Как читать ошибку и с чего начать
Сообщение клиента «Подключение к удалённому рабочему столу» почти всегда указывает на один из четырёх уровней: сеть не доходит до сервера, сервер отклоняет проверку подлинности, учётная запись не имеет права входа или после входа не создаётся сеанс. Ошибку стоит сфотографировать целиком, вместе с кодом в нижней части окна, и записать время: по нему находится запись в журнале сервера.
Если не подключается один сотрудник, причина обычно на его стороне: пароль, блокировка учётной записи, домашний роутер или VPN. Если не подключаются все — проверяйте сервер, лицензирование, сертификат и сетевой периметр.
Первая проверка выполняется с рабочего компьютера в PowerShell — она показывает, доходит ли запрос до службы:
Test-NetConnection srv-rds01 -Port 3389
# TcpTestSucceeded : True — порт отвечает, дальше смотрим проверку подлинности
# TcpTestSucceeded : False — сеть, VPN, межсетевой экран или служба на сервереЧастые ошибки и что они означают
| Сообщение или код | Что обычно происходит | Что проверить |
|---|---|---|
| 0x204, «не удаётся подключиться к удалённому компьютеру» | Порт 3389 недоступен: служба остановлена, правило брандмауэра, нет VPN или маршрута | Test-NetConnection, служба TermService, правило «Удалённый рабочий стол», подключение VPN |
| «Ошибка проверки подлинности… исправление шифрования CredSSP» | Клиент и сервер на разных уровнях обновлений защиты CredSSP | Установить накопительные обновления на сервер и клиент. Ослаблять политику можно только временно и осознанно |
| «Отсутствуют доступные серверы лицензирования удалённых рабочих столов» | Закончился льготный период RDS (120 дней) или сервер не видит сервер лицензий | Режим лицензирования «на пользователя/на устройство», адрес сервера лицензий в политике, установленные RDS CAL |
| «Учётные данные не сработали» | Неверный пароль, истёк срок, учётная запись заблокирована, неверный домен | Вход в формате DOMAIN\login, состояние учётной записи в AD, раскладка и Caps Lock |
| «Подключение запрещено… нет прав для удалённого входа» | Пользователь не входит в группу «Пользователи удалённого рабочего стола» или право запрещено политикой | Состав группы, политика «Разрешать вход в систему через службу удалённых рабочих столов» |
| «Превышено максимальное число подключений» | На сервере без роли RDS доступны только два административных сеанса | Завершить зависшие сеансы, для работы сотрудников развернуть роль RDS с лицензиями |
| Чёрный экран после входа | Не запускается профиль или оболочка, проблемы с UDP-транспортом или видеодрайвером | Журнал профилей, временное отключение UDP на клиенте, перезапуск оболочки через Диспетчер задач |
Проверка на сервере
Если у администратора есть доступ к серверу через консоль гипервизора или другой рабочий канал, достаточно нескольких команд. Они ничего не меняют в системе:
Get-Service TermService, SessionEnv, UmRdpService
netstat -ano | findstr :3389
qwinsta # активные и отключённые сеансы
Get-WinEvent -LogName 'Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational' -MaxEvents 20 |
Format-Table TimeCreated, Id, Message -WrapСобытие 1149 в журнале RemoteConnectionManager означает, что сетевая проверка подлинности прошла: проблема уже внутри сеанса. Если записи нет, запрос не дошёл до сервера или был отклонён раньше. Неудачные попытки входа видны в журнале безопасности как событие 4625 — по полю «Тип входа» 10 отличают попытки через RDP.
Для фермы RDS полезно проверить лицензирование: в оснастке «Диагностика лицензирования удалённых рабочих столов» видно, какой режим задан, найден ли сервер лицензий и сколько CAL доступно. Ошибка режима — частая причина: лицензии куплены «на пользователя», а сервер настроен «на устройство».
Сеанс обрывается или 1С зависает
Регулярные разрывы через одинаковое время чаще связаны не с RDP, а с таймаутами: политика ограничения бездействующих сеансов, NAT на роутере или нестабильный VPN. Если сеанс зависает на несколько секунд, проверьте потери пакетов до сервера командой ping -n 100 srv-rds01: даже 1–2% потерь заметны пользователю.
На каналах с потерями протокол RDP по UDP иногда работает хуже, чем по TCP. Для проверки на одном клиенте включите политику «Отключить UDP на клиенте» (Конфигурация компьютера → Административные шаблоны → Компоненты Windows → Службы удалённых рабочих столов → Клиент подключения). Если стало стабильнее — ищите проблему в канале, а не отключайте UDP всем.
Медленная работа самой 1С внутри сеанса — отдельная тема: процессор, диски, сервер СУБД, блокировки. Порядок проверки описан в материале «Медленно работает 1С».
Чего не делать
- Не публикуйте порт 3389 в интернет, даже на нестандартном номере. Подбор паролей к открытому RDP — один из частых входов шифровальщиков. Сотрудники должны подключаться через VPN или шлюз удалённых рабочих столов.
- Не оставляйте ослабленную политику CredSSP («Уязвимо») после восстановления доступа. Это временная мера, пока не обновлены все системы.
- Не выдавайте пользователям права администратора, чтобы обойти ошибку прав входа. Достаточно группы «Пользователи удалённого рабочего стола».
- Не перезагружайте терминальный сервер днём, не предупредив сотрудников: незавершённые документы в 1С могут потеряться.
Когда звать специалиста и сколько это стоит
Если не подключаются все сотрудники и простой уже влияет на работу, имеет смысл сразу передать задачу инженеру с доступом к серверу. Мы проверяем сеть, службу, сертификат, лицензирование и журналы, восстанавливаем доступ и объясняем причину, чтобы ситуация не повторялась.
По прайсу, действующему с 30.08.2026: инфраструктурная поддержка 1С и RDP — от 3 000 ₽ в час, настройка терминального сервера RDP — от 4 500 ₽ в час. Для организаций на абонентском обслуживании такие обращения входят в договор. Пример проекта — терминальный сервер для работы офиса в 1С.
Если сотрудники работают на Mac и подключаться нужно через AnyDesk, а не по RDP, см. материал «Как выдать права AnyDesk на Mac перед подключением специалиста».
Частые вопросы
Можно ли подключаться к RDP без VPN?
Технически да, но публиковать сервер в интернет небезопасно. Используйте VPN или шлюз удалённых рабочих столов с ограничением доступа и, где возможно, второй фактор.
Сколько пользователей может работать на Windows Server без лицензий RDS?
Без роли RDS — только два одновременных административных сеанса. Для работы сотрудников нужна роль узла сеансов и клиентские лицензии RDS CAL; льготный период после установки роли — 120 дней.
Почему RDP работает из офиса, но не из дома?
Чаще всего не подключён VPN, адреса домашней сети совпадают с офисными или домашний роутер блокирует нужные порты. Проверьте подключение VPN и доступность сервера командой Test-NetConnection.
Ошибка CredSSP появилась после обновления — откатить обновление?
Нет. Правильнее обновить вторую сторону — сервер или клиент. Временное ослабление политики допустимо только до установки обновлений.