Включение, отключение RDP и сетевого экрана на Windows

При администрировании Windows-сервера ключевой задачей является настройка удалённого доступа.
В этой статье мы детально рассмотрим, как включать и отключать RDP (Remote Desktop Protocol), а также как управлять сетевым экраном, используя как привычный графический интерфейс, так и мощь командной строки PowerShell.

Статья проверена на ОС Windows Server 2022, в других версиях Windows могут отличиться некоторые названия, но общее принципы остаются схожими.

Включение и отключение RDP

Включение или отключение RDP актуально, если Вы устанавливаете ОС Windows из ISO образа. Если установка идёт из наших шаблонов, то RDP будет настроен автоматически.

Включение через графический интерфейс

Первый способ включения.

1. Откройте свойства системы: Щелкните правой кнопкой мыши по иконке «Этот компьютер» и выберите «Свойства».
2. Перейдите к настройкам удалённого доступа: В левой колонке нажмите «Удаленный рабочий стол».
   • 
3. Нажать переключатель «Включить удалённый рабочий стол» и нажать кнопку «Подтвердить»
   • 

Второй способ включения.

1. Нажмите Пуск набрать приложение run, далее введите sysdm.cpl и нажмите Enter.
   • 
2. Откроется окно Свойства системы, в данном окне необходимо выбрать вкладку Удаленный доступ.
   • 
3. В окне в части Удаленный рабочий стол выберете вариант Разрешить удаленные подключения к этому компьютеру.
   • 
4. После этого появится оповещение об изменениях правил брандмауэра, нажимаем Ок.
   • 
5. Можно выбрать дополнительный параметр подключений по RDP:
   • Разрешать подключения только с компьютеров, на которых работает удаленный рабочий стол с проверкой подлинности на уровне сети (рекомендуется) — более безопасный вариант, который требует проверки подлинности до полного установления сеанса.
   • Если снять галку с данного параметра то можно разрешать подключения от компьютеров, на которых работает любая версия удаленного рабочего стола — менее безопасно, но обеспечивает совместимость со старыми клиентами.
   • 
6. Примените изменения: Нажмите «Применить» и «OK». При первом включении система может предупредить о необходимости настройки брандмауэра.

Отключение RDP через графический интерфейс.

Чтобы отключить RDP, необходимо выполнить действия в обратном порядке:

Первый способ

1. Откройте свойства системы: Щелкните правой кнопкой мыши по иконке «Этот компьютер» и выберите «Свойства».
2. Перейдите к настройкам удалённого доступа: В левой колонке нажмите «Удаленный рабочий стол».
3. Передвинуть ползунок в состояние выкл в месте Включить удаленный рабочий стол.
   • 
4. После этого в открывшемся окне подтвердить отключение удаленного рабочего стола.
   • 

Второй способ

1. Нажмите Пуск набрать приложение run, далее введите sysdm.cpl и нажмите Enter.
2. Откроется окно Свойства системы, в данном окне необходимо выбрать вкладку Удаленный доступ.
   • 
3. В окне в части Удаленный рабочий стол выберете вариант Не разрешать удаленные подключения к этому компьютеру.
4. Примените изменения: Нажмите «Применить» и «OK».

С помощью PowerShell (быстро и для автоматизации)

Для копирования и вставки скриптов powershell рекомендуем подключится по VNC или IPMI или KVM в зависимости от выбранной услуги и открыть данную статью непосредственно в браузере сервера на котором будут производиться операции.

PowerShell предоставляет полный контроль над службами и настройками, что особенно полезно для скриптов и удалённого управления.

Включение RDP:

# Включение разрешения на удалённые подключения
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server' -Name "fDenyTSConnections" -Value 0

# Включение правила брандмауэра для RDP (на стандартном порту 3389)
Enable-NetFirewallRule -DisplayGroup "Дистанционное управление рабочим столом"

# Альтернативно, можно включить правило по его имени
# Enable-NetFirewallRule -Name "RemoteDesktop-UserMode-In-TCP"

# Проверка статуса RDP
(Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server').fDenyTSConnections

• Значение 0 означает, что RDP включен.
• Значение 1 означает, что RDP выключен.

Отключение RDP:

# Отключение разрешения на удалённые подключения
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server' -Name "fDenyTSConnections" -Value 1

# Отключение правила брандмауэра для RDP
Disable-NetFirewallRule -DisplayGroup "Дистанционное управление рабочим столом"

Дополнительные полезные команды:

# Проверка текущего состояния RDP (0 - включен, 1 - выключен)
Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server' -Name "fDenyTSConnections"

# Просмотр всех правил брандмауэра, связанных с RDP
Get-NetFirewallRule -DisplayGroup "Дистанционное управление рабочим столом" | Format-Table Name, Enabled, Direction, Action

• RDP отключено:

• Правила сетевого экрана отключены (False):

• RDP включено:

• Правила сетевого экрана включены (True):

Настройка сетевого экрана (Брандмауэра Windows) для RDP

После включения RDP критически важно убедиться, что брандмауэр разрешает входящие подключения.

Через графический интерфейс

1. Нажмите Пуск набрать приложение run, далее введите sysdm.cpl и нажмите Enter.
   • 
2. Проверьте Правила для входящих подключений, можно отсортировать правила колонке Локальный порт и найти порт 3389 (стандартный порт для RDP).
   • 
3. Два раза кликаем на правило и в открывшемся окне нажимаем Включено.
   • 
4. Нажимаем Применить и ОК.

Если подобного правила нет, то можно создать его самостоятельно.

1. Откройте расширенные настройки брандмауэра: Нажмите Win + R, введите wf.msc и нажмите Enter. Это самый быстрый способ.
2. Создайте новое правило для входящих подключений: В левой панели выберите «Правила для входящих подключений». В правой панели нажмите «Создать правило...».
   • 
3. Мастер создания правила:
   • Тип правила: Выберите «Для порта».
   • Протокол и порты: Оставьте протокол TCP. Выберите «Определенные локальные порты» и укажите порт RDP (по умолчанию 3389). Если вы меняли порт, укажите свой.
   • 
   • Действие: Выберите «Разрешить подключение».
   • 
   • Профиль: Оставьте галочки для тех профилей (Доменный, Частный, Публичный), в которых должен работать RDP. Для сервера достаточно «Частного» и «Публичного».
   • 
4. Имя: Дайте правило понятное имя, например, RDP Port TCP.
   • 

С помощью PowerShell

PowerShell позволяет управлять брандмауэром с точностью до конкретного правила, что идеально для скриптов развертывания.

Если необходимо создать правило для стандартного порта RDP:

# Разрешить входящие подключения по TCP на порт 3389 с именем "RDP Custom"
New-NetFirewallRule -DisplayName "RDP Port TCP" -Direction Inbound -Protocol TCP -LocalPort 3389 -Action Allow -Profile Any

Включение или отключение существующих правил RDP:

Стандартная роль «Удаленный рабочий стол» создает свои правила. Ими тоже можно управлять.

# Просмотр всех правил, связанных с RDP
Get-NetFirewallRule -DisplayGroup "Дистанционное управление рабочим столом" | Select-Object Name, DisplayName, Enabled

# Включение стандартного правила для RDP (пользовательский режим)
Enable-NetFirewallRule -Name "RemoteDesktop-UserMode-In-TCP"

# Отключение стандартного правила для RDP
Disable-NetFirewallRule -Name "RemoteDesktop-UserMode-In-TCP"

# Включение всех правил в группе "Удаленный рабочий стол"
Enable-NetFirewallRule -DisplayGroup "Дистанционное управление рабочим столом"

Вывод Просмотр всех правил, связанных с RDP:

Полное отключение брандмауэра (НЕ РЕКОМЕНДУЕТСЯ!):

# Отключить брандмауэр для всех профилей (крайне небезопасно!)
Set-NetFirewallProfile -All -Enabled False

Краткий обзор дополнительных мер безопасности

SSTP-туннель для безопасного доступа

Вместо прямого открытия порта RDP в интернете используйте VPN. Протокол SSTP (использует порт 443, как HTTPS) идеально подходит для этого, так как обходит многие блокировки.

• Суть: Вы настраиваете на сервере роль «Служба удаленного доступа» (VPN).
• Результат: Подключение к серверу происходит через зашифрованный VPN-туннель. После этого вы подключаетесь к RDP по внутреннему IP-адресу сервера (например, 192.168.10.1), который не виден извне.

MFA (Многофакторная аутентификация)

Даже с VPN пароль можно украсть. MFA добавляет второй фактор (код из приложения, push-уведомление).

• Как реализовать: Для RDP в Windows требуется стороннее ПО, например, Duo Security или Remote Desktop Gateway с собственными методами аутентификации.
• Результат: После ввода пароля система запросит дополнительное подтверждение с вашего телефона. Это практически на 100% блокирует несанкционированный доступ.

Заключение

Комбинация PowerShell и графического интерфейса даёт вам полную власть над настройками RDP и безопасности.