远程桌面连接失败多数因服务未运行、防火墙规则不全、账户无权限或凭据格式错误；需查termservice状态、启用“远程桌面”规则组、确认账户属Remote Desktop Users组并使用“计算机名\用户名”格式登录。
远程桌面连接失败，多数情况不是网络不通，而是服务、策略或凭据环节出了问题。重点排查方向是：服务是否运行、防火墙是否放行正确规则、账户是否有登录权限、凭据格式是否准确。
检查Remote Desktop Services是否真正运行
“连接被拒绝”或错误代码0x204，往往说明目标机器根本没在监听3389端口。这不是连不上，而是压根没开监听。
- 在目标机上以管理员身份运行命令提示符，执行：sc query termservice，确认状态为running
- 若未运行，先尝试手动启动：net start termservice
- 若启动失败或重启后又停止，需检查组策略是否禁用——路径为：计算机配置 → 管理模板 → Windows组件 → 远程桌面服务 → 远程桌面会话主机 → 连接，确认“允许用户通过远程桌面服务进行远程连接”已启用
- 同时核对注册表项：HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\fDenyTSConnections，值必须为0
确保防火墙启用完整RDP规则组
只开放3389端口远远不够。RDP依赖多个动态端口（如RPC端口），且Windows Defender防火墙默认仅对“专用网络”启用RDP入站规则。
- 运行命令查看规则状态：netsh advfirewall firewall show rule name="RemoteDesktop-UserMode-In-TCP"，确认Active字段为Yes
- 更可靠的做法是全局启用整个规则组：netsh advfirewall firewall set rule group="远程桌面" new enable=Yes
- 避免直接关闭防火墙——临时禁用可能暴露系统风险；应精准启用规则而非粗暴放行
验证账户权限与凭据有效性
即使密码正确，也会因权限缺失或上下文识别失败报“凭据不工作”或“账户限制无法登录”。
- 确认账户已加入Remote Desktop Users本地组：net localgroup "Remote Desktop Users"
- 用户名输入必须带上下文：计算机名\用户名（本地）或域名\用户名（域环境），不能只输用户名
- 检查账户状态：net user <username>，确认Account active为Yes、Password expires未过期
- 清除旧凭据缓存：打开控制面板 → 凭据管理器 → Windows凭据，删除所有含目标IP或计算机名的条目
处理NLA不兼容与安全策略拦截
启用了网络级身份验证（NLA）但客户端老旧（如Windows XP、部分Linux RDP工具），会导致连接在认证前就中断。
- 临时绕过NLA测试（仅限排查，勿长期使用）：修改注册表项HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\UserAuthentication，设值为0
- 若提示CredSSP加密Oracle错误，需在客户端或服务端组策略中调整：计算机配置 → 管理模板 → 系统 → 凭据分配 → 加密Oracle修正，设为“易受攻击”（仅内网临时方案）
- 启用NTLM委派（针对跨设备跳转场景）：gpedit.msc → 计算机配置 → 管理模板 → 系统 → 凭据分配 → 允许分配保存的凭据用于仅NTLM服务器身份验证，添加TERMSRV/*
