能连上只是起点，真正影响可用性与安全的是细节：需明确远程用户权限、放行并加固3389端口、强制启用nla、禁用高危重定向、配置账户锁定与会话限制，并开启登录及账户审计。

windows 远程桌面（rdp）配置本身不难，但真正影响可用性与安全性的，往往是那些容易被跳过的细节。生产环境里一次未加固的 3389 端口暴露，可能带来账户爆破、横向渗透甚至勒索软件落地的风险。下面从“能连上”到“连得稳、管得住、防得住”，分四块讲清楚。

远程桌面基础启用与权限控制

开启 RDP 不等于谁都能连——必须明确“谁可以连”和“用什么身份连”：

• 在“设置 → 系统 → 远程桌面”中打开开关；Windows Home 版本不支持被控，只能作为主控端使用
• 务必点击“选择用户”，将需要远程登录的账户（非 Administrator 推荐）加入“远程桌面用户”组；命令行可快速添加：net localgroup "Remote Desktop Users" 用户名 /add
• 所有远程用户必须设置强密码（至少12位，含大小写字母、数字、符号），空密码账户无法通过 RDP 登录
• 禁用 Guest 账户，并重命名 Administrator（如改为 AdminSec），避免攻击者直接瞄准默认账户

网络连通性与端口策略

能连的前提是“通”，但“通”不等于“裸奔”：

Windows TTS (WSL2)

在 Windows 11 上"直接发声"的 TTS（从 WSL2/TUI 调用 powershell.exe + System.Speech）。适用于用户说"说出来/读出来/语音播报/用TTS"，或反馈"没声音/tts 生成的 mp3 是空的/播不出来"，以及需要中文语音但 OpenClaw 内置 tts 不可用时。

下载

• 防火墙必须放行 RDP 端口：默认为 TCP 3389，建议 PowerShell 一键执行：New-NetFirewallRule -DisplayName "RDP-In" -Direction Inbound -Protocol TCP -LocalPort 3389 -Action Allow
• 家庭/企业内网需做端口转发（路由器 NAT）或内网穿透（如 FRP）；公网直连场景下，强烈建议修改默认端口，注册表路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\PortNumber，改完后重启 TermService 并同步更新防火墙规则
• 堡垒机等中间层访问时，运维地址通常带非标端口（如 xxx.bastionhost.aliyuncs.com:63389），注意不要硬编码 3389

强制启用网络级身份验证（NLA）

NLA 是 RDP 安全的第一道闸门，它让身份验证发生在建立图形会话之前，大幅降低暴力破解成功率：

• 在“远程桌面设置”中勾选“仅允许运行使用网络级别身份验证的远程桌面的计算机连接”
• 组策略确认启用（gpedit.msc）：计算机配置 → 管理模板 → Windows 组件 → 远程桌面服务 → 远程桌面会话主机 → 安全 → 要求使用网络级别的身份验证对远程连接进行用户身份验证 → 设为“已启用”
• 客户端需为 Windows 7 SP1 及以上、或新版 Microsoft Remote Desktop 应用，旧版客户端会提示“发生内部错误”

最小权限+审计+会话管控

连接成功只是开始，后续行为才决定风险水位：

• 禁用驱动器重定向、剪贴板共享、打印机重定向等高危功能（组策略路径：远程桌面会话主机 → 设备和资源重定向）
• 启用账户锁定策略：5次失败登录即锁定30分钟（本地安全策略 → 账户锁定策略）
• 限制每个用户仅一个活跃会话（组策略：远程桌面会话主机 → 连接 → 将远程桌面服务配置为每用户一个会话）
• 开启安全日志审计：本地安全策略 → 审计策略 → 启用“登录事件”“账户管理”“特权使用”的成功与失败审计；日志存于“事件查看器 → Windows 日志 → 安全”
• 定期清理无用账户、停用长期未登录账号，避免成为跳板