Remote-Desktop-Zugriff auf einem Server konfigurieren, ohne sich auszusperren

Ziel

Remote Desktop auf einem Windows-Server-Host aktivieren, Network Level Authentication eingeschaltet lassen, den Kreis der anmeldeberechtigten Benutzer einschränken und aktive Sitzungen einsehen und beenden können – alles per Skript und ohne dass die Änderung von der RDP-Sitzung der Maschine selbst abhängt (diese würde mitten in der Änderung getrennt).

Voraussetzungen

Lokale Administratorrechte; eine andere Verbindungsmethode als RDP selbst, um die erste Änderung aus der Ferne vorzunehmen (PowerShell-Remoting, eine Verwaltungskonsole oder physischer Zugriff bzw. iLO). Das Aktivieren von RDP aus einer RDP-Sitzung heraus ist unproblematisch, das Deaktivieren dagegen nicht.

Schritte

1. Vor jeder Änderung den aktuellen Zustand prüfen: Get-ItemProperty -Path "HKLM:\System\CurrentControlSet\Control\Terminal Server" -Name fDenyTSConnections. Laut Microsofts eigener Anleitung zur RDP-Fehlerbehebung bedeutet der Wert 1, dass RDP deaktiviert ist, und 0, dass es aktiviert ist.
2. RDP aktivieren: Set-ItemProperty -Path "HKLM:\System\CurrentControlSet\Control\Terminal Server" -Name fDenyTSConnections -Value 0.
3. Die Firewall-Regelgruppe aktivieren, damit Verbindungen den Server tatsächlich erreichen: Enable-NetFirewallRule -DisplayGroup "Remote Desktop" (der Anzeigename ist lokalisiert; -Group "@FirewallAPI.dll,-28752" funktioniert in jeder Sprache).
4. Network Level Authentication (NLA) eingeschaltet lassen, ausser ein bestimmter älterer Client unterstützt sie nicht – UserAuthentication = 1 unter HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp. Laut Microsofts Anleitung zum Zulassen des Remotezugriffs fügt NLA «Remotedesktopverbindungen eine zusätzliche Sicherheitsebene hinzu», indem sie eine Authentifizierung verlangt, bevor eine Sitzung aufgebaut wird, und so die Angriffsfläche des Sitzungs-Stacks für nicht authentifizierte Angriffe verringert.
5. Standardmässig dürfen sich Administratoren und Mitglieder der integrierten Gruppe Remote Desktop Users anmelden. Nicht-Administratoren den Zugriff über diese Gruppe gewähren, statt sie zu Administratoren zu machen (Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CONTOSO\jdoe"). Auf einem Domänencontroller wird das Recht «Allow log on through Remote Desktop Services» standardmässig nur den Administratoren gewährt. Domänencontroller haben keine lokalen Gruppen, daher würde die domänenweite Builtin-Gruppe Remote Desktop Users den Zugang zu jedem Domänencontroller öffnen – diese Standardeinstellung beibehalten.
6. Sitzungslimits (Leerlauf- und Trennungs-Timeouts) werden über Richtlinienwerte gesteuert, darunter MaxIdleTime, MaxDisconnectionTime und MaxConnectionTime (in Millisekunden). Sie werden in der Gruppenrichtlinie unter Computer Configuration > Administrative Templates > Windows Components > Remote Desktop Services > Remote Desktop Session Host > Session Time Limits gesetzt oder über die entsprechenden Registrywerte unter dem Terminal-Services-Richtlinienschlüssel.
7. Vor dem Trennen einer Verbindung prüfen, wer tatsächlich verbunden ist: quser /server:SRV1. Um eine bestimmte, dort gefundene Sitzung zu beenden: logoff <ID> /server:SRV1 – dabei gehen nicht gespeicherte Arbeiten in dieser Sitzung verloren.

Erwartetes Ergebnis

quser listet aktive und getrennte Sitzungen mit ihren Sitzungs-IDs auf; nur Administratoren und Mitglieder von Remote Desktop Users können eine neue RDP-Sitzung aufbauen; ein Client ohne NLA-Unterstützung wird abgewiesen, statt stillschweigend auf ein schwächeres Verfahren zurückgestuft zu werden.

Grenzen und Prüfbasis

Die beiden Zustände von fDenyTSConnections sind in Microsofts RDP-Anleitung zur Fehlerbehebung dokumentiert. Die Hinweise zur Gruppe Remote Desktop Users und zu NLA sind in Microsofts Artikeln zum Remotezugriff und zu den RDS-Sicherheitsrechten dokumentiert. MaxIdleTime und MaxConnectionTime erscheinen in Microsofts Dokumentation zur Fehlerbehebung beim RDS-Sitzungsverhalten; quser und logoff sind dokumentierte Windows-Befehle. Rückgängig machen: fDenyTSConnections wieder auf 1 setzen und Disable-NetFirewallRule -DisplayGroup "Remote Desktop" ausführen – und zwar über eine andere Verbindungsmethode als die RDP-Sitzung, die dadurch geschlossen wird. Für keine dieser Einstellungen ist ein Neustart nötig, damit sie für neue Sitzungen gelten; Änderungen an Gruppenmitgliedschaften und Richtlinien greifen erst bei der nächsten Anmeldung, nicht in einer bereits geöffneten Sitzung.