问题是什么
RDP 连不上按层排查最省时间：网络可达、端口监听、防火墙、服务状态、认证授权。客户端提示的文案是关键线索——连接超时指向网络或防火墙丢包，连接被拒绝指向端口未监听或服务停止，凭据不工作指向认证与授权，分层判断能避免盲目重启。
基本信息
| 适用平台 | Windows Server 2008 R2 及以后、Windows 10/11 |
|---|---|
| 涉及端口 | 3389/TCP（可改端口，改后云安全组与防火墙都要同步） |
| 关键组件 | TermService 服务、RDP-Tcp 监听器、Remote Desktop Users 组 |
| 常见干扰 | NLA 与旧客户端不兼容、证书不匹配、许可或会话数受限 |
排查五步
- 1. 网络可达：ping 与 Test-NetConnection 目标 -Port 3389，云主机先看安全组
- 2. 端口监听：目标机 Get-NetTCPConnection -LocalPort 3389 -State Listen
- 3. 防火墙：核对远程桌面规则与当前网络配置文件类别
- 4. 服务与监听器：Get-Service TermService，检查 RDP-Tcp 配置是否被改
- 5. 认证授权：账号是否在 Remote Desktop Users 组、NLA 与证书是否匹配
常用示例
常用示例
Test-NetConnection srv01 -Port 3389 # 从客户端侧测端口
# 以下在目标机上执行
Get-NetTCPConnection -LocalPort 3389 -State Listen # 端口是否真的在监听
Get-Service TermService # RDP 主服务状态
Get-NetFirewallRule -DisplayGroup '*Remote Desktop*' | Select-Object DisplayName, Enabled, Profile
Get-LocalGroupMember -Group 'Remote Desktop Users' # 授权用户清单
Get-NetConnectionProfile # 网络类别是否覆盖了规则报错文案读法
| 症状 | 指向的层 | 处置方向 |
|---|---|---|
| 连接超时 | 网络或防火墙丢弃 | 查路由、云安全组、防火墙丢弃规则 |
| 连接被拒绝 | 端口未监听或服务停止 | 查 TermService 与 RDP-Tcp 监听器 |
| 凭据不工作 | 认证与授权 | 用户名格式、组成员、密码与锁定状态 |
| 内部错误 | 证书或 NLA | 核对证书，临时关闭 NLA 做对照验证 |
| 能连但黑屏或掉线 | 会话与资源 | 查会话数、配置文件与事件日志 |
“凭据不工作”多为用户名格式（域\账号）或域不可达，“内部错误”常与证书、NLA、许可有关；两者处置路径不同，不要混成同一类问题处理。
为兼容旧客户端而全局关闭 NLA 会同时降低安全性，正确顺序是先升级客户端或中间网关，再考虑调整 NLA。