RDP连接卡在安全握手阶段，主因是证书损坏、CredSSP策略冲突或加密协商失败；应优先清理远程桌面证书并重启服务，再调整CredSSP策略为“易受攻击”，并将安全层设为RDP或协商、加密级别设为低级，同时启用完整远程桌面防火墙规则组。

这个问题多数由证书损坏、credssp策略冲突或加密协商失败引起，不是网络不通，而是安全握手阶段卡住了。重点先查证书和credssp设置，再看组策略加密层级。

清理远程桌面证书并重启服务

证书损坏是最常见的直接原因，尤其在系统更新或异常关机后。RDP服务会因旧证书失效而无法完成TLS握手。

• 用VNC或本地登录目标机器（不能靠RDP进）
• 运行 certlm.msc，展开左侧“远程桌面 → 证书”，删掉右侧所有证书（若为空则跳过）
• 以管理员身份打开命令提示符，依次执行：
  net stop termservice /y
  net start termservice
• 服务重启后会自动生成新证书，无需手动导入

修复 CredSSP 加密 Oracle 策略

CVE-2018-0886补丁强制启用了CredSSP加密校验，若客户端或服务器一方未打补丁，或策略设为“缓解”或“强制”，就会报错。

windows-auto

Windows 桌面自动化技能，支持鼠标控制（移动/点击/拖拽/滚轮/截图）、键盘输入（文字输入/按键/组合键）、窗口管理（查找/聚焦/最大化/最小化/关闭/移动）、截图并发送文件。提供两种截图方式：Python pyautogui 截图（集成在自动化流程中）和 PowerShell + .NET 零依赖截图（支持区域截图和多显示器）。当用户需要自动化 Windows 桌面操作、控制鼠标键盘、管理窗口、执行 GUI 自动化任务、截图发送文件时使用。

下载

• 运行 gpedit.msc，定位到：
  计算机配置 → 管理模板 → 系统 → 凭据分配 → 加密Oracle修正
• 将其设为 已启用，策略值选 易受攻击（仅临时排障用）
• 家庭版无组策略？改注册表：
  路径：HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters
  新建 DWORD（32位）值 AllowEncryptionOracle，数值数据填 2

调整远程桌面安全层与加密级别

高加密要求（如FIPS或SSL/TLS强制）可能让旧客户端无法协商，导致连接建立后秒断。

• 运行 gpedit.msc，进入：
  计算机配置 → 管理模板 → Windows 组件 → 远程桌面服务 → 远程桌面会话主机 → 安全
• 双击“要求使用特定的安全层进行远程(RDP)连接”：
  设为已启用 → 安全层选 RDP 或 协商（别选SSL/TLS）
• 再检查“远程桌面会话主机 → 安全 → 设置客户端连接加密级别”：
  设为 低级 或 客户端兼容（非“高”或“FIPS兼容”）

确认防火墙放行的是规则组，不是单端口

只开3389端口不够。RDP依赖动态RPC端口和用户模式入站规则，缺一不可。

• 运行：netsh advfirewall firewall show rule name="RemoteDesktop-UserMode-In-TCP"
  确保 Active 字段为 Yes
• 若为No，执行：
  netsh advfirewall firewall set rule group="远程桌面" new enable=Yes
• 别忘了UDP规则（RemoteDesktop-UserMode-In-UDP），尤其对Win11+新版客户端