آموزش فعال‌سازی Remote Desktop در Windows Server

Remote Desktop یکی از روش‌های اصلی مدیریت Windows Server از راه دور است. با فعال‌سازی این قابلیت می‌توان از یک کامپیوتر دیگر به محیط دسکتاپ سرور متصل شد و تنظیمات، فایل‌ ها و نرم‌ افزارهای آن را مدیریت کرد.
در این مقاله، نحوه فعال‌سازی Remote Desktop در Windows Server از طریق Server Manager و PowerShell، اضافه کردن کاربران مجاز و بررسی اتصال را آموزش می‌دهیم.

Remote Desktop چیست؟

Remote Desktop قابلیتی است که امکان مشاهده و کنترل محیط Windows Server را از طریق شبکه فراهم می‌کند. این ارتباط با استفاده از پروتکل RDP یا Remote Desktop Protocol انجام می‌شود. پس از برقراری اتصال، مدیر سرور می‌تواند تقریباً مانند زمانی که مستقیماً پشت سرور قرار دارد، با Desktop، Server Manager، PowerShell و نرم‌ افزارهای نصب‌ شده کار کند.
برای استفاده از Remote Desktop باید شرایط زیر برقرار باشند:

• Remote Desktop روی سرور فعال باشد.
• سرور از طریق شبکه قابل دسترسی باشد.
• Windows Firewall اتصال RDP را مجاز بداند.

پورت پیش‌ فرض Remote Desktop

پورت پیش‌فرض RDP در Windows Server برابر است با:

3389

برای اتصال از طریق شبکه، این پورت باید در Windows Firewall و در صورت وجود، فایروال دیتاسنتر یا پنل سرور نیز قابل دسترسی باشد.

روش اول: فعال‌سازی Remote Desktop از طریق Server Manager

مرحله اول: ورود به Local Server

ابتدا Server Manager را باز کنید. از منوی سمت چپ وارد بخش زیر شوید:

Local Server

در بخش Properties گزینه زیر را پیدا کنید:

Remote Desktop

اگر Remote Desktop غیرفعال باشد، مقدار مقابل آن به شکل زیر نمایش داده می‌شود:

Disabled

برای آشنایی بیشتر با این کنسول می‌توانید به مقاله آشنایی با Server Manager مراجعه کنید.

مرحله دوم: باز کردن تنظیمات Remote Desktop

روی مقدار Disabled مقابل Remote Desktop کلیک کنید. پنجره System Properties و تب Remote باز می‌شود.
گزینه زیر را انتخاب کنید:

Allow remote connections to this computer

با فعال کردن این گزینه، Windows Server اجازه دریافت اتصال Remote Desktop را خواهد داشت.

مرحله سوم: فعال نگه داشتن NLA

گزینه زیر را فعال نگه دارید:

Allow connections only from computers running
Remote Desktop with Network Level Authentication

Network Level Authentication یا NLA از کاربر می‌خواهد پیش از ایجاد کامل Session احراز هویت شود. این قابلیت باعث می‌شود منابع سرور قبل از تأیید هویت کاربر در اختیار اتصال قرار نگیرند و یک لایه امنیتی بیشتر ایجاد می‌کند. مایکروسافت فعال نگه داشتن NLA را برای بیشتر محیط‌ ها توصیه می‌کند.
در پایان روی Apply و سپس OK کلیک کنید.

فعال‌سازی Remote Desktop معمولاً به Restart سرور نیاز ندارد.

اضافه کردن کاربر مجاز به Remote Desktop

اعضای گروه محلی Administrators به‌صورت پیش‌فرض اجازه اتصال مدیریتی دارند. برای اتصال با یک حساب غیر مدیر باید آن حساب را به گروه Remote Desktop Users اضافه کنید.
در پنجره تنظیمات Remote Desktop روی گزینه زیر کلیک کنید:

Select Users

سپس مراحل زیر را انجام دهید:

• روی Add کلیک کنید.
• نام کاربر را وارد کنید.
• روی Check Names کلیک کنید.
• گزینه OK را انتخاب کنید.

برای کاربر محلی می‌توانید نام را به شکل زیر وارد کنید:

SERVER-NAME\Username

اضافه کردن کاربر به گروه Remote Desktop Users فقط مجوز اتصال از راه دور را فراهم می‌کند و آن حساب را به Administrator تبدیل نمی‌کند.

روش دوم: فعال‌سازی Remote Desktop با PowerShell

PowerShell را با گزینه Run as administrator باز کنید.

فعال کردن اتصال RDP

دستور زیر را اجرا کنید:

Set-ItemProperty `
-Path "HKLM:\System\CurrentControlSet\Control\Terminal Server" `
-Name "fDenyTSConnections" `
-Value 0

مقدار صفر برای fDenyTSConnections به Windows اعلام می‌کند که اتصال‌ های Remote Desktop مجاز هستند.

فعال کردن Ruleهای Windows Firewall

پس از فعال‌سازی RDP، Ruleهای داخلی Remote Desktop را در Windows Firewall فعال کنید:

Enable-NetFirewallRule -DisplayGroup "Remote Desktop"

فعال کردن Network Level Authentication

برای اطمینان از فعال بودن NLA دستور زیر را اجرا کنید:

Set-ItemProperty `
-Path "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" `
-Name "UserAuthentication" `
-Value 1

مقدار 1 به معنی الزامی بودن Network Level Authentication پیش از ایجاد اتصال RDP است.

اضافه کردن کاربر به Remote Desktop Users

برای اضافه کردن یک کاربر محلی:

Add-LocalGroupMember `
-Group "Remote Desktop Users" `
-Member "ServerUser"

دستور Add-LocalGroupMember یک حساب کاربری یا گروه را به گروه امنیتی محلی اضافه می‌کند و مجوزهای همان گروه را در اختیار عضو جدید قرار می‌دهد.
برای مشاهده اعضای گروه:

Get-LocalGroupMember -Group "Remote Desktop Users"

بررسی Windows Firewall

فعال کردن Remote Desktop از طریق محیط گرافیکی معمولاً Ruleهای لازم Windows Firewall را نیز فعال می‌کند، اما بهتر است وضعیت آنها را بررسی کنید.
کلیدهای Windows + R را فشار داده و دستور زیر را اجرا کنید:

wf.msc

سپس وارد بخش زیر شوید:

Inbound Rules

Ruleهای مربوط به Remote Desktop را پیدا کنید. موارد اصلی معمولاً شامل گزینه‌ های زیر هستند:

Remote Desktop - User Mode (TCP-In)
Remote Desktop - User Mode (UDP-In)

حداقل Rule مربوط به TCP باید برای Network Profile مورد استفاده سرور فعال باشد. برای مشاهده Rule ها در PowerShell:

Get-NetFirewallRule -DisplayGroup "Remote Desktop"

غیرفعال کردن Remote Desktop

برای غیرفعال کردن از محیط گرافیکی، وارد مسیر زیر شوید:

Server Manager > Local Server > Remote Desktop

سپس گزینه زیر را انتخاب کنید:

Don't allow remote connections to this computer

برای غیرفعال کردن از طریق PowerShell:

Set-ItemProperty `
-Path "HKLM:\System\CurrentControlSet\Control\Terminal Server" `
-Name "fDenyTSConnections" `
-Value 1

در صورت عدم نیاز، Ruleهای Firewall را نیز غیرفعال کنید:

Disable-NetFirewallRule -DisplayGroup "Remote Desktop"

جمع‌بندی

فعال‌سازی Remote Desktop در Windows Server از طریق مسیر Server Manager > Local Server یا با تغییر مقدار fDenyTSConnections در PowerShell انجام می‌شود. پس از فعال‌سازی باید Ruleهای Remote Desktop در Windows Firewall، مجوز حساب کاربری و دسترسی پورت 3389 بررسی شوند. برای کاربران غیرمدیر نیز باید حساب موردنظر به گروه Remote Desktop Users اضافه شود.
برای افزایش امنیت، NLA را فعال نگه دارید و دسترسی RDP را فقط به IPهای مدیریتی محدود کنید.