AWS EC2 Windows实例开放3389端口仍无法RDP连接问题咨询

一、先解决控制台提示「安全组未开放3389」的异常 #

这个提示要么是配置未生效，要么是缓存问题，按以下顺序核查：

• 确认安全组正确关联到实例弹性网卡：进入实例详情页的「安全组」标签页，确认当前绑定的安全组就是你配置了3389入站规则的那个，避免出现创建了规则但没绑定实例、绑错安全组的常见配置失误
• 核查子网级网络ACL规则：安全组是实例级防火墙，VPC子网关联的网络ACL是子网级访问控制，需确认网络ACL入站方向放通3389端口、出站方向放通1024-65535的临时端口段，否则会直接拦截RDP流量
• 等待缓存同步：实例刚启动的前5分钟内控制台安全组检测存在缓存，会出现误报，等实例的2项状态检查（系统状态检查、实例状态检查）全部通过后再刷新页面，提示通常会自动消失；如果等待10分钟仍提示异常，可手动移除安全组再重新绑定，强制规则同步
• 确认规则无配置错误：检查RDP入站规则的源字段，不要误填为安全组自身ID、错误的前缀列表，同时确认不存在优先级更高的拦截规则（安全组默认无拒绝规则，仅当自定义了拒绝规则时需要调整优先级）

二、解决连接时报「本地安全机构无法联系」的认证错误 #

这个报错和端口是否放通没有直接关系，核心是认证链路不通，按以下顺序排查：

• 确认解密的密码正确：实例启动后必须等2项状态检查全部通过再解密密码，刚启动时系统还在完成初始化，此时解密拿到的是无效密码，会直接触发认证错误。不要用之前复制的旧密码，重新上传.pem文件解密最新密码再尝试连接
• 调整本地RDP客户端配置：打开远程桌面连接的「高级」选项卡，将服务器认证选项改为「连接并且不警告我」，同时临时取消勾选「要求网络级别身份验证(NLA)」——AWS官方Windows Server 2019镜像首次启动时NLA服务初始化较慢，开启NLA校验的客户端会被直接拦截触发该报错
• 确认连接地址正确：如果实例没有绑定弹性IP，停止再重启后公有IP会发生变化，不要用之前下载的旧.rdp文件连接，重新在控制台下载最新的远程桌面文件，或者手动复制当前实例的公有IP/公有DNS填写到RDP客户端
• 排查本地网络拦截：本地办公网络、运营商如果做了3389端口出站限制，会出现TCP半连接状态，看似端口连通但认证报文无法传输，可切换手机热点等其他网络测试，也可以本地执行telnet <实例公有IP> 3389验证端口连通性，telnet不通则说明公网链路存在拦截

三、兜底修复方案 #

如果以上排查都无效，可通过用户数据脚本强制修复实例RDP配置：

1. 停止实例（注意：实例存储型实例的本地盘数据会丢失，EBS系统盘/数据盘数据不受影响）
2. 进入实例详情页的「操作」-「实例设置」-「编辑用户数据」，填入以下PowerShell脚本：

<powershell>
# 强制开启RDP服务
Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server' -name "fDenyTSConnections" -value 0
# 放通防火墙RDP规则
Enable-NetFirewallRule -DisplayGroup "Remote Desktop"
# 临时关闭NLA认证
Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -name "UserAuthentication" -value 0
</powershell>

3. 保存配置后重新启动实例，等2项状态检查全部通过后再尝试连接即可。

如果仍连接失败，可在同VPC下创建一个临时Windows实例，通过内网IP访问故障实例的3389端口，排除公网链路问题；也可以使用控制台自带的EC2 Instance Connect功能通过浏览器RDP连接实例，确认实例系统本身是否正常运行。

内容的提问来源于stack exchange，提问作者Hui Xin Chai