远程桌面连不上主要因服务未启用、权限不足或网络配置错误：需确认termservice运行状态及fdenytsconnections=0；检查用户是否加入remote desktop users组并具“通过远程桌面服务登录”权限；排查nla与credssp兼容性问题；同步客户端与服务器时间并处理证书信任。

Windows Server 远程桌面连不上，别急着重装或换工具，多数问题出在配置、服务或权限环节。核心思路是“先确认服务通不通，再查权限准不准，最后看网络稳不稳”。

一、远程桌面服务是否真正启用

很多人以为勾选了“允许远程连接”就万事大吉，其实后台服务可能没跑起来，或注册表被策略锁死。

• 在服务器上打开 PowerShell（管理员），运行：
  Get-Service TermService | Select Status, Name —— 确保状态为 Running
• 检查关键注册表项：
  路径：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server
  确认 fDenyTSConnections = 0（不是1）
• 若改完重启后自动变回1，说明有组策略在覆盖——用 gpresult /H gp.html 查看生效的GPO，重点看「计算机配置 → 管理模板 → Windows组件 → 远程桌面服务 → 连接」里“允许用户通过远程桌面服务进行远程连接”是否设为“已启用”

二、用户有没有登录权限

即使服务开着，用户没被加进“Remote Desktop Users”组，或者没赋予“通过远程桌面服务登录”权限，照样拒绝访问。

宝塔Linux面板11.3.0

宝塔面板11.3.0是一款针对Linux服务器设计的可视化管理工具，通过重构核心模块实现资源占用显著降低，尤其适合低配置服务器环境。它将复杂的命令行操作转化为直观的图形界面，帮助开发者快速完成网站部署、环境配置及日常运维工作，无需专业技术背景即可高效管理服务器。

下载

• 打开“本地安全策略”（secpol.msc）→ “本地策略” → “用户权利分配” → 找到“通过远程桌面服务登录”，双击确认目标用户或组已在列表中
• 右键“此电脑”→“属性”→“远程设置”，点“选择用户”按钮，确保用户明确添加进去（不能只靠组继承，有时不生效）
• 域环境尤其注意：普通域用户默认无RDP权限，必须手动加入 Remote Desktop Users 组，或通过GPO统一赋权

三、NLA 和凭据兼容性问题

Win10/11 客户端连 Server 2016+ 时，常卡在登录界面前报错“你的凭据不工作”或黑屏，多是网络级别身份验证（NLA）和 CredSSP 协商失败。

• 临时绕过NLA：在客户端保存的 .rdp 文件末尾添加一行：
  enablecredsspsupport:i:0，再双击连接
• 服务器端修复（推荐长期方案）：
  打开组策略编辑器（gpedit.msc）→「计算机配置 → 管理模板 → 系统 → 凭据分配」→ 启用“允许分配保存的凭据用于仅NTLM服务器身份验证”，并在下方框中填入 TERMSRV/*，然后运行 gpupdate /force
• 若仍失败，检查服务器注册表：
  HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\TerminalServer\WinStations\RDP-Tcp
  确认 SecurityLayer = 2（协商）、EnableCredSspSupport = 1

四、时间同步与证书信任链

“无法验证远程计算机标识”这类错误，90%以上是客户端和服务器时间差超过5分钟，或证书被系统标记为不可信。

• 两边都执行：
  net stop w32time && net start w32time && w32tm /resync
  再检查 date /t && time /t 是否一致
• 若用自签名证书或内网CA，客户端可能弹窗警告。可在远程桌面客户端勾选“不要问我，始终执行此操作”，或把服务器证书导出后导入客户端“受信任的根证书颁发机构”
• 域环境下务必确保客户端和服务器都指向同一个域控制器同步时间，避免跨域时间漂移