全新部署Win10 Pro 20H2工作站无法建立RDP与Radmin远程连接故障

已排除的无效排查方向 #

• 基础网络连通性：ICMP、SMB、RPC、PSEXEC通道均正常，不存在路由不可达、基础端口拦截问题
• RDP核心配置：注册表fDenyTSConnections值为0（RDP未被系统禁用），3389端口处于正常监听状态，RDP相关依赖服务全部运行正常
• 本地防火墙干扰：域、专用、公用三类防火墙配置全部处于关闭状态，不存在本地防火墙拦截入站连接的可能
• 域策略管控：设备为独立WORKGROUP非域环境，无域GPO下发配置，排除域策略强制限制远程连接的场景

核心潜在根因 #

• 工作组环境下的本地账号权限限制：Win10非域部署时，RDP默认仅允许本地管理员组、远程桌面用户组内的账号接入，若连接所用账号为标准用户、且未加入对应权限组，会直接触发静默连接拒绝，无明确报错日志
• Radmin 兼容与配置问题：Radmin v3.5.2.1 存在Win10 20H2版本兼容问题，全新部署时默认未开启服务监听，且该服务不依赖RPC/SMB通道通信，因此会出现PSEXEC/SMB可通但Radmin无法建立连接的现象
• 网络中间设备的定向端口拦截：虽然ICMP、SMB（445/139）、RPC（135/动态端口）的访问策略已放通，但部分内网交换机/边界设备会针对3389（RDP）、4899（Radmin默认端口）配置单独的访问控制策略，未放通对应流量

验证与修复操作步骤 #

• 利用现有PSEXEC通道远程执行命令，核查远程桌面用户组成员列表：
  net localgroup "Remote Desktop Users"
  若列表中无当前尝试连接的账号，执行命令将账号加入权限组：
  net localgroup "Remote Desktop Users" 目标连接账号 /add
• 远程核查Radmin服务运行状态：
  sc query rserver
  若服务未正常运行，执行命令将服务设置为自动启动并拉起：
  sc config rserver start= auto && sc start rserver
  同步核查Radmin默认监听端口4899的状态：
  netstat -ano | findstr :4899
• 从连接客户端侧执行端到端端口连通性测试，排除中间设备拦截问题：
  Test-NetConnection 目标工作站IP -Port 3389
Test-NetConnection 目标工作站IP -Port 4899
• 临时调整RDP网络级别身份验证（NLA）配置，解决旧版本RDP客户端协议不匹配问题：
  reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v UserAuthentication /t REG_DWORD /d 1 /f
• 额外安全提示：当前设备已开启SMB1协议，存在安全风险，建议通过Disable-Smb1Protocol -RemoveFeature命令关闭，避免后续被利用。

内容的提问来源于stack exchange，提问作者Bruce Gavin