如何使用组策略 (GPO) 启用远程桌面

在本文中，您将了解如何使用组策略启用远程桌面。在加入 Active Directory 域的计算机上，您可以使用 GPO 启用远程桌面。

远程桌面是一项操作系统功能，允许用户连接到其他位置的计算机、查看该计算机的桌面并与其交互，就像在本地一样。

IT 人员主要使用 Windows 11 远程桌面功能进行远程管理。通常，IT 团队依靠远程桌面访问来连接到 Windows 11、Windows Server 2022 等设备并管理任务。

当您拥有远程站点并且必须支持远程用户时，就需要启用远程桌面。通过所有计算机上的组策略启用远程桌面似乎是最好的解决方案。

在大多数组织中，远程桌面功能默认启用。通常，在 Active Directory 环境中，GPO 用于启用远程桌面。那么让我们开始启用远程桌面功能。

阅读：Endpoint Manager 中的 Intune 远程帮助功能

使用组策略启用远程桌面的步骤

要在计算机上启用远程桌面，需要进行三种配置：

1. 允许用户使用远程桌面服务进行远程连接
2. 要求使用网络级身份验证对远程连接进行用户身份验证
3. 允许端口 3389（远程桌面端口）通过 Windows 防火墙

需要完成上述所有配置才能使远程桌面功能在计算机上运行。所有配置都可以通过组策略应用。

学习：如何使用组策略 (GPO) 禁用检查更新

创建组策略时，无需在域级别应用它。您可以将其应用于选定的 OU，也可以将 GPO 链接到多个 OU。

在本文中，我将在域级别创建并应用 GPO，就像我在实验室设置中执行此操作一样。在域级别应用 GPO 意味着您要在所有加入域的计算机上启用远程桌面功能。

对于您的情况，您可能必须首先在一批试点计算机上测试该策略，然后将 GPO 链接到所需的 OU 或系统组。无论您在何处以及如何应用该策略，启用远程桌面的步骤都将保持不变。

另请阅读：如何使用组策略启用远程协助

注意：您可以为每个配置创建单独的 GPO，也可以创建单个 GPO 并将上述所有配置添加到单个 GPO 中。

第 1 步 - 创建 GPO启用远程桌面

我们现在将了解使用组策略启用远程桌面的步骤。

• 登录 Windows Server 并打开组策略管理控制台 (GPMC)
• 展开域并右键单击您的域，然后选择在此域中创建 GPO 并将其链接到此处。

输入这个新 GPO 的名称“启用远程桌面”，然后单击确定。

您必须编辑 GPO 并继续配置以下策略。

第 2 步 - 启用允许用户使用远程桌面服务进行远程连接

我们将配置的第一个策略是允许用户使用远程桌面服务进行远程连接。此策略设置允许您使用远程桌面服务配置对计算机的远程访问。

如果启用此策略设置，作为目标计算机上的远程桌面用户组成员的用户可以使用远程桌面服务远程连接到目标计算机。

如果禁用此策略设置，用户将无法使用远程桌面服务远程连接到目标计算机。目标计算机将维护任何当前连接，但不会接受任何新的传入连接。

阅读：如何允许通过远程桌面服务登录

在组策略管理编辑器中，导航至计算机配置 > 策略 > 管理模板 > Windows 组件 > 远程桌面服务 >远程桌面会话主机 >连接。

右键单击策略设置“允许用户使用远程桌面服务进行远程连接”，然后选择“编辑”。现在，通过选择启用来启用此策略设置。单击应用和确定。

第 3 步 - 启用网络级别远程连接身份验证

“要求使用网络级别身份验证对远程连接进行用户身份验证”策略设置允许您指定是否需要使用网络级别身份验证对 RD 会话主机服务器的远程连接进行用户身份验证。

网络级身份验证是一种用于增强 RD 会话主机服务器安全性的方法，它要求在创建会话之前对用户进行 RD 会话主机服务器的身份验证。

此策略设置要求在远程连接过程中更早进行用户身份验证，从而增强安全性。

如果启用此策略设置，则只有支持网络级身份验证的客户端计算机才能连接到 RD 会话主机服务器。

阅读：使用 GPO 禁用 Windows Spotlight

要确定客户端计算机是否支持网络级身份验证，请在客户端计算机上启动远程桌面连接，单击“远程桌面连接”对话框左上角的图标，然后单击“关于”。在“关于远程桌面连接”对话框中，查找短语“支持网络级别身份验证”。

如果禁用此策略设置，则在允许远程连接到 RD 会话主机服务器之前，不需要进行用户身份验证的网络级别身份验证。

建议您在使用组策略启用远程桌面时启用此策略设置。

在组策略管理编辑器中，导航至计算机配置 > 策略 > 管理模板 > Windows 组件 > 远程桌面服务 >远程桌面会话主机 >安全性。

右键单击策略设置“要求使用网络级身份验证对远程连接进行用户身份验证”，然后单击编辑。通过选择启用来启用此策略设置。单击应用和确定。

启用上述策略设置后，您可以选择“启用远程桌面”GPO 并查看配置的设置。当您在 GPM 控制台中选择 GPO 的设置选项卡时，这些设置可见。

步骤 4 - 允许端口 3389（远程桌面端口）通过 Windows 防火墙

远程桌面协议侦听 TCP 端口 3389 和 UDP 端口 3389。如果您的域防火墙不允许使用端口 3389，则 RDP 连接将失败。

以下过程显示如何通过 Windows 防火墙打开 RDP 端口 3389。如果允许端口 3389 通过防火墙，请跳至下一部分。

推荐：配置域控制器交互式登录消息

如前所述，您可以编辑现有 GPO 并允许端口 3389，也可以创建新的 GPO 以启用远程桌面端口 3389。

在组策略管理编辑器中，转到计算机配置 > Windows 设置 > 安全设置 > 具有高级安全性的 Windows Defender 防火墙强>。

我们希望允许传入 RDP 连接到所有计算机（TCP 3389 端口）。右键单击“入站规则”部分，然后选择新建规则。

在规则类型窗口中，选择端口。单击下一步。

在“协议和端口”窗口中，配置以下内容：

• 此规则适用于 TCP 还是 UDP - 选择TCP。
• 该规则适用于所有本地端口还是特定本地端口？ - 选择特定本地端口并输入端口号 - 3389。

单击下一步继续。

由于我们希望允许端口 3389 通过防火墙，因此选择允许连接。单击下一步。

这是一个重要的部分，您必须在其中选择配置文件并指定何时应用此规则。最终，域配置文件是您希望允许端口 3389 的位置。单击下一步。

指定此规则的名称和描述，然后单击完成。

我们已成功创建允许端口 3389 的入站规则以及启用远程桌面 GPO 策略。

步骤 5 - 在客户端计算机上测试“启用远程桌面 GPO”

这是最后一步，我们检查 GPO 是否已成功部署到客户端计算机。缺省情况下，组策略刷新间隔为90分钟。如果需要，您可以修改 GP 刷新间隔。

在客户端计算机上，以管理员身份启动 CMD 并运行命令 gpupdate。等待计算机策略更新和用户策略更新完成。

现在转到系统属性并选择远程选项卡。请注意，允许远程连接到此计算机以及 RDP 连接的网络级身份验证已启用。这确认我们已成功使用组策略启用远程桌面。