Настройка RDP-сервера на Windows: службы удаленных рабочих столов

По умолчанию Windows держит RDP-доступ на замке - и это разумное решение со стороны Microsoft. Открытый порт 3389 без защиты превращается в приманку для ботов, сканирующих интернет в поисках лёгкой добычи. Но когда нужно настроить удалённый доступ для команды или администрирования серверов, эту функцию приходится включать вручную. Если порт всё же приходится открывать, сразу посмотрите, как защитить RDP от перебора паролей.

Если коротко, порядок такой: разрешить подключения, убедиться, что служба TermService запущена, открыть порт в брандмауэре, включить NLA. Дальше всё зависит от того, сколько человек будет заходить одновременно: до двух администраторов Windows Server пускает сам, для остальных нужна роль RDSH и лицензии. Разберём по шагам. Если вы только присматриваетесь к схеме и хотите сначала понять, как устроен терминальный сервер и сколько он просит ресурсов, начните с общего разбора.

Какая служба отвечает за RDP и как её проверить

Вопрос, на котором спотыкаются чаще всего, звучит просто: как называется служба удалённого рабочего стола. В оснастке services.msc за RDP отвечает не одна служба, а четыре, и каждая ломается по-своему.

Сама служба TermService - это не отдельный процесс. Это библиотека termsrv.dll, которую хостит svchost.exe. Искать в диспетчере задач «termsrv.exe» бесполезно, такого файла в Windows нет - и инструкции, которые предлагают добавить его в исключения антивируса, отправляют вас искать несуществующее. Заносить в исключения svchost.exe вместо него тоже не надо: под этим именем работает половина системных служб, и вы снимете защиту со всего разом.

Проверить состояние всех четырёх разом:

Если TermService в состоянии Stopped, запускаем и ставим автозапуск:

Служба работает, а подключение всё равно не проходит? Посмотрите, слушает ли сервер порт:

Пустой ответ означает одно из двух: RDP выключен в системе (об этом ниже) либо порт переопределён в реестре и слушается другой. Если строка есть, а клиент не достучался, дело уже в брандмауэре или в сети.

Отдельно про UmRdpService. Она не мешает подключиться и именно поэтому попадает под раздачу: её отключают «для оптимизации», а потом ищут, почему в сессии пропали принтеры и звук.

Включение RDP: три способа на выбор

Самый очевидный путь - через графический интерфейс. Открываете «Параметры системы» → «Удалённый рабочий стол» и переключаете тумблер. Windows тут же спросит, хотите ли вы оставить компьютер активным для подключений, и предложит настроить исключения в брандмауэре. Для домашней машины или тестового сервера этого достаточно.

Но если вы настраиваете десятки серверов или нужна автоматизация, PowerShell - ваш друг:

Две строки, и RDP-сервер готов принимать подключения. Скрипт можно завернуть в групповую политику или запустить удалённо через WinRM на всех машинах в домене.

Третий вариант - через Group Policy, если у вас Active Directory. Создаёте политику, включаете параметр «Allow users to connect remotely by using Remote Desktop Services», применяете к нужным компьютерам. Централизованное управление без ручного лазания по каждому серверу.

Два подключения или сотня? Вопрос лицензирования

Здесь начинается самое интересное. Windows Server из коробки разрешает два одновременных RDP-подключения для администрирования. Это значит, что вы с коллегой можете одновременно зайти на сервер, чтобы что-то настроить или проверить. Но если нужно дать доступ целому отделу бухгалтерии к терминальной 1С - двух сессий катастрофически мало.

Для мультипользовательской работы устанавливается роль Remote Desktop Session Host (RDSH). Это превращает Windows Server в полноценный терминальный сервер, способный обслуживать десятки и сотни пользователей одновременно. Ставится через Server Manager → Add Roles → Remote Desktop Services. Порядок одинаков в Windows Server 2019, 2022 и 2025, различия начинаются дальше, на уровне управления и политик - в том числе в том, как выжать из терминального сервера производительность при десятках сессий. Что такое RDS целиком и из каких ролей он собирается, разбираем в отдельной статье. Когда пользователей больше десятка, понадобится общее хранилище профилей - какие выставить права на папку с профилями пользователей, показали отдельно.

Дальше появляется нюанс с лицензиями RDS CAL (Remote Desktop Services Client Access License). Каждому пользователю или устройству, подключающемуся к RDSH, нужна своя лицензия, и она не заменяет обычную Windows Server CAL - их покупают отдельно, обе. Забыли купить? Через 120 дней льготного периода сервер перестанет принимать новые подключения. Сервер лицензирования настраивается отдельно и активируется через Clearinghouse из оснастки RD Licensing Manager, а не через какой-либо веб-портал. Как считаются ядра, редакции и оба типа CAL - в разборе лицензирования Windows Server.

Для небольших компаний схема с RDSH бывает избыточной по стоимости. Тогда остаётся VPN плюс обычные RDP-подключения к рабочим станциям - дёшево, но каждый пользователь занимает свою машину целиком.

RDP Wrapper: хак для домашних систем

RDP Wrapper Library появился как community-проект для тех, кому нужно несколько одновременных RDP-сессий на Windows Pro или Home без покупки серверной редакции. Он работает прослойкой между диспетчером служб и Terminal Services и снимает ограничение на одну сессию, не трогая сам файл termsrv.dll.

Установка простая: скачиваете архив, запускаете install.bat с правами администратора, проверяете результат через RDPConf.exe. Если всё зелёное - можно подключаться с нескольких устройств.

Дальше начинаются оговорки, и их две.

Первая - стабильность. Каждое крупное обновление Windows может сломать Wrapper, и «сообщество выпустит патч» работает не всегда: в трекере проекта на GitHub висит цепочка незакрытых обращений по сборкам Windows 11 24H2, которые так и не поддержаны. Для рабочего сервера это означает, что после очередного патча вся удалённая команда может остаться без доступа, а ждать исправления будет неоткуда.

Вторая серьёзнее. Лицензия Windows Pro разрешает одну интерактивную сессию, и инструмент, который это ограничение снимает, обходит условие лицензии, а не техническую недоработку. Для домашней лаборатории это ваш риск и ваше решение. Для компании - вопрос, который всплывёт при первой же проверке лицензионной чистоты, и объяснять его придётся не системному администратору.

Поэтому вывод простой: в тестовом окружении - пожалуйста, в корпоративной инфраструктуре берите Windows Server с RDSH и считайте CAL.

Безопасность: что настроить обязательно

Открытый RDP без защиты - это как оставить дверь офиса нараспашку с табличкой «Заходите, всё бесплатно».

Network Level Authentication (NLA) - первое, что нужно проверить. Это механизм, при котором клиент проходит аутентификацию до того, как сервер создаст графическую сессию. Без NLA сервер сначала поднимает сессию и рисует экран входа, а уже потом проверяет пароль: каждая попытка перебора отъедает память и процессор, и на этом можно положить сервер, даже не подобрав пароль. С NLA неавторизованный клиент отваливается на этапе рукопожатия.

Включается через PowerShell:

Цена вопроса - совместимость: клиент должен поддерживать CredSSP и уметь передать учётные данные заранее. Старые клиенты и подключения под локальной учётной записью из-за пределов домена иногда упираются именно в это.

Смена стандартного порта 3389. Приём спорный, и продавать его как защиту не стоит. От целевого сканирования он не спасает, зато убирает из логов фоновый шум массовых ботов, которые ходят строго по 3389 и не тратят время на перебор портов. Порт меняется в реестре, после чего обязательно нужно открыть новый в брандмауэре - иначе вы аккуратно закроете себе доступ к серверу.

Сертификат. По умолчанию RDP использует самоподписанный сертификат, и клиент честно ругается предупреждением при каждом подключении. В домене проблема решается выдачей сертификата из внутреннего центра сертификации через групповую политику. Публичный сертификат от доверенного центра нужен там, где подключаются извне, и ставится он на RD Gateway, а не на голый RDSH.

RD Gateway - то, к чему стоит прийти, если доступ нужен снаружи. Шлюз оборачивает RDP в HTTPS и пропускает подключения через одну точку входа: появляется место, где можно навесить двухфакторную аутентификацию и вести журнал, а порт 3389 наружу выставлять не приходится вовсе.

Практические фишки для работы

RDP-клиент Windows (mstsc.exe) умеет сохранять настройки подключения в .rdp-файлах. Создали один раз конфигурацию с нужным разрешением экрана, перенаправлением принтеров и буфера обмена - сохранили в файл. Теперь двойной клик, ввод пароля, и вы на сервере. Файлы можно раздать команде, чтобы все подключались с одинаковыми настройками.

Протокол RDP поддерживает виртуальные каналы, которые передают не только картинку и ввод с клавиатуры. Можно перенаправить локальные диски, принтеры, USB-устройства, звук и даже веб-камеру в удалённую сессию. За эту часть отвечает как раз UmRdpService из таблицы выше - если что-то из перенаправления не работает, начинайте проверку с неё.

Для управления активными сессиями используйте qwinsta и rwinsta:

Первая показывает активные сессии, вторая принудительно закрывает зависшую по её идентификатору. Это спасает, когда кто-то забыл выйти, и сессия висит, занимая лицензию.

Типичные проблемы и их решение

Если сервер выключен и подключиться к нему в принципе не к чему, поможет Wake-on-LAN: настраивается в BIOS и требует, чтобы сетевая карта оставалась под питанием. Но для серверов это обходной путь - нормальное решение здесь KVM over IP - IPMI, iLO или iDRAC дают доступ к серверу независимо от состояния операционной системы.

Альтернативы и дополнительные инструменты

Помимо стандартного mstsc.exe существуют сторонние RDP-клиенты с расширенным функционалом. Remote Desktop Manager, mRemoteNG, Royal TS умеют управлять множеством подключений, хранить учётные данные в зашифрованном виде и автоматизировать рутину.

С клиентами под другие системы недавно случилась путаница. Приложение Microsoft Remote Desktop из магазинов ретировано 27 мая 2025 года, вместо него Microsoft выпустила Windows App - она и работает сейчас на macOS, iOS и Android. Классический mstsc в самой Windows никто не отменял, он поддерживается по-прежнему. Под Linux официального клиента Microsoft нет и не было: там берут Remmina или напрямую FreeRDP.

Если инфраструктуру нужно переводить на отечественное, у стека Microsoft RDS есть российская замена - Terminal Termidesk от компании «Увеон - Облачные технологии» (группа «Астра»). В её основе терминальный сервер STAL на базе Astra Linux, клиент подключения работает и по SPICE, и по RDP. Это не «поставить вместо Windows за вечер»: меняется вся модель рабочего места, и переезд планируют отдельным проектом. Но как ответ на вопрос «а чем вообще заменить RDS» вариант рабочий и в реестре отечественного ПО присутствует.

Облачные виртуальные рабочие столы Microsoft в этот список не входят: Azure Virtual Desktop в России недоступен, и закладываться на него при планировании нет смысла.

Для доступа снаружи VPN-туннель перед RDP-подключением остаётся самым надёжным вариантом. Он усложняет жизнь конечным пользователям, зато убирает саму возможность достучаться до RDP из интернета.

Частые вопросы

Как называется служба удалённых рабочих столов?

Основная - TermService, в оснастке services.msc она называется «Службы удалённых рабочих столов». Вместе с ней работают SessionEnv (настройка), UmRdpService (перенаправление принтеров, звука и устройств) и RPCSS, от которой TermService зависит напрямую.

Есть ли процесс termsrv.exe?

Нет. RDP реализован библиотекой termsrv.dll, которую запускает svchost.exe. Отдельного исполняемого файла с таким именем в Windows не существует, и все инструкции, которые предлагают его найти, отправляют вас искать несуществующее.

Сколько RDP-сессий доступно без покупки лицензий?

На Windows Server - две административные плюс консольная. Этого хватает, чтобы админы работали, но не хватает для пользователей. На Windows 10 и 11 Pro одновременная сессия одна: подключается новый пользователь - предыдущего выкидывает.

Что такое NLA и можно ли его отключить?

Network Level Authentication проверяет учётные данные до создания сессии. Отключить технически можно, и иногда это единственный способ понять, что клиент упирается именно в него. Но оставлять отключённым нельзя: без NLA сервер тратит ресурсы на каждую попытку подбора пароля.

Стоит ли менять порт 3389?

Как единственная мера - нет. Как способ убрать из журналов фоновый шум ботов, которые ходят только по стандартному порту, - да. Защиту дают NLA, ограничение круга пользователей и RD Gateway или VPN, а не номер порта.

Чем заменить Microsoft RDS в России?

Terminal Termidesk с терминальным сервером STAL на Astra Linux - ближайший по функциям аналог. Переход требует отдельного проекта: меняется операционная система рабочего места, а не только сервер.