最该检查的是windows防火墙对3389端口的入站规则：确认“远程桌面-用户模式(tcp-in)”和“远程桌面-安全模式(tcp-in)”均已启用且作用域匹配；再用netstat和telnet验证端口监听与连通性；临时关闭防火墙可快速定位问题。
远程桌面连不上，但服务器开着、网络通、账号也没锁——这时候最该盯住的，就是 windows 防火墙。它不像路由器防火墙那样显眼，却默认把 3389 端口捂得严严实实，而且规则名称还容易误导人。排查它不需要猜，靠三步就能确认是不是它在“背锅”。
确认防火墙是否真在拦截 3389 端口
别只看“Windows Defender 防火墙”开关是否打开，重点是看入站规则有没有真正放行 RDP 流量：
- 打开“高级安全 Windows 防火墙”，点左侧“入站规则”，在右侧列表里找名字含 RDP 或 Remote Desktop 的规则（不是“远程协助”或“文件和打印机共享”）
- 检查两条关键规则状态： • 远程桌面 - 用户模式 (TCP-In) • 远程桌面 - 安全模式 (TCP-In) 两者都必须是“已启用”，且作用域匹配你的网络配置（如“域”“专用”“公用”）
- 如果规则存在但被禁用，右键启用；如果根本没这两条规则，说明系统没自动创建，需手动添加或重置防火墙策略
验证端口监听与实际通信是否畅通
光有规则还不够，得确认端口真在监听、且没被其他程序占着：
- 在服务器上运行命令：netstat -an | findstr :3389 若输出中出现 LISTENING，说明服务在监听；若无输出或显示 TIME_WAIT/ESTABLISHED 但无 LISTENING，说明 TermService 没启动或端口被抢
- 再用 telnet 127.0.0.1 3389（需先启用 Telnet 客户端）测试本地连通性：能连上，说明服务+端口+本机防火墙都 OK；连不上，问题就在本机服务或注册表配置
- 从客户端执行 telnet 服务器IP 3389：能通，说明网络路径和服务器防火墙都放行了；不通，再回到防火墙规则逐条比对作用域和协议类型（TCP 还是 UDP）
绕过防火墙快速验证（临时手段）
如果时间紧、要快速定位是不是防火墙的问题，可做一次“最小干预测试”：
- 以管理员身份运行 CMD，执行：netsh advfirewall set allprofiles state off（关闭所有配置文件的防火墙）
- 立刻从客户端尝试连接，若成功，100%确认是防火墙拦截；若仍失败，问题一定在别处（如服务未启、组策略禁用、NLA 不匹配等）
- 验证完务必恢复：netsh advfirewall set allprofiles state on，再针对性修复规则，而不是长期关防火墙
