Windows Server: RDP не подключается — порт 3389, NLA и брандмауэр

#Что означает ошибка

Если Remote Desktop не подключается к Windows Server, причины делятся на сетевые (порт 3389 закрыт, нет маршрута), настройки сервера (RDP отключён, пользователь не в группе, NLA, лицензирование) и ошибки аутентификации.

Сначала проверьте доступность порта: Test-NetConnection сервер -Port 3389.

Если порт закрыт, проблема в сети или в брандмауэре; если открыт, — в аутентификации и настройках RDP.

Проверьте включение удалённого рабочего стола, правило брандмауэра, службу TermService и сетевой доступ. Не открывайте 3389 в интернет без защиты.

#Причины и решения

#Пошаговое решение

1. Проверьте портНа своём рабочем компьютере откройте PowerShell и выполните Test-NetConnection имя-сервера -Port 3389 (для нестандартного порта подставьте фактический). TcpTestSucceeded : False указывает на недоступность порта, но не объясняет, что виновато: сеть, брандмауэр, шлюз или служба. Сверьте VPN и DNS, а не отключайте NLA как первое действие.
2. Включите RDP и правило брандмауэраИмея консольный доступ к серверу через гипервизор или панель провайдера, откройте «Диспетчер сервера → Локальный сервер» и найдите параметр «Удалённый рабочий стол». Включите подключение только если это соответствует политике организации; проверьте, что служба Remote Desktop Services работает и правило брандмауэра разрешает вход с доверенной сети. Удалённо изменять эти параметры без резервного канала доступа опасно.
3. Добавьте пользователя в группуЕсли TCP-соединение есть, но вход запрещён, на сервере откройте «Управление компьютером → Локальные пользователи и группы → Группы → Пользователи удалённого рабочего стола» (на контроллере домена группы управляются иначе). Проверьте членство учётной записи и разрешение «Вход через службы удалённых рабочих столов» в локальной/доменной политике. Не добавляйте всем пользователям права администратора.
4. Проверьте лимит сеансовПри сообщении о превышении числа сеансов на сервере в консоли администратора выполните query user и посмотрите активные/отключённые сеансы. Не завершайте чужие сеансы без уведомления пользователей: несохранённые документы могут быть потеряны. Отличайте обычное администрирование сервером от полноценного RDS, для которого требуются роли и лицензии.
5. Подключитесь зановоОткройте Win+R → mstsc → «Показать параметры», укажите полное имя сервера, корректную учётную запись и нужный шлюз RD Gateway, если он используется. При ошибках NLA проверьте время, DNS домена, доступ к контроллеру и журналы «Просмотр событий → Журналы приложений и служб → Microsoft → Windows → TerminalServices-*». Не отключайте NLA на общедоступном сервере ради обхода ошибки.

#Если не помогло

Не публикуйте RDP (3389) напрямую в интернет: используйте VPN или шлюз удалённых рабочих столов.

#Сеть и брандмауэр

На сервере: Get-NetFirewallRule -DisplayGroup "Удаленный рабочий стол" | Enable-NetFirewallRule (в английской версии — "Remote Desktop"). Проверьте, что порт слушается: netstat -an | findstr 3389. В облаке (AWS, Azure, Selectel) откройте порт 3389 в группе безопасности, но лучше ограничить по IP или использовать VPN.

#RDP и NLA

Включить RDP: Set-ItemProperty -Path "HKLM:\System\CurrentControlSet\Control\Terminal Server" -Name fDenyTSConnections -Value 0. Пользователь должен быть в группе «Пользователи удалённого рабочего стола» (net localgroup "Remote Desktop Users" имя /add). Ошибка «Требуется функция, которая не поддерживается» или «CredSSP» означает несоответствие NLA или версий патчей: обновите клиент и сервер, на время диагностики отключите NLA в свойствах системы → «Удалённый доступ» (небезопасно в интернете).

#Типичные ошибки

«Превышено число подключений» — исчерпан лимит двух сеансов без RDS-лицензий: завершите лишние (query user, logoff ID). «Учётные данные не сработали» — используйте формат СЕРВЕР\пользователь или .\пользователь. Ошибка сертификата — проверьте дату/время. Для Windows 11/10 Home RDP-сервер недоступен: требуется Pro или Server.

#Безопасность

Не открывайте 3389 в интернет: используйте VPN, RD Gateway или SSH-туннель. Включите блокировку учётной записи, смените порт при необходимости (HKLM\...\RDP-Tcp\PortNumber) и мониторьте события 4625 в журнале безопасности (eventvwr.msc).