По умолчанию в операционных системах Windows протокол RDP (Remote Desktop Protocol) выключен. Если зайти локально на сервер (или клиентскую машину) Windows нет возможности, но при этом есть административные права на эту машину, то есть как минимум 3 способа включить на удаленной доменной машине возможность подключения по RDP. Каждый из этих способов имеет свои особенности и ограничения, которые зависят от:
- версии и редакции операционной системы
- прав пользователя в домене из под которого необходимо выполнить операции
- времени, которое требуется затратить на включение RDP
- количества машин, на которых необходимо включить RDP
- особенностей организации сети компании и настройки firewall
По сути все перечисленные ниже способы сводятся к одному: изменяется значение «fDenyTSConnections» в ветке реестра: «HKLM\System\CurrentControlSet\Control\Terminal Server«. Если параметр «fDenyTSConnections» имеет значение 0, то подключение к удаленному рабочему столу разрешено, если 1 — запрещено.
Метод 1. Командная строка
Для включения RDP через командную строку необходимо:
1. Запустить командную строку от имени Администратора
2. Выполнить команду:
REG ADD "\\ServerName\HKLM\SYSTEM\CurentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 0 /f
Преимущества: быстро, работает операционных системах начиная с 2003 и XP
Недостатки: Долго, если требуется включить на большом количестве компьютеров не вс из которых Online
Если на машине включен FireWall, который блокируется RDP, то этот метод не поможет
Требования: Требуются права локального администратора на удаленной машине
Компьютер должен быть в сети
Замечание: Данный метод может быть полезен, когда надо быстро отключить RDP на машине, для этого достаточно выполнить команду:
REG ADD "\\ServerName\HKLM \SYSTEM\CurentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 1 /f
Метод 2. PowerShell
Для включения RDP через PowerShell необходимо:
1. запустить PowerShell от имени администратора
2. Выполнить команду:
Invoke-Command –Computername "ServerName1", "ServerName2" –ScriptBlock {Set-ItemProperty -Path "HKLM:\System\CurrentControlSet\Control\Terminal Server" -Name "fDenyTSConnections" –Value 0}
Преимущества: Можно выполнить сразу на нескольких машинах из списка (или подгрузить из файла список машин)
Недостатки: Не подходит для версий операционных систем ниже Windows 2008 и Vista
Требования: На удаленной машине требуется включенный сервис WinRM и разрешенный на FireWall (Начиная с Windows Server 2012 включена по умолчанию).
Метод 3. Доменная групповая политика
Для включения RDP через GPO требуется создать новую групповую политику (или внести изменение в существующую). В созданной политике перейти в раздел: Computer Configuration -> Administrative Templates -> Windows Components -> Remote Desktop Services -> Remote Desktop Session Host -> Connections и выставить параметр: Allow Users to connect remotely by using Remote Desktop Services, в значение на Enable.
После чего применить групповую политику на контейнер в котором находится сервер (или серверы), для которого следует включить RDP (если в контейнере много машин, то отфильтровать GPO только для необходимых машин)
Преимущества: Универсальный способ настройки доменных компьютеров и серверов, Будет применяться на все машины для которых выполнена настройка
Недостатки: На применение параметров для включенных машин может уйти до 90 минут
Требования: Права в домене на создание групповых политик, опыт работы с групповыми политиками.