在Windows服务器上开启远程桌面，核心做法是打开系统属性中的“远程桌面”开关、放行防火墙入站规则，再给指定用户分配连接权限，三步完成，绝大多数服务器都能正常连接。下文按操作顺序拆解整个过程，顺带把常见的连接失败原因和权限细节一并讲清楚。
打开系统设置中的远程桌面开关
通过系统属性面板启用
在服务器桌面上,右键“此电脑”选择“属性”，左侧找到“远程桌面”，把“启用远程桌面”的选项勾上，如果服务器没有图形界面，或者你想抄近路，可以按 Win + R 输入 sysdm.cpl 回车，直接弹出系统属性窗口，在“远程”选项卡里勾选“允许远程连接到此计算机”。
需要留意的是,Windows Server 2012 到 2026 的路径大同小异，只是部分版本把入口挪到了“设置”应用里，在较新版本中，你也可以打开“设置”→“系统”→“远程桌面”，直接切换开关。
取消“仅允许使用网络级别身份验证”前的考虑
系统属性里有一个“仅允许运行使用网络级别身份验证的远程桌面计算机连接”的选项，默认勾选，如果客户端是旧版 Windows（Windows 7 或 XP），反而连不上。建议保持勾选，因为网络级别身份验证更安全，能提前校验用户身份，只有遇到兼容性问题时才取消。
远程桌面服务必须处于运行状态
系统设置只是开了“门”，服务才是“门卫”，按 Win + R 输入 services.msc，在服务列表中找到 Remote Desktop Services，确认状态是“正在运行”，启动类型为“自动”，如果这项服务没跑起来，远程桌面开关打了勾也白搭。
另外还有一个 Remote Desktop Services UserMode Port Redirector 服务，它主要负责打印机、剪贴板等本地设备的重定向，同样要确保运行中，多数连接失败就是这两个服务被误停或设置成“手动”导致的。
防火墙入站规则与端口放行
放行系统自带的远程桌面规则
Windows 防火墙默认会给远程桌面创建一条入站规则，但有时候会因为系统优化工具或安全策略被禁用，打开“控制面板”→“Windows Defender 防火墙”→“允许应用或功能通过防火墙”，找到“远程桌面”，确认“专用”和“公用”两个复选框都打勾。
如果列表里看不到,可以手动放行：
- 打开“高级设置”→左侧“入站规则”
- 找到 远程桌面 - 远程桌面 (TCP-In) 这一条
- 右键“启用规则”，如果规则存在但被禁用，直接启用即可
非默认端口时需要手动添加规则
远程桌面默认监听 TCP 3389 端口，如果出于安全考虑改了端口（后文会讲具体改法），就需要自己新建入站规则：入站规则→新建规则→选“端口”→协议选“TCP”、端口填你修改后的值→允许连接→三个配置文件全勾上→填个名称，改完端口后，旧规则可以禁用，但不必删除。
云服务器还要检查安全组
如果用的是简米云、酷番云这类云服务器，单单在系统内放行防火墙还不够，云平台的控制台里有“安全组”或“防火墙”设置，必须额外添加一条放行 3389 端口的入站规则。这是云服务器远程连接不上最常见的原因，本地自建机房则不存在这一步。
远程桌面权限设置：谁能连、谁不能连
普通用户需要手动加入“远程桌面用户”组
管理员组（Administrators）的成员默认就拥有远程登录权限，但普通用户必须在系统属性→远程→“选择用户”里添加，或者手动加入远程桌面用户组。
命令行操作更直接,在管理员权限的 PowerShell 或 CMD 里执行：
net localgroup "Remote Desktop Users" 用户名 /add
这条命令把“用户名”加入远程桌面用户组，立即生效，不需要重启。
管理员和普通用户的权限差异
管理员登录后拥有完整的桌面控制权,能修改系统设置、安装软件；普通用户则只能操作自己权限范围内的内容，如果只是日常业务系统的运维，建议用普通用户远程登录，降低误操作风险，需要管理操作时再切换账号或使用管理员账户。
修改默认端口以降低被扫描概率
3389 是攻击者重点扫描的端口，改为高位端口能有效减少暴力破解尝试，修改方法：
- 按 Win + R 输入
regedit打开注册表 - 找到
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp - 右侧找到 PortNumber，键值是 0x00000D3D（即十进制的 3389）
- 选择“十进制”，改为比如 13389，点确定
- 修改完成后重新启动服务器,或在防火墙里放行新端口
连接时在客户端输入 IP:端口号，168.1.100:13389，改完端口后自己也要记住，否则云服务器控制台的一键连接功能可能失效。
服务器远程桌面连接不上？按这五个方向排查
网络层先打通
先确认服务器 IP 能访问，在客户端执行 ping 服务器IP，如果丢包或超时，问题出在网络层面，局域网内检查网线和交换机，云服务器检查安全组规则有没有配错。
更实用的是测试端口通不通,CMD 里执行 telnet 服务器IP 3389，如果报错或卡住，说明端口没通，端口通了但登录失败，说明问题在认证环节而非网络。
服务状态是第二道关卡
按前面说的检查 Remote Desktop Services 是否运行，如果服务停止了，远程桌面直接连不上，本地控制台登录后启动服务即可，多数情况下手动改成“自动”并重启服务就能恢复。
账号问题的三个细节
- 密码过期：域环境或开启了密码策略的服务器，密码过期后远程登录会直接拒绝，需要在本地修改密码
- 账号被锁定：多次输入错误密码会触发账户锁定策略，默认 15 分钟自动解锁
- 空密码限制：Windows 默认禁止空密码账号远程登录，如果账号没有设密码，远程桌面会一直报“凭据不工作”
组策略和第三方安全软件
本地组策略里有一条“允许通过远程桌面服务登录”的策略，路径是“计算机配置”→“Windows 设置”→“安全设置”→“本地策略”→“用户权限分配”，如果账号没有出现在允许列表里，会直接拒绝登录。
安全软件（如 360、火绒、云锁等）也可能拦截远程桌面的通信，排查时可以临时退出或查看拦截日志，找到具体阻断规则。
云服务器远程桌面和自建机房的差别
行业共识认为,云服务器的远程桌面配置更依赖控制台层次的安全策略，而自建机房则需要自己处理公网 IP 映射、路由器端口转发和内网穿透。
- 云服务器：控制台安全组要放行端口，系统内防火墙同样要放行，两层缺一不可，部分云厂商还在 Web 控制台提供“远程连接”功能，可以在断网时作为逃生通道
- 自建机房：公网访问需要路由器的端口映射指向内网服务器的 IP，且需要固定公网 IP 或使用 DDNS 服务，局域网内连接相对简单，直接填 IP 就行，但跨公网延迟和安全问题更突出
小型企业或开发测试场景,云服务器的远程桌面方案更省事，因为运营商自带的安全组规则和 DDoS 防护能省去自建机房需要考虑的硬件防火墙配置。
服务器远程桌面常见问题解答
问：开启远程桌面后，普通用户连接提示“用户没有远程登录权限”，怎么处理？
在目标服务器上以管理员身份运行 CMD，执行 net localgroup "Remote Desktop Users" 用户名 /add，将用户加入远程桌面用户组，加入后无需重启，重新尝试连接即可。
问：远程桌面一直转圈卡在“正在配置远程会话”，是什么原因？
大概率是服务器端 Remote Desktop Services 服务状态异常，或客户端本地缓存冲突，先在服务器本地重启 Remote Desktop Services 服务，再在客户端删除“凭据管理器”中对应的服务器凭证，重新连接。
问：远程桌面端口改为 13389 之后，云服务器安全组需要怎么配置？
在云控制台的安全组规则中新增一条入站规则,协议选择 TCP，端口范围填写 13389，来源 IP 按需填写（建议限制为公司出口 IP），系统内防火墙也要同步放行该端口，无需再放行 3389。
远程桌面的开启不复杂,但涉及系统设置、防火墙、用户权限、网络策略四个层面，任一层级遗漏都会导致连接失败，按本文顺序依次排查，多数问题都能在 10 分钟内定位，最后提醒一句：远程桌面是运维的便利入口，也是攻击面的暴露点，务必设置高强度密码并限制来源 IP。