启用远程桌面
启用远程桌面通常分三步：在注册表里打开远程桌面开关并保持网络级别身份验证开启、在防火墙放行远程桌面规则、把需要登录的账号加入远程桌面用户组。三步缺一不可，只做其中一步的结果都是“连不上”。
基本信息
| 适用平台 | Windows 客户端与服务器，命令与路径基本通用 |
|---|---|
| 注册表位置 | HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server |
| 开关含义 | fDenyTSConnections 为 0 表示允许远程连接，1 表示拒绝 |
| 防火墙 | 启用“远程桌面”显示组规则，对应 TCP 3389 |
| 授权组 | Remote Desktop Users 决定谁能远程登录 |
| 版本限制 | 家庭版 Windows 不能作为被远程的一方 |
典型使用场景
- 新装服务器需要远程管理，减少上机操作
- 临时开启远程协助，用完及时关闭并记录
- 排查连不上：确认注册表、防火墙与授权组三步是否都到位
- 按最小权限原则只授予指定账号远程登录权
- 把配置固化成脚本，在多台机器上一致地启用
常用示例
常用示例
# 第一步：允许远程桌面连接
Set-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server' -Name fDenyTSConnections -Value 0
# 第二步：放行防火墙的远程桌面显示组
Enable-NetFirewallRule -DisplayGroup 'Remote Desktop'
# 第三步：授权账号远程登录
Add-LocalGroupMember -Group 'Remote Desktop Users' -Member 'ops01'
# 验证本机监听已就绪
Test-NetConnection localhost -Port 3389
# 查看当前开关状态
Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server' -Name fDenyTSConnections三步与验证
| 步骤 | 操作 | 验证方式 |
|---|---|---|
| 打开开关 | fDenyTSConnections 置 0 | 读注册表值确认为 0 |
| 放行防火墙 | 启用远程桌面规则 | 列出规则确认已启用 |
| 授权账号 | 加入远程桌面用户组 | 查看组成员列表 |
| 连接测试 | 从另一台机器发起连接 | 远程桌面客户端或端口连通测试 |
| 关闭回退 | 不再需要时恢复原设置 | 保留原值以便还原 |
远程桌面直接暴露到公网等于把暴力破解当作日常，应优先通过 VPN、堡垒机或网关接入，并启用网络级别身份验证与多因素认证，同时开启登录审计。
远程登录权限挂在远程桌面用户组上；把账号加进管理员组也能登录，但那等于同时授予最高权限，通常并不是本意。