Để mở Remote Desktop trên Windows Server 2025, 2022 hoặc 2019, vào Server Manager → Local Server, bấm vào chữ “Disabled” cạnh Remote Desktop, chọn “Allow remote connections to this computer” rồi bấm OK. Trên bản Server Core không có giao diện, bạn dùng công cụ sconfig (mục 7) hoặc hai lệnh PowerShell. Remote Desktop mặc định bị tắt sau khi cài Windows Server.
Khi thuê VPS Windows (một máy chủ ảo VPS chạy Windows Server), Remote Desktop thường đã bật sẵn. Bạn cần các bước dưới khi cài lại hệ điều hành cho VPS, dùng Server Core hoặc không vào được.
Remote Desktop trên Windows Server là gì?
Remote Desktop là tính năng cho phép bạn điều khiển Windows Server từ một máy khác qua mạng bằng giao thức Remote Desktop Protocol (RDP), như đang ngồi trước màn hình máy chủ. Máy chủ lắng nghe ở cổng 3389 (TCP và UDP) theo mặc định; máy bạn dùng Remote Desktop Connection (mstsc) hoặc Windows App trên macOS, iPhone, Android (Microsoft Learn, Windows App).
Cài mới Windows Server thì Remote Desktop ở trạng thái tắt: giá trị fDenyTSConnections mặc định là “từ chối kết nối” (Microsoft Learn). Để bật, bạn cần quyền Administrators và làm hai việc: cho phép kết nối từ xa, và bật nhóm quy tắc “Remote Desktop” trên Windows Firewall.
Cách mở Remote Desktop bằng Server Manager
Server Manager là cách nhanh trên Windows Server bản có giao diện (Desktop Experience): đổi trạng thái Remote Desktop ở trang Local Server, Windows tự bật quy tắc tường lửa cho cổng 3389. Server Manager tự mở sau khi đăng nhập; nếu đã đóng, tìm trong menu Start.
Bước 1: Trong Server Manager, chọn Local Server ở cột trái. Dòng Remote Desktop đang hiển thị Disabled.
Bước 2: Bấm vào chữ Disabled để mở System Properties ở tab Remote. Chọn Allow remote connections to this computer và giữ dấu tích ở ô Allow connections only from computers running Remote Desktop with Network Level Authentication (recommended).
Bước 3: Windows báo “Remote Desktop Firewall exception will be enabled” (sẽ bật ngoại lệ tường lửa). Bấm OK, rồi bấm OK lần nữa để đóng System Properties.
Bước 4: Quay lại Server Manager, nhấn F5. Dòng Remote Desktop chuyển sang Enabled.
Mặc định chỉ nhóm Administrators được kết nối. Muốn cho tài khoản khác vào, bấm Select Users… trong tab Remote; tài khoản đó được đưa vào nhóm Remote Desktop Users (Microsoft Learn).
Cách bật Remote Desktop bằng PowerShell
Bật Remote Desktop bằng PowerShell cần hai lệnh: đặt fDenyTSConnections về 0 để cho phép kết nối, rồi bật nhóm quy tắc “Remote Desktop” trên Windows Firewall. Cách này dùng được cho bản có giao diện, Server Core và script quản trị nhiều máy. Mở PowerShell bằng Run as administrator.
# 1. Cho phép kết nối Remote Desktop (0 = cho phép, 1 = chặn)
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server' -Name 'fDenyTSConnections' -Value 0
# 2. Bật nhóm quy tắc Remote Desktop trên Windows Firewall
Enable-NetFirewallRule -DisplayGroup 'Remote Desktop'
# 3. Bắt buộc Network Level Authentication (khuyến nghị)
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name 'UserAuthentication' -Value 1UserAuthentication bằng 1 yêu cầu xác thực ở mức mạng (NLA) trước khi phiên được tạo (Microsoft Learn). Kiểm tra lại bằng:
Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server' -Name 'fDenyTSConnections'
Get-NetFirewallRule -DisplayGroup 'Remote Desktop' | Select-Object DisplayName, Enabled, ProfileTên nhóm “Remote Desktop” được dịch theo ngôn ngữ của Windows. Nếu lệnh báo không tìm thấy nhóm, dùng tên nội bộ: Enable-NetFirewallRule -Group '@FirewallAPI.dll,-28752'. Xem tên nội bộ trên máy bằng Get-NetFirewallRule -DisplayGroup 'Remote Desktop' | Select-Object -First 1 Group.
Cách bật Remote Desktop trên Server Core bằng sconfig
Trên Windows Server bản Server Core, công cụ SConfig là cách đơn giản để bật Remote Desktop: gõ 7 ở menu chính, chọn E để bật, rồi chọn 1 để chỉ cho máy khách hỗ trợ Network Level Authentication kết nối. Từ Windows Server 2022, SConfig tự mở sau khi đăng nhập Server Core (Microsoft Learn).
- Đăng nhập Server Core. Nếu SConfig chưa hiện (Windows Server 2019 trở về trước), gõ
sconfigtrong cửa sổ dòng lệnh rồi Enter. - Ở menu chính, gõ
7(Remote desktop) và Enter. - Gõ
Evà Enter để bật (gõDnếu muốn tắt). - Gõ
1để chỉ cho phép máy khách có NLA (an toàn hơn). Chỉ chọn2khi phải kết nối từ phần mềm Remote Desktop quá cũ.
Cách mở cổng Remote Desktop trên Windows Firewall
Remote Desktop cần cổng 3389 TCP (và UDP) được mở trên Windows Firewall. Bật bằng Server Manager thì Windows tự bật nhóm quy tắc “Remote Desktop”; bật bằng registry hoặc script thì bạn phải tự bật nhóm này. Kiểm tra cả tường lửa ở trang quản lý của nhà cung cấp VPS.
Mở Remote Desktop là mở một cổng ra Internet, nên Microsoft khuyến nghị chỉ cho tài khoản có mật khẩu mạnh kết nối. Kết nối từ IP cố định (văn phòng, VPN công ty) thì giới hạn chỉ IP đó:
# Chỉ cho IP 203.0.113.10 kết nối Remote Desktop (thay bằng IP của bạn, nhiều IP cách nhau dấu phẩy)
Set-NetFirewallRule -DisplayGroup 'Remote Desktop' -RemoteAddress 203.0.113.10
# Bỏ giới hạn, cho mọi IP
Set-NetFirewallRule -DisplayGroup 'Remote Desktop' -RemoteAddress AnyIP trong lệnh phải là IP Internet hiện tại của máy bạn, không phải IP mạng nội bộ. Nếu IP sai hoặc nhà mạng cấp IP động, lần kết nối sau sẽ bị chặn; khi đó vào bằng console của nhà cung cấp và chạy lệnh bỏ giới hạn. Tham số -RemoteAddress: xem Set-NetFirewallRule. Quy tắc vào, ra của tường lửa: xem firewall là gì.
Làm sao kiểm tra Remote Desktop đã hoạt động?
Cách kiểm tra chắc chắn là kết nối thử từ máy khác: nhấn Win + R, gõ mstsc, nhập IP máy chủ rồi đăng nhập. Không vào được thì kiểm tra lần lượt bốn lớp mà kết nối phải đi qua: tường lửa nhà cung cấp, Windows Firewall, dịch vụ Remote Desktop và bước xác thực.
# Trên máy của bạn: TcpTestSucceeded : True là cổng đã mở
Test-NetConnection IP_MAY_CHU -Port 3389
# Trên máy chủ: dòng rdp-tcp ở trạng thái Listen là RDP đang lắng nghe
qwinstaTest-NetConnection báo False nhưng trên máy chủ nhóm quy tắc đã bật và rdp-tcp đang Listen thì chỗ chặn là tường lửa của nhà cung cấp. Kết nối từ macOS, điện thoại và lỗi phía máy khách: xem cách kết nối VPS bằng SSH và Remote Desktop.
Có nên đổi cổng Remote Desktop không?
Đổi cổng Remote Desktop khỏi 3389 giúp giảm số lần dò mật khẩu tự động vào cổng quen thuộc, nhưng không thay được mật khẩu mạnh, NLA và giới hạn IP. Microsoft có hướng dẫn đổi cổng, đồng thời ghi trong tài liệu xử lý sự cố rằng không khuyến nghị chạy RDP ở cổng khác (Microsoft Learn).
Nếu vẫn đổi, mở sẵn console của nhà cung cấp, tạo bản sao lưu hoặc snapshot VPS rồi làm đúng thứ tự dưới. Bước 4 là điểm không quay lại: phiên đang mở bị ngắt và RDP chỉ còn nghe ở cổng mới.
# Chạy trong PowerShell (Administrator). Ví dụ đổi sang cổng 3390
$port = 3390
# 1. Kiểm tra cổng mới chưa có chương trình khác dùng (không có kết quả là trống)
Get-NetTCPConnection -LocalPort $port -ErrorAction SilentlyContinue
Get-NetUDPEndpoint -LocalPort $port -ErrorAction SilentlyContinue
# 2. Mở cổng mới trên Windows Firewall TRƯỚC
New-NetFirewallRule -DisplayName 'RDP-Custom-TCP-In' -Direction Inbound -Action Allow -Protocol TCP -LocalPort $port -Profile Any
New-NetFirewallRule -DisplayName 'RDP-Custom-UDP-In' -Direction Inbound -Action Allow -Protocol UDP -LocalPort $port -Profile Any
# 3. Đổi cổng lắng nghe của RDP
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name 'PortNumber' -Value $port
# 3b. DỪNG LẠI: nếu VPS có tường lửa ở trang quản trị của nhà cung cấp, mở cổng $port (TCP và UDP) ở đó NGAY BÂY GIỜ.
# Chỉ chạy bước 4 khi cả Windows Firewall và tường lửa nhà cung cấp đều đã mở cổng mới.
# 4. Khởi động lại dịch vụ Remote Desktop (phiên hiện tại sẽ bị ngắt) hoặc khởi động lại máy
Restart-Service TermService -Force- Kết nối lại bằng
mstscvới địa chỉ dạngIP_MAY_CHU:3390. - Chỉ khi đã vào được bằng cổng mới, mới tắt quy tắc cổng cũ:
Disable-NetFirewallRule -DisplayGroup 'Remote Desktop'. - Nếu đã giới hạn IP, thêm
-RemoteAddresscho hai quy tắc mới. - Hoàn tác từ console: đặt
PortNumbervề 3389 rồi chạy lạiRestart-Service TermService -Force.
Lệnh lấy theo hướng dẫn đổi cổng của Microsoft. Ví dụ gốc gán quy tắc cho hồ sơ Public; bài dùng -Profile Any để quy tắc áp dụng dù card mạng của VPS ở hồ sơ nào.
Cách bảo mật Remote Desktop trên VPS Windows
Bảo mật Remote Desktop trên VPS Windows cần năm lớp bổ sung cho nhau: NLA, mật khẩu mạnh, giới hạn IP hoặc VPN, cập nhật Windows và tắt khi không dùng. Đổi cổng chỉ giảm dò quét tự động, không thay được lớp nào trong số này. Bảng dưới ghi mỗi lớp chặn gì và cách bật.
Biện pháp Chặn được gì Làm thế nào Giữ Network Level Authentication Kết nối chưa xác thực chiếm tài nguyên phiên Tích ô NLA trong tab Remote, hoặc UserAuthentication = 1Mật khẩu mạnh, ít tài khoản Dò mật khẩu tự động Mật khẩu dài, không dùng lại; chỉ thêm người cần thiết vào Remote Desktop Users Giới hạn IP hoặc dùng VPN Mọi IP lạ trên Internet Set-NetFirewallRule -RemoteAddress, hoặc chỉ mở RDP trong mạng VPN hay qua Remote Desktop GatewayCập nhật Windows Lỗ hổng đã có bản vá Windows Update hàng tháng, lên lịch khởi động lại Tắt khi không dùng Toàn bộ tấn công qua RDP sconfig mục 7 → D, hoặc lệnh ở mục “Cách tắt”
Việc cần làm cho toàn bộ máy chủ, không riêng Remote Desktop: xem bảo mật VPS.
Lỗi thường gặp khi mở Remote Desktop và cách xử lý
Bật Remote Desktop rồi mà vẫn không vào được thường do một trong bốn chỗ: tường lửa chặn cổng, Group Policy ghi đè cài đặt, dịch vụ RDP không lắng nghe, hoặc lỗi xác thực và giấy phép. Bảng dưới đi theo thứ tự nên kiểm tra.
Hiện tượng Nguyên nhân thường gặp Cách xử lý “Remote Desktop can’t connect to the remote computer”, Test-NetConnection báo FalseQuy tắc tường lửa chưa bật, tường lửa của nhà cung cấp chặn, hoặc đã đổi cổng Enable-NetFirewallRule -DisplayGroup 'Remote Desktop'; mở cổng ở trang quản lý VPS; kết nối đúng IP:cổngBật xong, một lúc sau tự tắt lại; fDenyTSConnections trở về 1Group Policy “Allow users to connect remotely by using Remote Desktop Services” đang Disabled Chạy gpresult /H C:\gpresult.html để xem chính sách nào thắng, sửa chính sách đó thành Enabled hoặc Not configured (Computer Configuration → Administrative Templates → Windows Components → Remote Desktop Services → Remote Desktop Session Host → Connections)qwinsta không có dòng rdp-tcp ở trạng thái ListenDịch vụ Remote Desktop Services (TermService) dừng, hoặc chương trình khác chiếm cổng Khởi động dịch vụ TermService và UmRdpService; kiểm tra cổng bằng Get-NetTCPConnection -LocalPort 3389“This could be due to CredSSP encryption oracle remediation” Một phía (máy chủ hoặc máy khách) chưa có bản vá CredSSP, phía kia chặn kết nối không an toàn Cập nhật Windows trên cả hai máy; không hạ mức bảo mật làm giải pháp lâu dài “To sign in remotely, you need the right to sign in through Remote Desktop Services” Tài khoản không thuộc Administrators hoặc Remote Desktop Users Thêm tài khoản qua Select Users… trong tab Remote Đã cài vai trò RD Session Host, sau vài tháng không ai vào được Hết 120 ngày ân hạn, chưa có máy chủ cấp phép và RDS CAL Cài RD Licensing và RDS CAL, hoặc gỡ vai trò RD Session Host nếu chỉ cần quản trị. Quản trị viên vẫn vào được bằng mstsc /admin để gỡ vai trò hoặc cài RD Licensing
Cách tắt Remote Desktop trên Windows Server
Để tắt Remote Desktop, bỏ chọn “Allow remote connections to this computer” trong tab Remote của System Properties, gõ D ở mục 7 của sconfig, hoặc đặt fDenyTSConnections về 1 và tắt nhóm quy tắc tường lửa. Trên VPS, chỉ tắt khi bạn còn cách vào máy khác như màn hình console của nhà cung cấp.
Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server' -Name 'fDenyTSConnections' -Value 1
Disable-NetFirewallRule -DisplayGroup 'Remote Desktop'Tại Tino, các gói VPS NVMe có Web Console (noVNC) để vào VPS trên trình duyệt (theo trang sản phẩm ngày 21/10/2026), nên bạn vẫn bật lại được Remote Desktop nếu lỡ tắt. Thông tin đăng nhập console: xem cách truy cập và lấy thông tin VPS.
Bật Remote Desktop trên Windows 10 và Windows 11
Trên Windows 10 và Windows 11 bản Pro, Enterprise hoặc Education, vào Settings → System → Remote Desktop, gạt Enable Remote Desktop sang On và bấm Confirm. Bản Home không cho máy được điều khiển từ xa, nên không có mục này, nhưng vẫn kết nối được tới máy khác.
Windows 10 Home và Pro đã hết hỗ trợ sau ngày 14/10/2025 (Microsoft Learn), nên đừng mở Remote Desktop ra Internet trên máy đó; dùng VPN khi truy cập từ bên ngoài.
Câu hỏi thường gặp về Remote Desktop trên Windows Server
Remote Desktop dùng cổng nào?
Remote Desktop mặc định dùng cổng 3389, gồm TCP và UDP; UDP giúp hình ảnh mượt hơn, nếu UDP bị chặn phiên vẫn chạy qua TCP. Cổng được lưu ở giá trị PortNumber trong registry và có thể đổi; khi đó máy khách phải nhập dạng IP:cổng.
Bao nhiêu người được Remote Desktop vào Windows Server cùng lúc?
Muốn nhiều người cùng làm việc qua Remote Desktop, máy chủ cần vai trò Remote Desktop Session Host và RDS CAL cho từng người hoặc thiết bị. Hết 120 ngày ân hạn mà chưa có máy chủ cấp phép thì người dùng không vào được. Số phiên quản trị mặc định xem ở bài VPS Windows là gì.
Làm sao biết IP của VPS để Remote Desktop?
IP của VPS nằm trong email bàn giao dịch vụ và trang quản lý dịch vụ của nhà cung cấp. Trên máy chủ, chạy ipconfig để xem IP card mạng. Khái niệm IP xem tại địa chỉ IP là gì.
