Configurar el acceso a Escritorio remoto en un servidor sin quedarse fuera

Objetivo

Activar Escritorio remoto en un host con Windows Server, mantener activada la autenticación a nivel de red (Network Level Authentication, NLA), restringir quién puede iniciar sesión y saber cómo ver y finalizar las sesiones activas, todo ello desde un script y sin depender de la propia sesión RDP de la máquina para hacer el cambio (lo que provocaría una desconexión en mitad del proceso).

Requisitos previos

Derechos de administrador local; un método de conexión distinto del propio RDP para realizar de forma remota el cambio inicial (PowerShell remoting, una consola de administración o acceso físico/iLO), ya que activar RDP desde dentro de una sesión RDP es seguro, pero desactivarlo no lo es.

Pasos

1. Comprueba el estado actual antes de cambiar nada: Get-ItemProperty -Path "HKLM:\System\CurrentControlSet\Control\Terminal Server" -Name fDenyTSConnections. La propia guía de solución de problemas de RDP de Microsoft documenta que el valor 1 significa que RDP está desactivado y 0 que está activado.
2. Actívalo: Set-ItemProperty -Path "HKLM:\System\CurrentControlSet\Control\Terminal Server" -Name fDenyTSConnections -Value 0.
3. Habilita el grupo de reglas del firewall para que las conexiones puedan llegar realmente al servidor: Enable-NetFirewallRule -DisplayGroup "Remote Desktop" (el nombre visible está localizado; -Group "@FirewallAPI.dll,-28752" funciona en cualquier idioma).
4. Deja activada la autenticación a nivel de red (NLA) salvo que un cliente heredado concreto no pueda admitirla: UserAuthentication = 1 en HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp. La guía de Microsoft sobre cómo permitir el acceso remoto indica que NLA "adds an extra layer of security to Remote Desktop connections" (añade una capa adicional de seguridad a las conexiones de Escritorio remoto) al exigir autenticación antes de que se establezca la sesión, lo que reduce la exposición a ataques no autenticados contra la pila de sesiones.
5. Por defecto, pueden iniciar sesión los administradores y los miembros del grupo integrado Remote Desktop Users; concede acceso a los usuarios sin privilegios de administrador a través de ese grupo en lugar de convertirlos en administradores (Add-LocalGroupMember -Group "Remote Desktop Users" -Member "CONTOSO\jdoe"). En un controlador de dominio, el derecho «Allow log on through Remote Desktop Services» (Permitir el inicio de sesión a través de Servicios de Escritorio remoto) solo se concede por defecto a los administradores; los controladores de dominio no tienen grupos locales, así que el grupo Builtin Remote Desktop Users del dominio abriría el acceso a todos los controladores de dominio: mantén esa configuración predeterminada.
6. Los límites de sesión (tiempos de inactividad y de desconexión) se controlan mediante valores de directiva como MaxIdleTime, MaxDisconnectionTime y MaxConnectionTime (en milisegundos). Se establecen en la Directiva de grupo, en Computer Configuration > Administrative Templates > Windows Components > Remote Desktop Services > Remote Desktop Session Host > Session Time Limits, o mediante los valores de registro equivalentes en la clave de directiva de Terminal Services.
7. Antes de desconectar a nadie, comprueba quién está realmente conectado: quser /server:SRV1. Para finalizar una sesión concreta de las que aparecen: logoff <ID> /server:SRV1; esto descarta el trabajo sin guardar de esa sesión.

Resultado esperado

quser muestra las sesiones activas y desconectadas con sus ID de sesión; solo los administradores y los miembros de Remote Desktop Users pueden establecer una nueva sesión RDP; un cliente sin compatibilidad con NLA es rechazado en lugar de degradarse silenciosamente.

Límites y base de verificación

Los dos estados de fDenyTSConnections están documentados en la guía de solución de problemas de RDP de Microsoft; la guía sobre el grupo Remote Desktop Users y NLA figura en los artículos de Microsoft sobre acceso remoto y derechos de seguridad de RDS; MaxIdleTime y MaxConnectionTime aparecen en la documentación de Microsoft sobre solución de problemas del comportamiento de sesiones de RDS; quser y logoff son comandos documentados de Windows. Para revertirlo: vuelve a poner fDenyTSConnections en 1 y ejecuta Disable-NetFirewallRule -DisplayGroup "Remote Desktop"; hazlo desde un método de conexión distinto de la sesión RDP que se va a cerrar. Ninguno de estos ajustes requiere reiniciar para surtir efecto en las sesiones nuevas; los cambios de pertenencia a grupos y de directivas se aplican en el siguiente inicio de sesión, no a una sesión que ya esté abierta.