Windows Server 远程桌面连不上：从端口到登录权限逐步排查
Windows Server 远程桌面失败时，先区分“根本连不到登录界面”和“已输入凭据但被拒绝”。前者需要检查服务器状态、端口与监听服务；后者更可能涉及账号、策略或认证。关闭防火墙、关闭网络级别身份验证，都会扩大管理入口的暴露范围，不应作为常规修复办法。
先保留报错与可用管理入口
记录远程桌面客户端的完整提示、目标 IP 或域名、使用端口、最后一次成功时间和刚做过的修改。如果平台提供独立控制台，通过该入口确认 Windows 已启动、没有持续卡在更新界面，并观察内存、CPU 和系统盘是否耗尽。没有独立入口时，请服务方协助核对运行状态，避免在缺乏证据时反复强制重启。
默认 RDP 端口通常是 TCP 3389，但交付配置可能使用其他端口。在客户端“计算机”框中，自定义端口应使用 服务器地址:端口。域名连接失败而 IP 成功时，优先检查 DNS，而不是调整账号权限。
从 Windows 客户端测试 TCP 端口
在自己用于登录的 Windows 电脑上打开 PowerShell，把示例替换成真实地址与端口：
Test-NetConnection -ComputerName 203.0.113.10 -Port 3389 -InformationLevel Detailed
查看 RemoteAddress 是否是预期服务器，以及 TcpTestSucceeded 的值。False 表示本次 TCP 连接没有成功，继续检查网络与监听；True 只证明端口可建立 TCP 连接，不能证明 RDP 协议、证书或账号认证全部正常。PingSucceeded 是另一个结果，不应替代端口测试。Microsoft 远程桌面连接故障说明
端口不通：对照来源策略和服务监听
先核对客户端当前公网出口地址，尤其是宽带重拨、办公网络更换或 VPN 连接发生变化之后。平台侧访问规则如果只允许固定来源，原来的地址可能已经失效。更新为新的授权来源地址或网段，并同步检查 Windows Defender 防火墙规则适用的网络配置文件、端口与远程地址范围。
在服务器的可信管理入口中，可以进行只读检查：
Get-Service TermService
Get-NetTCPConnection -State Listen -LocalPort 3389
qwinsta
端口应替换为实际配置值。服务存在不代表监听正常；qwinsta 的输出有助于检查 RDP 监听器状态。若服务未运行，先检查系统事件日志中的停止原因；若端口由其他进程占用，确认进程身份与配置变更，再处理冲突。重启远程桌面服务会影响现有会话，需要在可用管理入口和维护安排下执行。Microsoft 通用 RDP 排查
如果同一来源无法连接，但另一个授权管理网络正常，继续查来源限制和中间网络。若所有来源都失败，且服务器本地也没有监听，就先修复系统侧问题。不要为了验证猜想临时放通全部入站流量，因为这样无法明确是哪条规则导致故障。
端口可通：检查账号与认证
确认输入的是目标 Windows 上的账号，而不是服务器购买平台账号。使用本地账号时可明确指定 服务器名\用户名，域账号则核对域名及域控制器连通性。客户端保存的旧凭据也可能持续提交错误密码；只清理这个目标对应的凭据后再重试，避免影响其他连接。
检查账号是否禁用、锁定、密码过期，以及是否被授权远程登录。属于某个组也不一定足够，组策略里的拒绝登录权限可能覆盖允许规则。结合事件查看器中的安全日志和 TerminalServices 相关日志，核对同一时间的失败原因，而不是反复尝试触发进一步锁定。
遇到网络级别身份验证或身份验证协议错误，保持 NLA 开启，优先检查客户端与服务端更新、时间同步、域连通性和账号状态；按照具体错误与系统版本查官方说明。NLA 会在建立完整桌面会话前执行认证，有助于减少未认证连接消耗的资源。Microsoft 远程桌面访问设置说明
恢复连接后，把入口收回可控范围
RDP 长期直接对整个公网开放，会持续受到扫描、口令尝试和漏洞利用探测。优先通过受控 VPN、远程桌面网关或固定管理来源接入；所采用的网关或身份系统支持多因素认证时，应按其方案启用。更换端口只能减少部分扫描噪声，不能替代访问限制、补丁和强认证。
修复后从实际管理电脑重新登录一次，确认来源规则仍然有效，再移除排查时加入的临时例外。保存原配置、变更原因与验证时间。若新规则导致失联，应通过保留的独立入口恢复原值，不要继续叠加未经验证的放行规则。
参考资料
- Microsoft：Remote Desktop can't connect to the remote computer
- Microsoft：General Remote Desktop connection troubleshooting
- Microsoft：Enable Remote Desktop on your PC