Удалённый рабочий стол не подключается: как различить редакцию Windows, службу, порт и брандмауэр

Определите, какой компьютер должен принимать подключение

Для RDP нужны клиент, с которого подключаются, и хост, принимающий сеанс. Windows 11 Home может быть клиентом, но не является штатным RDP-хостом. Принимать такие подключения могут Pro, Enterprise и Education. Проверять редакцию нужно на удалённом компьютере, а не только на ноутбуке пользователя. ^[1]

Инструкция ниже относится к прямому подключению через «Подключение к удалённому рабочему столу» — mstsc.exe — внутри доверенной сети или через VPN. У RD Gateway, Azure Virtual Desktop и опубликованных корпоративных рабочих мест есть дополнительные узлы. Их нельзя диагностировать только проверкой 3389 до конечного ПК.

Если хост выключен, спит или потерял сеть, настройка клиента его не разбудит автоматически. Обеспечьте локальный доступ к принимающему ПК или помощь человека рядом с ним, прежде чем менять параметры доступа.

Разрешите RDP штатным переключателем

На хосте откройте Параметры → Система → Удалённый рабочий стол. Включите доступ, подтвердите действие и запишите имя компьютера. В списке пользователей добавьте только нужные записи. Изменение выполняют с правами администратора. ^[1]

Убедитесь, что пользователь имеет пароль и право удалённого входа. PIN Windows Hello, которым вы разблокируете свой ноутбук, не следует автоматически считать паролем удалённой учётной записи. Для доменных и облачных записей формат имени и метод входа зависят от среды; уточните их у администратора.

Оставьте аутентификацию на уровне сети NLA включённой. Если сообщение указывает на аутентификацию, сначала проверяют запись, доверие и время, а не выключают NLA. Политика «запретить вход через службы удалённых рабочих столов» способна запретить доступ даже при наличии записи в разрешённой группе.

На хосте проверьте службу и фактический порт

В PowerShell принимающего ПК:

Get-Service TermService, UmRdpService
$RdpPort = (Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp').PortNumber
$RdpPort
Get-NetTCPConnection -State Listen -LocalPort $RdpPort |
  Select-Object LocalAddress, LocalPort, OwningProcess
qwinsta

По умолчанию RDP использует 3389, но значение могли изменить. Служба в состоянии Running не гарантирует наличие нужного слушателя. Get-NetTCPConnection показывает слушающий TCP-порт и PID; qwinsta отображает сеансы и слушатели. Отсутствие подходящего TCP-объекта может вызвать сообщение «не найдено» — это наблюдение, а не приглашение пересоздать реестр. ^{[2], [3], [4]}

Проверьте PID через Диспетчер задач или tasklist /svc, если порт занят неожиданным процессом. Серверное руководство содержит и восстановительные операции со слушателем; их не нужно переносить на обычный Windows 11 без подтверждённой причины.

С клиента проверьте именно адрес и порт хоста

В PowerShell клиентского компьютера:

Test-NetConnection -ComputerName pc.example -Port 3389 -InformationLevel Detailed

Замените имя и при необходимости порт фактическими. Убедитесь, что RemoteAddress соответствует хосту, а InterfaceAlias — ожидаемой сети или VPN. При нескольких адресах сохраните выбранный. TcpTestSucceeded=True подтверждает TCP-доступность, но не вход пользователя и не весь обмен RDP. ^[5]

Если по реальному IP порт доступен, а по имени нет, разберите DNS. Если он доступен из одной подсети и недоступен из другой, проверяйте маршрутизатор и межсетевые правила между ними. Успех локального слушателя на хосте не означает, что пакеты клиента достигают его.

Посмотрите профиль сети и действующее правило брандмауэра

На хосте можно прочитать профиль и встроенное TCP-правило:

Get-NetConnectionProfile
Get-NetFirewallRule -PolicyStore ActiveStore -Name 'RemoteDesktop-UserMode-In-TCP' |
  Format-List Name, Enabled, Direction, Action, Profile
Get-NetFirewallRule -PolicyStore ActiveStore -Name 'RemoteDesktop-UserMode-In-TCP' |
  Get-NetFirewallPortFilter |
  Format-List Protocol, LocalPort

Имя встроенного правила обычно стабильно, но управляемые среды могут использовать другие правила. При отсутствии совпадения откройте wf.msc и проверьте действующие входящие правила RDP: порт, профиль, адреса, разрешение или блокировку и источник политики. Не включайте все правила со словом Remote наугад. ^{[6], [7], [8]}

Правило только для Private не сработает в Public. Однако переводить общественную сеть в частную ради доступа не следует. Разрешение должно соответствовать доверенной сети и ограниченному источнику. При стороннем брандмауэре учитывают его политику; выключать всю защиту для проверки не требуется.

Помимо порта проверьте допустимые удалённые адреса в свойствах правила. Разрешение только домашней подсети может не включать адрес клиента из VPN. Активное разрешающее правило не исключает отдельного блокирующего правила. Поэтому нужно оценивать итоговую политику, а не один зелёный значок в списке.

Если TCP проходит, исследуйте отказ входа

Откройте mstsc.exe и укажите то же имя, к которому проверяли доступ. Для нестандартного порта используют вид pc.example:3390, где 3390 заменяют фактическим. Сохраните полный текст и код ошибки, время и имя записи без пароля.

На хосте откройте журналы Microsoft → Windows → TerminalServices-RemoteConnectionManager и TerminalServices-LocalSessionManager, если они присутствуют. На клиенте ищите журнал RDPClient. Сопоставляйте события с одной попыткой, а не только с номером события из чужой инструкции.

Проверьте запреты входа и групповые политики. Чтобы сохранить отчёт о применённых политиках на управляемом хосте, администратор может выполнить gpresult /h C:\Iz90Diag\gpresult.html, заранее создав папку. Отчёт может содержать сведения об организации; передавайте его адресно. ^{[2], [9]}

Как подтвердить исправление

Слушатель работает на ожидаемом порту хоста, клиент достигает именно этого адреса, правило разрешает доступ из нужной сети, а разрешённая учётная запись успешно открывает сеанс. Проверьте повторное подключение после штатного выхода или отключения, понимая разницу между ними.

Для доступа извне используйте согласованный VPN или шлюз организации. Публикация 3389 на домашнем маршрутизаторе не требуется для этой диагностики. Если TCP работает, но вход отклонён, передайте администратору журналы попытки и применённые политики, а не меняйте порт в надежде исправить пароль.