客户端 Test-NetConnection host -Port 3389 成功，但 RDP 仍连不上，应该继续查哪几层？

端口通只证明 TCP 可达。继续查 3389 是否由 TermService 监听、防火墙是否只放行部分来源、TLS 证书是否有效、NLA/CredSSP 与账户授权是否通过，以及会话和 RDS 授权是否受限。

fDenyTSConnections、UserAuthentication、PortNumber、SSLCertificateSHA1Hash 分别表示什么？

分别表示是否禁止 RDP 连接、是否要求网络级身份验证、监听端口、RDP 监听器绑定的证书指纹。前三个决定能否建立连接，最后一个影响 TLS 握手。

为什么不应该把关闭 NLA 当作 CredSSP 报错的长期修复方案？

关闭 NLA 会让未认证客户端也能建立会话，扩大攻击面。正确做法是修复两端更新、时间偏差、域信任和证书链；关闭只适合隔离环境中的短期验证，并应立即恢复。

系统学习 故障排查学习路径：从方法论到系统、网络、数据库与 K8s

windows-rdp-failed

远程桌面连不上、登录被拒或登录后立刻断开的定位与修复。

现象

客户端报“无法连接到远程计算机”“由于网络错误，连接被中断”“身份验证错误，要求的函数不受支持”或直接停在“正在配置远程会话”。也可能能弹出登录框但凭据被拒，登录后黑屏、只剩壁纸，或者几秒后自动断开。同一台主机常常表现为：内网能连、外网不能连，IP 能连、主机名不能连，或者只有部分账号能连。

RDP 故障要按层次看：网络可达性、3389 监听、防火墙、TLS 与 NLA、账户授权、会话与授权服务器。先用一条命令确认端口是否可达，再决定是查网络还是查主机配置，能避免在错误的方向上反复重启服务。

快速定位

在客户端测试端口，在目标主机检查服务和监听：

Test-NetConnection <host> -Port 3389
Get-Service TermService,UmRdpService,SessionEnv,UserManager | Format-Table Name,Status,StartType
Get-NetTCPConnection -LocalPort 3389 -State Listen -ErrorAction SilentlyContinue
netstat -ano | findstr :3389

确认 RDP 是否启用、端口/NLA/证书绑定，以及防火墙规则：

Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server' -Name fDenyTSConnections
Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' |
  Select-Object PortNumber,UserAuthentication,SecurityLayer,SSLCertificateSHA1Hash
Get-NetFirewallRule -Name 'RemoteDesktop*' | Format-Table Name,DisplayName,Enabled,Direction,Action
Get-NetFirewallProfile | Format-Table Name,Enabled,DefaultInboundAction

查看会话、账户和证书。内置“远程桌面用户”组名会随系统语言变化，用 SID 查询更稳：

qwinsta
Get-LocalGroup -SID S-1-5-32-555 | Get-LocalGroupMember
Get-ChildItem 'Cert:\LocalMachine\Remote Desktop' |
  Format-List Subject,NotAfter,Thumbprint,HasPrivateKey
w32tm /query /status

服务端事件日志能区分“没连上”和“连上但登录失败”：

Get-WinEvent -LogName 'Microsoft-Windows-TerminalServices-LocalSessionManager/Operational' -MaxEvents 30 |
  Format-Table TimeCreated,Id,Message -Wrap
Get-WinEvent -LogName 'Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational' -MaxEvents 30 |
  Format-Table TimeCreated,Id,Message -Wrap

常见根因

RDP 被关闭（fDenyTSConnections=1），或 TermService 被禁用、启动失败，导致 3389 没有监听。
Windows 防火墙、云安全组、NAT 端口映射或 VPN 策略没有放行 3389；也可能改过端口但防火墙仍放行旧端口。
账户不在“远程桌面用户”组，被“拒绝通过远程桌面服务登录”策略拦截，或密码过期、账户锁定。
NLA/CredSSP 不匹配：两端补丁状态差异、客户端时间偏差过大、域信任或证书链异常。
RDP 监听证书过期、私钥缺失，或替换证书后绑定错误，TLS 握手失败。
会话或授权受限：管理会话达到两个并发上限、RDS 授权模式与许可证服务器不匹配，或旧会话占满。
登录后黑屏或立刻断开，常与用户配置文件、Shell、显卡驱动或组策略启动脚本有关。

修复

被关闭的 RDP 可以这样恢复，改完确认防火墙规则确实启用：

Set-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server' -Name fDenyTSConnections -Value 0
Set-Service TermService -StartupType Automatic
Start-Service TermService
Set-NetFirewallRule -Name 'RemoteDesktop-UserMode-In-TCP' -Enabled True
Set-NetFirewallRule -Name 'RemoteDesktop-UserMode-In-UDP' -Enabled True

如果规则名不存在，说明防火墙规则被策略删除或改名，应从 GPO 或安全软件侧恢复，不要只新建一条同名规则绕过管理。云主机还要检查安全组和 NAT 映射。客户端 Test-NetConnection 失败、服务端却能看到 3389 监听时，问题更可能在中间链路或访问策略；客户端端口测试成功但 RDP 仍失败时，则应转向 TLS、NLA、账户授权和会话层。

账户被拒时，把用户加入远程桌面用户组，并检查本地安全策略中的“拒绝通过远程桌面服务登录”：

Add-LocalGroupMember -SID S-1-5-32-555 -Member 'DOMAIN\user'

组名随语言变化时用 SID 可避免误操作。域账户还要确认未被禁用、锁定或密码过期；登录失败可在安全日志中查 4625，成功登录查 4624，再结合上面两个 RDP 操作日志定位。

NLA 报错优先修根因：校准两端时间、安装受支持的更新、确认域信任和证书链。临时关闭 NLA 会降低安全性，也会断开现有会话，只能在隔离环境短期验证：

Set-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name UserAuthentication -Value 0
Restart-Service TermService -Force

验证后应立即改回 1。证书问题先用上面的命令检查有效期和私钥；证书过期应续期或通过证书管理单元重新导入。若要清除绑定让 RDP 重建自签名证书，先导出注册表项，再删除 SSLCertificateSHA1Hash 并重启 TermService，此操作会断开在线会话，且组策略可能重新下发旧证书。

端口被改过时，客户端要带端口连接（如 mstsc /v:host:3390）。修改监听端口需同步防火墙和云安全组，并重启服务：

Set-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name PortNumber -Value 3390
New-NetFirewallRule -DisplayName 'RDP 3390' -Direction Inbound -Protocol TCP -LocalPort 3390 -Action Allow
Restart-Service TermService -Force

会话占满时先用 qwinsta 看清状态，再用 logoff <ID> 注销闲置会话；不要直接重置控制台会话。RDS 场景用 lsdiag.msc 检查授权诊断，核对授权模式、许可证服务器和 CAL。管理用途的远程桌面最多两个并发会话，超过限制时应改用正规 RDS 授权，而不是反复重连。

参考链接

读完自测

合上页面，先回答，再展开对照。

客户端 Test-NetConnection host -Port 3389 成功，但 RDP 仍连不上，应该继续查哪几层？
fDenyTSConnections、UserAuthentication、PortNumber、SSLCertificateSHA1Hash 分别表示什么？
为什么不应该把关闭 NLA 当作 CredSSP 报错的长期修复方案？

答案

端口通只证明 TCP 可达。继续查 3389 是否由 TermService 监听、防火墙是否只放行部分来源、TLS 证书是否有效、NLA/CredSSP 与账户授权是否通过，以及会话和 RDS 授权是否受限。
分别表示是否禁止 RDP 连接、是否要求网络级身份验证、监听端口、RDP 监听器绑定的证书指纹。前三个决定能否建立连接，最后一个影响 TLS 握手。
关闭 NLA 会让未认证客户端也能建立会话，扩大攻击面。正确做法是修复两端更新、时间偏差、域信任和证书链；关闭只适合隔离环境中的短期验证，并应立即恢复。

windows-rdp-failed

现象

快速定位

常见根因

修复

相关命令

参考链接

读完自测