当远程桌面（MSTSC / Windows App）无法连接 Windows 实例时，请根据报错现象对照本文排查。本文覆盖连接超时、凭证错误、身份验证错误、会话占用、常见报错代码与登录后异常等故障。

排查前先确认

提示

先排除两类最常见的原因：

1. 实例处于运行中状态（控制面板查看）。
2. 服务器购买时选择了安全组的，确认入方向已放行 TCP 3389（或自定义远程端口），参见安全组与系统防火墙入门。

连接超时 / 无法连接

表示网络层无法到达实例的远程端口，按顺序检查：

1. 确认连接信息：计算机栏填实例公网 IP；修改过远程端口的，需带端口号（如 123.123.123.123:12345），参见修改服务器默认远程端口。

2. 测试端口连通性：本地执行 tcping <实例IP> 3389（或自定义端口）；没有 tcping 时可用系统自带 telnet 代替。

   本地 telnet 客户端默认未启用

   Windows 本机启用方法（二选一）：

   • 控制面板 → 程序 → 启用或关闭 Windows 功能 → 勾选 Telnet 客户端，确定。
   • 管理员 PowerShell 执行：dism /online /Enable-Feature /FeatureName:TelnetClient

   启用后执行 telnet <实例IP> 3389：窗口变黑 / 光标闪烁为端口可达，提示"连接失败"则为不可达。

3. 检查系统防火墙：通过控制面板 VNC 控制台登录实例，确认 Windows 防火墙已放行远程端口，参见管理 Windows 实例的系统防火墙。

4. 检查远程桌面已启用：VNC 登录实例后，进入 设置 > 系统 > 远程桌面，确认已开启。

提示错误代码 0x1104：无法连接到远程计算机

客户端"笼统连不上"类报错，本质仍是网络层不通，重点检查：

1. 端口填对了吗：改过远程端口的必须带端口号连接（IP:端口），参见修改服务器默认远程端口。
2. 安全组 / 系统防火墙放行：确认入方向已放行远程端口，参见安全组与系统防火墙入门。
3. 本地网络限制：公司 / 校园网络常封 3389 等远程端口，切换手机热点重试，或改用非标准端口。

报 0x1104 但 tcping 端口又是通的，重启一次实例再试。

提示"你的凭证不工作" / 登录被拒绝

账号或密码验证不通过：

1. 确认用户名为 Administrator（或您创建的其他账号）。
2. 确认密码正确：注意大小写、输入法全半角；不确定可在 VNC 控制台内验证。
3. 确认账号未被禁用、未锁定（多次失败会被临时锁定，等待几分钟后重试）。

提示"已锁定该用户账户"

多次输入错误密码会触发账户锁定（默认策略），等待约 10~30 分钟自动解锁，或通过 VNC 控制台登录实例后在 lusrmgr.msc → 用户 → 该账户属性中取消账户已锁定。

频繁被锁定？调整锁定策略

VNC 控制台登录实例，运行 secpol.msc → 账户策略 → 账户锁定策略，调整账户锁定阈值（如 10 次错误才锁定）与锁定时长。不建议把阈值调得过大或设为 0（永不锁定），保留基本的爆破防护。

提示"要登录到此远程计算机，您必须被授予远程登录权限"

说明所使用的账号不在远程桌面用户组中：

1. VNC 控制台登录实例，打开 lusrmgr.msc → 组 → 双击 Remote Desktop Users。
2. 单击添加 → 高级 → 立即查找，选中该账号并确认。
3. 该账号即可远程登录；多人同时使用的完整方案见Windows服务器开启多用户远程桌面链接。

提示"出现身份验证错误，要求的函数不受支持"（CredSSP）

本地电脑较新（Windows 10 1809+）而服务器未更新补丁时会出现。两种解决方式任选其一：

• 推荐：通过 VNC 控制台登录实例，联网更新系统补丁后重试。

• 临时：在本地电脑调整策略（改回后请尽快更新服务器）：

  1. 按 Win + R 输入 gpedit.msc 打开本地组策略编辑器。
  2. 定位到 计算机配置 > 管理模板 > 系统 > 凭据分配 > 加密 Oracle 修正。
  3. 选择已启用，保护级别设置为易受攻击，确定后重试连接。

  家庭版没有组策略，可在注册表新增项（以管理员运行 CMD）：

  reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters" /v AllowEncryptionOracle /t REG_DWORD /d 2 /f

提示"需要网络级别身份验证"（NLA）

报错为"远程计算机需要启用网络级别身份验证(NLA)"或本地客户端提示不支持 NLA 而无法连接，是客户端与服务器对 NLA 的要求不匹配：

• 首选：升级本地客户端。老系统（Windows 7 未打补丁、Windows XP）不支持 NLA，更新系统补丁或换新系统重试。

• 应急：服务器端暂时关闭 NLA 强制要求（VNC 控制台登录实例）：

  1. 运行 SystemPropertiesRemote.exe（或"设置 → 系统 → 远程桌面 → 高级设置"）。
  2. 取消勾选 "仅允许运行使用网络级别身份验证的远程桌面的计算机连接"，确定后重连。

  命令行方式：

  reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v SecurityLayer /t REG_DWORD /d 0 /f

关闭 NLA 的风险

NLA 会在建立会话前先验证身份，能挡住大量针对远程桌面的爆破与漏洞攻击。临时关闭排查完问题后，尽快更新客户端并重新开启。

反向情况（本地要求 NLA 而服务器没开）较少见，同样在上述设置中勾选该项并确认服务器已打齐补丁即可。

提示"没有更多的远程桌面会话可以连接"

Windows Server 默认仅允许 2 个并发远程会话，会话被占满时会出现该提示：

• 让其他用户注销（VNC 控制台登录实例，打开任务管理器 → 用户页签，注销空闲会话）。
• 需要多人同时连接的，参见Windows服务器开启多用户远程桌面链接。

提示错误代码 0x112f：远程桌面服务当前繁忙

多为实例内存耗尽导致新会话无法建立（开机自启程序过多、应用异常占满内存）：

1. 通过 VNC 控制台登录实例，打开任务管理器 → 性能，观察内存占用。
2. 结束异常占用进程，精简开机自启项后重启实例。
3. 长期内存吃紧的，升级配置，或参见配置Swap与虚拟内存兜底。

提示"由于协议错误，会话将被中断"

输入凭证后立刻断开并提示协议错误，多为服务端 RDP 的加密配置与客户端不兼容（改过组策略、装过远程工具或证书异常）。通过 VNC 控制台执行：

reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v SecurityLayer /t REG_DWORD /d 1 /f
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v MinEncryptionLevel /t REG_DWORD /d 2 /f

改完重启远程桌面服务（services.msc 重启 Remote Desktop Services）或重启实例再连；值 1 无效时可改为 0（协商模式）再试。

警告

注册表改错可能导致无法远程，操作前确认 VNC 控制台可用；改注册表前先导出备份该项。

连接后立即断开 / 登录后闪退

能弹出登录窗口、输完密码就断开，按顺序尝试：

1. 换管理员会话连接：本地 CMD 执行 mstsc /admin，排除已有会话占用。
2. VNC 控制台登录实例，services.msc 中确认 Remote Desktop Services 服务正在运行。
3. 任务管理器 → 用户 页签，注销所有空闲会话后重连。
4. 近期安装过安全软件或系统更新的，卸载 / 回滚后再试；仍闪退则重启实例。

其他提示

• 证书安全警告：首次连接提示"无法验证此远程计算机的身份"，单击是信任即可，参见远程连接教程。
• 连接后黑屏/白屏：多为实例资源耗尽或系统更新中，稍等或通过 VNC 检查；也可重启实例后重试。

以上都正常但仍无法连接

提交工单并附上以下信息：

• 实例 IP、连接用的端口号、本地操作系统
• 远程桌面完整报错截图
• tcping 测试结果截图
• VNC 控制台内是否可以正常登录