啟用遠端桌面 (RDP) 基礎步驟

1. 以系統管理員登入 Windows Server 2003
2. 右鍵「我的電腦」→ 「內容」 → 「遠端」頁籤
3. 勾選「允許使用者遠端連線到此電腦」
4. 點選「選取遠端使用者...」 → 加入需遠端登入的使用者帳號 (Administrators 群組預設已有權限)
5. 確定套用

關鍵前提：目標帳號 **必須設定密碼** (空白密碼預設拒絕網路登入)，且防火牆需開放 TCP 3389。

常見連線失敗分類與對策

類別一：完全無法連線 (客戶端報「無法連線到遠端電腦」)

可能原因	排查與解決
防火牆封鎖 3389	Windows 防火牆 → 例外 → 勾選「遠端桌面」/ 添加埠 TCP 3389；第三方防火牆同步放行
TCP/IP 篩選/ IPSec 策略阻擋	網路連線 → 本地連線 → 內容 → TCP/IP → 進階 → 選項 → TCP/IP 篩選 → 關閉或允許 3389；檢查 gpedit.msc → IP 安全性原則
Terminal Services 服務未啟動	services.msc → Terminal Services → 啟動類型=自動、啟動；相依服務: Remote Procedure Call (RPC)、Telephony 同步檢查
殺毒/安全軟體攔截	暫停/卸載測試；或加入信任區域、排除 3389 埠、mstsc.exe、termsrv.dll
群組原則限制	gpedit.msc → 電腦設定 → 系統管理範本 → Windows 元件 → 終端機服務 → 「拒絕使用者透過終端機服務登入」→ 未設定/已停用
埠口衝突/被修改	見下方「修改 RDP 埠口」章節

類別二：連線成功但無法登入 (顯示「沒有權限」/「帳號鎖定」/「密碼錯誤」)

原因	解決
帳號無密碼/密碼錯誤	確認目標帳號有強密碼；嘗試本機登入驗證密碼正確性
帳號不在「遠端桌面使用者」群組	lusrmgr.msc → 群組 → Remote Desktop Users → 加入帳號
群組原則「拒絕透過終端機服務登入」包含該帳號/群組	gpedit.msc → 電腦設定 → Windows 設定 → 安全性設定 → 本地原則 → 使用者權利指派 → 「拒絕透過終端機服務登入」移除該帳號
「允許透過終端機服務登入」未包含該帳號/群組	同路徑 → 「允許透過終端機服務登入」 → 加入 Remote Desktop Users 群組或具體帳號
帳號鎖定/密碼過期	lusrmgr.msc → 解鎖/取消密碼過期/設定永不過期
網路層級驗證 (NLA) 不相容	Win 2003 不支援 NLA；客戶端 (Win 7+) 需在 RDP 檔/介面取消「僅允許使用網路層級驗證的遠端桌面連線」

修改 RDP 預設埠口 3389 (提高安全性/解決衝突)

⚠ 修改註冊表有風險，操作前請匯出備份並確認可本機/緊急主控台存取

1. Win+R → regedit
2. 定位兩個鍵值，**兩者必須同步修改**：
   • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\Wds\rdpwd\Tds\tcp → PortNumber
   • HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp → PortNumber
3. 雙擊 PortNumber → 基數選「十進位」 → 輸入新埠號 (建議 10000–65535 避免衝突，如 33890)
4. 重新開機或重啟 Terminal Services 服務生效
5. 客戶端連線時輸入：IP:新埠號 (例：192.168.1.100:33890)
6. 防火牆/路由器/雲端安全組 **同步放行新埠號**

安全強化清單 (生產環境必做)

1. 修改預設埠口 (上述)
2. 啟用 **網路層級驗證 (NLA)** — 需客戶端支援 (Win XP SP3+/Win 7+)，伺服器端 2003 需安裝 CredSSP 更新 (KB951608)
3. 限制允許連線 IP：防火牆規則 / IPsec 策略 / RD Gateway / VPN 先建立通道再連 RDP
4. 強制複雜密碼 + 帳號鎖定原則 (gpedit.msc → 帳號原則)
5. 啟用 RDP 事件稽核：gpedit.msc → 稽核原則 → 稽核登入事件 (成功/失敗)
6. 定期檢視事件檢視器 → 安全性/系統/終端機服務 日誌，偵測暴力破解
7. 考慮部署 **RD Gateway / VPN / Zero Trust (Tailscale/Cloudflare Access)** 取代直接暴露 3389

驗證連線指令

# 本機測試埠口監聽
netstat -ano | findstr :3389
# 遠端測試連通性
telnet 192.168.1.100 3389
# PowerShell
Test-NetConnection -ComputerName 192.168.1.100 -Port 3389

注意：Windows Server 2003 已停止支援 (EOL 2015/07/14)

• 無安全性更新、無修補程式、合規風險極高
• 建議遷移至 Windows Server 2019/2022 或 Linux (RHEL/Ubuntu/Rocky) + xrdp/RDP 替代方案
• 若必須維持：隔離網段、嚴格防火牆、離線備份、虛擬化快照、應用程式相容性測試

結語

Windows Server 2003 遠端桌面核心在於：**服務啟動、防火牆放行、帳號有密碼且在 Remote Desktop Users 群組、埠口無衝突**。依「連不上 → 登不入」二維排查，配合註冊表修改埠口與安全強化，可將風險降至最低。但請務必規劃遷移路徑，勿讓 EOL 系統成為資安漏洞。