Win2008远程桌面设置及远程控制(DOC)

Windows Server 2008远程桌面设置
启远程桌面后，Windows Vista（或Windows 2008）下默认只支持一个adm inistrator用户登
陆，一个登录后另一个就被踢掉了，下面提供允许同一个用户名同时多个用 户登录的配置方法
（是pcbeta论坛的skyskai的方法）：
首先要启用远程桌面这一功能：右击“我的电脑”→ 属性 → 远程配置 → 远程桌面，就
可以配置相应的远程桌面功能了。下面是配置多用户登陆的方法：
打开 控制面板 → 管理工具 → 终端服务（Terminal Services） → 终端服务配置（Terminal
Services Configuration）
1、（修改可以同时登陆的人数，包括自己，默认为2个，如果只需要另外一个人远程登陆
你的电脑的话 ，比如mm或gg，那么这一步就不用做了，直接跳到第二步）连接（Connections）：
RD P-tcp 点右键 → 属性 → 网络适配器（Network Adapter） → 最大连接数 → 自己修改数
目。
2、配置（Edit settings）：终端服务器授权模式（Terminal Services licensing mode） → 点
右键 → 属性 → 常规 → 限制每个用户只能使用一个会话（Restrict each user to a single
session），去掉前面的勾 → 确定。到这里就可以多用户登录了。如果设置没有生效，重启一
下（试过了，生效d）。
3、为防止恶搞，阻止远程用户终止控制台管理员。开始 → 运行 → → 计算机
配置 → 管理模板 → Windows组件（Windows Components） → 终端服务（Terminal Services）
→ 终端服务器（Terminal Server） → 连接（Connections） → 拒绝将已经登录到控制台会话
的管理员注销（Deny logoff of an administrator logged in to the console session），右击 → 属性 →
启用。（重启生效）

（1） 开始—运行，输入，打开远程桌面主机会话配置。右键RDP-Tcp，
属性。

“常规”选项卡，安全性，安全层更改为“SSL (TLS 1.0)”,加密级别设为“高”。
（2） 开始—运行，输入“”，打开本地组策略编辑器。
计算机配置管理模板Windows 组件远程桌面服务远程桌面会话主机远程会
话环境
从“关机”对话框删除“断开连接”选项
●启用 在“关机”对话框中删除“关机”和重新 启动。以防止不熟悉的管
理员意外把远程桌面服务器关机或重启。
●禁用 “关机”对话框无改变
这个功能非常有用，特别是公司的域管理员比较多时，你负责远程桌面服务器的管理，你不想别的管理员因为不小心把这台服务器关闭时，可以启用此
选项。不过这并不影响你 使用命令来关机和重启。
重启服务器命令：shutdown –r -f –t 0 (强制计算机立即重启)
关闭服务器命令：shutdown –s -f –t 0 (强制计算机立即关机)
（3） 更改控制面板类文件的权限
● 取得c:windows system32*.msc文件的所有权为administrats组。在目录
c:windows system32*.msc默认的文件所有者为TrustedInstaller。
takeown F c:windowssystem32*.msc A
注意：运行这个 命令必须以本地计算机的administrator帐号运行才能成功。
如果以域管理员运行，即使加 入了本地管理员组，执行命令显示成功，也不
能取得文件所有者。
● 删除c:windowssystem32*.msc文件的的所有权限。
我使用脚本来删除User s组对c:windowssystem32*.msc文件
的所有权限，使用方法及下载，请看我的博 客文章：

http:
批处理命令：
for R c:windowssystem32 %i in (*.msc) do cscript d: %i E R
出现下面的错误提示:
Starting (Version: 5.2) Script at 20091231 13:57:19
****************** ******************************
* Script not tested on this version of Windows *
********** **************************************
This script hasn't been tested on version
Currently, the script has been tested on the following:
Win2000, WinXP, Win2003
Previous versions of Windows NT can use:

For more recent versions, there may be an update to this script.
Please contact David Burrell (dburrell@)
Note: WMI must be installed for this script to function.
If you need to run this script on the current OS,
and you verified WMI is installed, do the following:
open this script in Notepad
search for Function IsOSSupported()
change this line:
Case
to:
Case
Save the script.
Exiting script now.
Operation Complete
Elapsed Time: .078125 seconds.
Ending Script at 20091231 13:57:19
看上面的提示：我们知道在编写时只有Win2000, WinXP, Win2003，因此对于
Win2008不认识，提示中指明了修改的方法：
编辑文件，查找Function IsOSSupported()，把这一行Case 更改
为Case 。这样就可以识别Win2008了。
也可以对整个文件夹或者磁盘的用 户权限进行修改，但对于一个目录及子目录下
特定的一组文件进行权限修改无效，因此使用了for命令 递归实现。For命令的参数，好多文章
中都写了应该使用%%i，但在命令行执行时会提示：“此时不 应该有%%i”，把%%i更改为%i就可
以。如果在一个批处理文件中使用%%i也是可以的，读者可 以自己测试。

Windows Server 2008的远程控制

【IT专家网评论】为了提高Windows Server 2008系 统的管理与控制效率，许多有经验的网络
管理员都喜欢使用远程桌面连接功能，来对该系统进行远程控制 ;不过，远程桌面连接虽然能够
给我们带来方便，但是也容易被攻击者偷窥利用。为了既能高效控制Wi ndows Server 2008系统，
又能保证开启的远程桌面功能不会被非法利用，我们需要对Windows Server 2008系统的远程桌面
连接设置进行深入挖掘。
1、善用注销，保持远程连接通畅
在默认状态下，Windows Server 2008服务 器在远程桌面配置模式状态下，最多只允许两个用
户与之建立远程控制连接。在这种情形下，当我们以远 程桌面连接方式登录进该服务器系统，
并对该服务器系统进行适当控制后，如果简单地关闭远程桌面连接 窗口的话，此次远程桌面连
接只是暂时处于断开状态，该连接仍然会消耗Windows Server 2008服务器的系统资源，占用该系
统的远程连接数量。这个时候，要是有其他的网络管理员尝试通过 远程桌面连接方式，登录到
Windows Server 2008服务器系统时，对应系统就会弹出 提示说用户连接数量由于超过授权数量而
不能正常登录，那么远程连接就无法保持正常通畅状态。为了让 远程桌面连接始终通畅，我们
应该在完成远程控制操作后，善于对Windows Server 20 08服务器系统执行注销用户操作，以便强
行关闭该用户连接运行的所有应用程序，并且强制结束该用户 连接运行的所有前台进程，那样
一来其他用户日后就能很顺畅地与该服务器系统建立远程桌面连接了。要 注销某个用户的远程
桌面连接时，我们可以按照下面的操作步骤来进行：
首先以系统管理员权限登录进入Windows Server 2008服务器系统，依次单击“开始”“运行 ”命
令，在弹出的系统运行对话框中，输入字符串命令“cmd”，单击回车键后，将系统工作状态切换
到DOS命令行界面;

图1 查看远程登入用户名
其次在该界面的命令行中输入“quser”字符串命令，单击回车键后，从返回的如图1所示结果
界面中，我们会看到所有远程连接的用户名、会话名、连接标识等信息，记录下某个目标用户
的 连接标识;例如，要是我们想注销aaa用户的远程连接时，先找到aaa用户的连接标识，假设
该连接 标识为3时，我们只要在DOS命令行界面中执行“logoff 3”字符串命令，Windows Server 2008
服务器系统就会强迫aaa用户从对应系统中注销了，此时该用户占用的远程连 接就被释放出来，
日后其他人就能顺利与Windows Server 2008服务器系统建立远程桌面连接了。
当然，要注销某个用户的远程桌面连接操作时，我们也可以在Windows Server 2008服务器系
统本地，打开对应系统的任务管理器窗口，单击该窗口中的“用户”标签，并在对应标签设置页面
中选中目标用户账号名称，同时用鼠标右键单击该账号名称，再执行快捷菜单中的“注销”命令就
可以 了。
2、限制数量，确保远程连接高效
很多人为了方便管理Windows Server 2008服务器系统，往往会将该系统的远程桌面连接数量
设置得很大;殊不知，每一个 远程桌面连接都需要耗费Windows Server 2008服务器系统资源，一旦
同时建立的远程连接数量比较多时，那么Windows Server 2008服务器系统的反应就比较迟钝，这
样一来每一个远程桌面连接的反应自然也就迟钝了，此时自然 也就不能高效进行远程控制操作
了。为了确保远程桌面连接始终高效，我们可以对Windows Server 2008服务器系统允许建立的远
程连接数量进行适当限制，下面就是具体的限制步骤：
首先打开Windows Server 2008服务器系统的“开始”菜单，从中依次点选“设 置”“控制面板”命
令，在弹出的系统控制面板窗口中，用鼠标双击“管理工具”图表，再从系统管理工 具列表窗口中
依次双击“终端服务”、“终端服务配置”选项，弹出系统终端服务配置界面;
其次在终端服务配置界面的左侧位置处单击“授权诊断”节点选项，选中在对应该分支选项的
右侧显示区 域中的“RDP-Tcp”选项，并用鼠标右键单击“RDP- Tcp”选项，再点选快捷菜单中的“属性”
命令，进入到“RDP-Tcp”选项设置界面;
点选“RDP-Tcp”选项设置界面中的“网络适配器”选项卡，在对应的选项设置页面中，将最 大连
接数参数修改为适当的数值，该数值通常需要根据服务器系统的硬件性能来设置，一般情况下
我们可以将该数值设置为“5”以下，最后单击“确定”按钮执行设置保存操作。

图2 修改注册表限制远程连接数量

要是我们对系统注册表比较熟悉的话，也可以通过修改系统相关键值的方法，来限制
Windows Server 2008服务器系统的远程桌面连接数量;我们可以打开对应系统的“开始”菜单，从中
点选“运行”命令，在弹出的系统运行对话框中输入字符串命令“regedit”，单击回车键后，进入系统< br>注册表控制台窗口;展开该控制台窗口中的
“HKEY_LOCAL_MACHINESOFTW AREPoliciesMicrosoftWindows NTTerminal Services”注册 表子项(如图2
所示)，在目标注册表子项下面创建好“MaxInstanceCount”双字节值 ，同时将该键值数值调整为“10”，
最后单击“确定”按钮保存好上述设置操作。
3、巧选版本，控制远程连接安全
很多时候，当我们尝试从普通版本的计算机系统中远程连接Windows Server 2008服务器系统
时，会发现即使在网络连接正常、并且使用了正确的登录帐号的情况下，也无法通过远程桌面
连 接控制目标服务器系统，出现这种奇怪的故障，究竟是怎么回事呢?其实这种现象在远程控制
Windo ws Server 2008服务器系统的过程中经常容易出现，出现这种现象的原因主要是目标服务器
系统对远程连接的客户端系统版本进行了限制，在默认状态下只有Windows Vista、Windows Server
2008等版本的计算机系统才有资格与目标服务器系统 建立远程桌面连接，而其他系统是不能通
过远程桌面来连接Windows Server 2008服务器系统的。
很明显，从安全角度考虑，我们应该对客户端系统的版本进行合适限制，确保只有类似
Windows Vista这样安全性能比较高的客户端系统，才能使用远程桌面连接功能，下面是选用合适
系统版本的 具体操作步骤：

首先打开Windows Server 2008服务器系统的 “开始”菜单，从中依次点选“设置”、“控制面板”命
令，在弹出的系统控制面板窗口中逐一点击“系 统和维护”、“系统”选项，打开系统管理窗口，单
击该窗口左侧列表中的“远程设置”选项，进入系统 属性界面的“远程”标签设置页面;

图3 远程桌面连接规则

其次在该标签设置页面中，我们会发现Windows Server 2008服务器系统为用户提供了两个重
要的功能选项，一个选项是“允许运行任意版本远程桌面的计算机连接(较不安全)”(如图3所示)，
还有一个是“只允许运行带网络身份验证的远程桌面的计算机连接(更安全)”;如果选择了前面的选项，那么Windows Server 2008服务器系统的安全性是很难得到保证的，毕竟该选项会 允许任意
版本的系统与目标服务器系统建立远程桌面连接。为此，我们需要选中“只允许运行带网络身份
验证的远程桌面的计算机连接(更安全)”，以便限制只有Windows Vista以上版本系统才 能与目标服
务器系统建立远程桌面连接;选择好合适版本选项后，再单击对应设置窗口中的“确定”按钮 执行
设置保存操作。
4、修改端口，谨防非法远程连接
一旦启用了Windows Server 2008服务器系统的远程桌面连接功能后，在默认状态下，对应该
系统的3389端口会被自动开启;但由于该端口很容易被人非法利用，出于安全考虑，我们应该为

Windows Server 2008服务器系统设置一个陌生的远程桌面连接端口;要 修改远程桌面连接端口时，
我们应该按照如下步骤来操作：
首先在Windows Server 2008服务器系统桌面上依次单击“开始”“运行”命令，在弹出的系统运
行对话框中 ，输入字符串命令“regedit”，单击回车键后，打开对应系统的注册表编辑界面;
其次在 该编辑界面左侧位置处，展开
HKEY_LOCAL_MACHINESYSTEMCurrentCo ntrolSetControlTerminal ServerWinStationsRDP-Tcp注册 表
分支选项，在目标分支下面双击PortNumber键值，打开PortNumber键值的数值设 置窗口，在其
中输入新的端口号码，例如要将新的远程桌面连接端口号码设置成8866时，我们只要选 中对应
窗口中的“十进制”选项，同时将“8866”数字填写在数值文本框中(如图4所示)，最后单 击“确定”按
钮保存好上述设置操作。

图4 为远程连接限制端口号

日后，当我们再次使用远程桌面连接功能与目标服务器系统建立远程控制连接时，必须在
目标服务器主机后面添加上新的远程连接端口号码，这样才能成功连接到目标服务器系统上，
那 些不知道新远程桌面端口号码的用户是不能随便与Windows Server 2008服务器系统建立远程
桌面连接的。
5、调整服务，恢复远程桌面功能
有的时候，我们打开Windows Server 2008服务器系统的“开始”菜单，竟然找不到远程桌面 连
接功能选项，如此一来我们就不能正常利用该功能来对局域网中的其他服务器系统进行远程控
制操作，那么该如何恢复对应系统的远程桌面功能呢?一般来说，远程桌面连接功能选项从系统
的“开始 ”菜单中消失，多半是Windows Server 2008服务器系统的“Terminal Servi ces”服务被意外关闭

引起的，我们只要按照下面的操作，将“Terminal Services”服务的运行状态恢复正常就能解决问题
了：
首先右击Windows Server 2008服务器系统桌面中的“我的电脑”图标，点选右键菜单中的“管理”
命令，从弹 出的计算机管理窗口中逐一点选“服务和应用程序”、“服务”功能选项，再从“服务”分支
下面找到“ Terminal Services”系统服务;

图5 终端服务的开启与停止

其次用鼠标双击目标系统服务选项，进入如图5所示的目标系统服务属性窗口，单击该窗
口“常规”页面中的“启动”按钮，同时将该服务的启动类型调整为“自动”，最后单击“确定”按钮执 行
设置保存操作，相信经过这样的操作，Windows Server 2008服务器系统的远程桌面功能选项就能
恢复正常了。
要是在“Terminal Services”服务工作状态正常的情况下，Windows Server 2008服务器系统的远程< br>桌面功能选项还不能正常显示时，那很可能是对应的系统组件文件遭遇了破坏，此时我们可以
尝试 在系统的运行对话框中，执行“regsvr32 ”字符串命令，来将受损的相关组件文件恢
复正常。
6、巧妙授权，限制用户远程连接

Windows Server 2 008服务器系统在默认状态下，允许administrator用户有权使用远程桌面连接
功能，而 事实上administrator用户常常容易被非法用户偷偷使用。为了防止用户随意远程连接
Wi ndows Server 2008服务器系统，我们可以按照如下操作来授权特定用户有权远程连接目标服务
器系统，其他用户则无权限使用远程桌面连接目标系统：
首先打开Windows Server 2008服务器系统的“开始”菜单，从中依次点选“程序”、“附件”选项，
再用鼠标 右键单击下拉菜单中的“命令提示符”命令，同时点选右键菜单中的“以管理员身份运行”
选项，切换进 入对应系统的DOS命令行窗口，在该窗口的命令行提示符下执行“net user administrator
active:no”命令(如图6所示)，禁止administra tor用户使用远程桌面连接功能访问本地系统;
其次依次点选“开始”、“程序”、“管理工具 ”、“服务器管理器”命令，在弹出的服务器管理器窗
口中点击右侧位置处的“配置远程桌面”功能选项 ，进入目标系统的远程桌面功能设置窗口，单击
其中的“选择用户”按钮，打开如图6所示的设置界面;

图6 限制指定用户远程登陆

删除该设置界面中已经存在的 所有账号，之后单击“添加”按钮，从弹出的用户账号选择框中
找到特定用户的登录账号，再单击“确定 ”按钮保存好上述设置操作，如此一来只有指定的用户可
以使用远程桌面功能来对Windows Server 2008服务器系统进行远程控制操作了，其他用户则不可
以。