Google Cloud Platform Windows Server 2016重启后RDP无法连接求助

问题排查解决步骤 #

第一步：核查GCP实例层面的网络配置 #

• 确认实例的网卡IP转发是否被意外开启：Windows Server上如果开启了IP转发，会导致系统丢弃入方向不是转发目标的流量，你可以在实例内执行netsh interface ipv4 show interfaces找到对应网卡的idx，再执行netsh interface ipv4 show interface <网卡idx>看「转发」是否为「已启用」，如果是，执行netsh interface ipv4 set interface <网卡idx> forwarding=disabled后重启网卡测试。
• 确认GCP VPC的子网路由、实例所属的防火墙规则是否被修改：即使你没改配置，也有可能是组织管理员的策略变更，重点核查入方向允许ICMP、3389端口的规则是否应用到该实例的网络标签/服务账号上，优先级是否高于拦截规则。
• 确认实例是否启用了VPC流量镜像、入侵检测规则，这类规则可能会静默丢弃入方向流量。

第二步：系统层面隐形拦截排查 #

你已经确认过防火墙、杀毒软件，还有两种容易忽略的情况：

• 核查Windows筛选平台（WFP）的自定义过滤规则，执行netsh wfp show filters file=wfp_filters.xml导出规则，搜索3389、ICMP相关的拦截规则，或者直接执行netsh wfp reset all重置WFP规则后测试（该操作不会影响正常防火墙配置，只会删除第三方软件添加的自定义过滤规则）。
• 检查TCP/IP协议栈是否损坏，执行netsh int ip reset、netsh winsock reset后重启服务器测试。

第三步：RDP服务本身损坏验证方法 #

• 本地回环测试：在故障服务器上执行Test-NetConnection 127.0.0.1 -Port 3389，如果返回TcpTestSucceeded = True，说明RDP端口监听正常，再执行mstsc /v:127.0.0.1尝试本地RDP连接，如果可以弹出登录界面，说明RDP服务本身没有损坏。
• 替换RDP监听端口测试：修改注册表HKLM\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp下的PortNumber值为其他未被占用的端口（比如13389），重启TermService服务后，从同子网服务器测试新端口的连通性，如果新端口通、3389不通，说明3389端口被系统底层规则拦截。
• 日志验证：打开「事件查看器→Windows日志→应用程序和服务日志→Microsoft→Windows→TerminalServices-RemoteConnectionManager/Operational」，查看连接失败时的具体报错代码，同时执行sfc /scannow扫描系统文件完整性，确认RDP相关系统文件是否损坏。

临时解决方案 #

如果以上排查都没找到问题，可以先在实例上部署临时的远程管理工具替代RDP，待后续有维护窗口时执行系统修复安装。

内容的提问来源于stack exchange，提问作者ManWarrior