远程桌面连接失败需按七步排查：一、验证目标机开机、联网及ip正确；二、启用远程桌面并确认系统版本支持；三、确保remote desktop services运行且用户属remote desktop users组；四、防火墙放行tcp 3389端口；五、用netstat和telnet验证端口监听与可达性；六、路由器或云平台配置端口转发及安全组；七、检查组策略中远程桌面相关设置是否启用。
如果您尝试通过远程桌面连接目标电脑，但连接失败并提示“超时”或“被拒绝”，则问题通常源于网络不可达、服务未响应或权限/策略拦截。以下是系统性排查步骤：
一、验证目标电脑基础状态与网络可达性
此步骤用于确认远程主机是否处于可通信的运行状态，排除物理层和链路层故障。若目标机未开机、休眠、断网或IP错误，后续所有配置均无效。
1、在目标电脑上按 Win+R 输入 cmd，回车后执行 ipconfig，记录其 IPv4 地址（非 169.254.x.x 或 0.0.0.0）。
2、在发起连接的本地电脑上，同样打开命令提示符，输入 ping 目标IP地址 -t，观察是否持续收到回复。
3、若显示“请求超时”或“找不到主机”，检查目标电脑是否开机、网线/无线是否连接正常、路由器端口是否松动；若使用无线，尝试切换为有线连接复测。
二、确认远程桌面功能已启用且配置合规
Windows 系统默认禁用远程桌面，必须显式开启并满足版本与策略要求，否则连接请求将被直接丢弃，不进入身份验证流程。
1、在目标电脑上按 Win+R 输入 sysdm.cpl，回车后切换至“远程”选项卡。
2、勾选 允许远程连接到此计算机；若为 Windows 家庭版，则无法启用，需升级至专业版或企业版。
3、检查下方选项“仅允许使用网络级别身份验证的远程桌面连接”——如为临时排障可取消勾选，验证通后再恢复。
4、点击“选择用户”，确认当前登录账户已添加至远程桌面用户列表；若未添加，点击“添加”，输入用户名后点击“检查名称”完成验证。
三、检查远程桌面服务运行状态与用户权限
Remote Desktop Services 是 RDP 协议的实际承载服务，若其未运行或用户无对应组权限，连接将被系统级拒绝。
1、在目标电脑上按 Win+R 输入 services.msc，定位到 Remote Desktop Services 服务。
2、确认其“状态”为“正在运行”，“启动类型”为“自动”；若未运行，右键选择“启动”，启动失败则尝试运行 sfc /scannow 修复系统文件。
3、按 Win+R 输入 lusrmgr.msc，展开“组”，双击打开 Remote Desktop Users。
4、确认连接所用账户（本地或域账户）已在成员列表中；若缺失，点击“添加”，输入账户名并验证后确认。
四、核查防火墙与端口放行规则
Windows Defender 防火墙及第三方安全软件默认拦截所有入站 TCP 连接，3389 端口必须显式放行，否则连接请求无法抵达服务进程。
1、在目标电脑上按 Win+R 输入 wf.msc，打开“高级安全 Windows Defender 防火墙”。
2、左侧点击“入站规则”，右侧点击“新建规则…”。
3、选择“端口”，点击“下一步”，选择“TCP”，在“特定本地端口”中输入 3389，点击“下一步”。
4、选择“允许连接”，点击“下一步”，勾选“域”“专用”“公用”，点击“下一步”，命名规则为“RDP-TCP-3389”，完成创建。
5、返回入站规则列表，确认新规则状态为“已启用”；同时检查是否存在同名但被禁用的旧规则，禁用之。
五、测试 3389 端口实际监听与连通性
仅配置防火墙规则不足以确保端口可用，还需验证服务是否真正绑定并监听该端口，以及本地能否从网络层面触达。
1、在目标电脑上以管理员身份运行命令提示符，执行 netstat -ano | findstr :3389，确认输出中存在包含 LISTENING 和对应 PID 的行。
2、若无输出，说明 Remote Desktop Services 未成功绑定端口，重启该服务或重启系统。
3、在本地电脑 CMD 中执行 telnet 目标IP 3389；若窗口变为空白或显示连接成功，表明端口可达；若提示“无法打开到主机的连接”，则问题仍在网络路径或防火墙。
六、排查路由器与公网访问限制
当从外网（如家庭宽带访问云服务器、或跨局域网连接）时，路由器或云平台安全组会构成额外拦截层，必须显式开放转发路径。
1、登录路由器管理界面（通常为 192.168.0.1 或 192.168.1.1），查找“端口转发”“虚拟服务器”或“NAT 设置”。
2、新增一条规则：外部端口填 3389，内部 IP 填目标电脑局域网地址，内部端口填 3389，协议选 TCP。
3、若使用云服务器（如阿里云、腾讯云），登录控制台，进入“安全组”配置页，添加入方向规则：授权策略“允许”，协议类型“TCP”，端口范围“3389/3389”，源段填写本地公网 IP 或 0.0.0.0/0（测试用，勿长期开放）。
4、确认云服务器已分配并绑定了有效公网 IP，且未被释放或解绑。
七、检查组策略与系统级连接限制
在域环境或启用了组策略的 Windows 专业版/企业版中，系统策略可能覆盖图形界面设置，导致远程桌面实际被禁用。
1、在目标电脑上按 Win+R 输入 gpedit.msc，打开本地组策略编辑器。
2、依次展开：计算机配置 → 管理模板 → Windows 组件 → 远程桌面服务 → 远程桌面会话主机 → 连接。
3、双击打开 允许用户通过远程桌面服务连接，确认其配置为“已启用”。
4、继续检查同一路径下的 设定远程桌面服务的连接时间限制 和 将远程桌面服务配置为需要使用网络级别身份验证，根据实际需求启用或禁用。
