn)程桌面先在“遠(yuǎn)程桌面授權(quán)管理器”里確認(rèn)服務(wù)器狀態(tài)是“已激活”再到“遠(yuǎn)程桌面服務(wù)管理器”里確認(rèn)會(huì)話主機(jī)能正常枚舉會(huì)話最后才檢驗(yàn)組策略的并發(fā)數(shù)。這個(gè)順序別搞反否則很容易出現(xiàn)“并發(fā)數(shù)改到 10 但授權(quán)沒(méi)激活120 天后全員彈窗”的狀況——這是我在真機(jī)上踩過(guò)最大的一個(gè)坑半夜被叫起來(lái)補(bǔ)激活從那以后我固定先激活授權(quán)再談并發(fā)希望幫到你。本文還有配套的精品資源點(diǎn)擊獲取