Настройка RDP в Windows: от включения до корпоративной безопасности

Меня зовут Семёнов Евгений Сергеевич, директор АйТи Фреш. RDP — базовый инструмент администратора. Простой снаружи, очень коварный изнутри: одна неправильная галочка, и ваш сервер раздаёт доступ всему интернету. За 15+ лет я настроил RDP на тысячах машин и видел все возможные ошибки. Соберу в одной статье всё, что должен знать админ.

Базовое включение RDP

Три способа, выберите удобный.

# Способ 1: графический
# Settings → System → Remote Desktop → Enable

# Способ 2: классическая панель
# sysdm.cpl → Remote → Allow remote connections

# Способ 3: PowerShell (мой любимый)
Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server' `
  -Name "fDenyTSConnections" -Value 0
Enable-NetFirewallRule -DisplayGroup "Remote Desktop"

Network Level Authentication

NLA аутентифицирует пользователя до создания сессии. Без NLA любой может открыть экран логина и нагрузить процессор. Всегда включайте.

Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' `
  -Name "UserAuthentication" -Value 1

Разрешение пользователей

По умолчанию только администраторы могут заходить по RDP. Обычным пользователям нужно добавиться в группу «Remote Desktop Users».

# Добавить пользователя
Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CORP\ivanov"

# В домене через AD
Add-ADGroupMember -Identity "Remote Desktop Users" -Members "ivanov"

Сертификат для RDP

По умолчанию Windows использует самоподписанный сертификат, клиенты ругаются. Для прода — выпускаем сертификат на AD CS или коммерческий.

# Шаблон сертификата RDPServerAuthentication на AD CS
# Выпуск через GPO
Computer Configuration → Policies → Admin Templates →
Windows Components → Remote Desktop Services →
Remote Desktop Session Host → Security →
"Server authentication certificate template"
# Значение: RDPServerAuthentication

Таймауты сессий

Забытые сессии едят ресурсы, оставляют открытые приложения и критические файлы. Всегда задаю таймауты через GPO.

Шифрование и уровень безопасности

# PowerShell
Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' `
  -Name "SecurityLayer" -Value 2  # SSL (TLS 1.0/1.2/1.3)

Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' `
  -Name "MinEncryptionLevel" -Value 3  # High (128-bit)

Запрет небезопасных RDP-клиентов

# Отключаем старый CredSSP (критично после уязвимости BlueKeep)
# В GPO: Credentials Delegation → Encryption Oracle Remediation → Force Updated Clients

Защита от brute-force

На продакшн-серверах всегда ставлю IPBan или fail2ban-аналог на Windows. После 5 неудачных попыток с одного IP — бан на 24 часа.

# IPBan — open-source, ставится в 10 минут
# https://github.com/DigitalRuby/IPBan
# Settings.xml — минимальный конфиг
<FailedLoginAttemptsBeforeBan>5</FailedLoginAttemptsBeforeBan>
<BanTime>24:00:00</BanTime>

Мини-кейс: терминальный сервер для бухгалтерии

Май 2026, клиент — торговая компания, 28 бухгалтеров. Раньше у каждого был свой 1С на локальной машине с криво бэкапируемой базой. Поставил терминальник на Dell Xeon Platinum 8280 в дата-центре МТС, RDP с NLA, сертификатом от AD CS, групповыми политиками на таймауты и редирект дисков. Доступ только через RD Gateway с 2FA. Бэкап базы PBS каждые 4 часа. Время отклика в терминальной сессии из офиса 6 мс — работают как на локальной машине. Стоимость инфраструктуры — 340 000 руб., внедрение — 60 000 руб.

Типичные проблемы и решения

• «Could not connect» — файрвол или VLAN-изоляция. Проверьте telnet 3389.
• «Credentials did not work» — проверьте права в Remote Desktop Users.
• «NLA required» — клиент старой версии, обновите mstsc.
• Чёрный экран после логина — повреждён профиль, смените fDenyTSConnections.
• «Too many users» — превышена квота CAL на серверной ОС.

FAQ — частые вопросы

Как включить RDP в Windows 10/11 Home?

Home-редакции официально не поддерживают входящие подключения RDP. Только Pro и Enterprise. Обходные пути (RDPWrap) не рекомендуются для корпоратива.

Стоит ли менять порт 3389?

Security through obscurity. Сканеры всё равно найдут. Лучше RDG или VPN, чем смена порта.

Что такое NLA и зачем оно?

Network Level Authentication — аутентификация до создания сессии. Защищает от DoS и ряда атак. Обязательно включайте.

Почему не подключается по локальной сети?

Проверьте: RDP включён, пользователь в группе Remote Desktop Users, файрвол разрешает 3389, сетевой профиль Private или Domain.

Как ограничить одновременные сессии?

GPO → Remote Desktop Session Host → Connections → Limit number of connections. Для Windows Client максимум 1 сессия.