RDP blokowany przez GPO

RDP blokowany przez GPO wskazuje na politykę grupy zabraniającą połączeń pulpitu zdalnego na tym komputerze.

Co oznacza blokada RDP przez zasady grupy

Komunikat „RDP blokowany przez GPO” oznacza, że możliwość przyjmowania połączeń pulpitu zdalnego została ograniczona przez zasadę grupy systemu Windows. GPO, czyli Group Policy Object, może być zapisane lokalnie na komputerze albo dostarczone z domeny Active Directory. W obu przypadkach zasada określa konfigurację systemu, usług, zapory oraz uprawnień użytkowników. Jeżeli ustawienie zabrania połączeń, samo włączenie aplikacji Pulpit zdalny w interfejsie systemu może nie wystarczyć, ponieważ konfiguracja narzucona przez politykę zostanie ponownie zastosowana.

Najważniejsza zasada znajduje się w edytorze zasad grupy pod ścieżką: Konfiguracja komputera > Szablony administracyjne > Składniki systemu Windows > Usługi pulpitu zdalnego > Host sesji pulpitu zdalnego > Połączenia. Ustawienie „Zezwalaj użytkownikom na łączenie się zdalnie przy użyciu usług pulpitu zdalnego” może mieć stan Włączone, Wyłączone albo Nie skonfigurowano. Stan Wyłączone oznacza bezpośrednią blokadę przyjmowania sesji RDP. W środowisku domenowym lokalna zmiana może nie przynieść trwałego efektu, jeśli nadrzędna polityka domenowa ponownie ustawia tę wartość.

Blokada może również wynikać z kilku współdziałających zasad. Nawet gdy host RDP zezwala na połączenia, użytkownik musi mieć prawo „Zezwalaj na logowanie lokalne za pomocą usług pulpitu zdalnego”, a jednocześnie nie może być objęty prawem „Odmów logowania lokalnego za pomocą usług pulpitu zdalnego”. Te ustawienia znajdują się w Konfiguracja komputera > Ustawienia systemu Windows > Ustawienia zabezpieczeń > Zasady lokalne > Przypisywanie praw użytkownika. Reguła odmowy ma znaczenie nadrzędne wobec reguły zezwalającej.

Jak ustalić, która polityka odrzuca połączenie

Diagnostykę należy rozpocząć od ustalenia, czy komputer ma być zarządzany lokalnie, czy przez domenę. Polecenie gpresult /r pokazuje podsumowanie zastosowanych zasad grupy, natomiast gpresult /h C:\Temp\gpresult.html tworzy raport HTML zawierający szczegółowe ustawienia komputera i użytkownika. W raporcie można sprawdzić listę obiektów GPO, ich kolejność oraz ustawienia dotyczące usług pulpitu zdalnego, zapory i praw logowania. Narzędzie rsop.msc otwiera konsolę Resultant Set of Policy, czyli zestaw zasad wynikowy zastosowany na danym komputerze.

W przypadku domeny zasady mogą być dziedziczone z jednostki organizacyjnej, witryny Active Directory albo domeny. Ostateczna konfiguracja zależy od kolejności przetwarzania, wymuszania zasad oraz ewentualnego blokowania dziedziczenia. Dlatego administrator powinien ustalić nazwę konkretnego GPO wskazanego w raporcie, a nie zmieniać przypadkowo lokalnych ustawień. Jeżeli raport pokazuje ustawienie „Zezwalaj użytkownikom na łączenie się zdalnie...” jako Wyłączone, przyczyną jest polityka wyraźnie blokująca hostowanie sesji. Jeżeli ustawienie jest nieokreślone, trzeba sprawdzić jeszcze prawa użytkownika, członkostwo w grupach oraz zaporę.

Po zmianie zatwierdzonej zasady można użyć polecenia gpupdate /force, aby zażądać ponownego zastosowania polityk. Nie każda zmiana jest natychmiast widoczna, ponieważ część ustawień wymaga wylogowania, ponownego uruchomienia albo kolejnego cyklu odświeżenia zasad. Skuteczność należy potwierdzić ponownym raportem gpresult oraz testem z właściwego konta. Warto odróżnić odrzucenie połączenia przez GPO od problemu sieciowego: brak trasy, niedostępny host, błędny adres lub zamknięty port może dawać inny objaw niż komunikat o lokalnym wyłączeniu usługi.

Powiązanie GPO z usługą, zaporą i uprawnieniami

RDP wymaga działającego składnika systemu obsługującego połączenia przychodzące oraz odpowiedniej konfiguracji zapory Windows Defender Firewall. W standardowej konfiguracji używany jest port TCP 3389, a współczesne systemy Windows mogą korzystać również z UDP 3389 dla transportu pomocniczego. Administrator może jednak zmienić port, dlatego numeru nie należy zakładać bez sprawdzenia konfiguracji. Reguła zapory może być włączona dla profilu domenowego, prywatnego lub publicznego, a GPO może wymusić jej wyłączenie niezależnie od ustawień widocznych w panelu użytkownika.

Przydatne jest sprawdzenie stanu usługi Remote Desktop Services, znanej jako TermService, oraz reguł zapory przypisanych do grupy „Remote Desktop”. Nie należy jednak traktować ręcznego uruchomienia usługi ani edycji rejestru jako pełnego rozwiązania. Wartość fDenyTSConnections w gałęzi HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server jest powiązana z zezwoleniem na połączenia, ale może zostać nadpisana przez ustawienie zasad grupy. Bez ustalenia źródła polityki zmiana rejestru może być krótkotrwała albo sprzeczna z konfiguracją organizacji.

Trzeba też sprawdzić wersję systemu. Windows Home nie udostępnia wbudowanej funkcji hostowania przychodzących sesji Pulpitu zdalnego, więc nie można traktować go tak samo jak edycji Pro, Enterprise lub odpowiednich wydań przeznaczonych do pracy zarządzanej. Na komputerach obsługujących RDP należy dodatkowo potwierdzić, że konto ma hasło, należy do grupy Użytkownicy pulpitu zdalnego albo ma odpowiednie przypisane prawo, a ustawienia uwierzytelniania nie wymagają innej konfiguracji klienta. GPO może ograniczać także poziom uwierzytelniania, wymaganie Network Level Authentication oraz dostęp określonych grup.

Przywrócenie dostępu RDP w kontrolowany sposób

Usunięcie blokady powinno polegać na zmianie właściwego obiektu GPO przez administratora mającego uprawnienia do zarządzania komputerem lub domeną. Należy najpierw potwierdzić, że zdalny dostęp jest zgodny z zasadami organizacji, następnie ustawić zezwolenie dla hosta RDP, nadać dostęp tylko wymaganym użytkownikom, włączyć odpowiednie reguły zapory i odświeżyć politykę. Po wdrożeniu trzeba wykonać test z innego urządzenia, sprawdzić logowanie oraz potwierdzić, że zasada nie zostanie ponownie nadpisana podczas kolejnego odświeżenia.

Jeżeli komputer nie należy do domeny, kontrola odbywa się przez lokalny edytor zasad grupy gpedit.msc, dostępny w wybranych edycjach Windows, albo przez ustawienia systemowe i lokalne zasady zabezpieczeń. Jeżeli urządzenie jest zarządzane centralnie, zmianę należy wykonać w domenowym GPO, a nie tylko na pojedynczym stanowisku. W przypadku utraty dostępu można wykorzystać lokalne logowanie, konsolę administracyjną lub inną zatwierdzoną ścieżkę dostępu, aby nie obchodzić mechanizmów kontroli ustanowionych przez administratora.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, w tym diagnozowaniem problemów z konfiguracją systemu Windows, usługami pulpitu zdalnego, lokalnymi zasadami grupy, zaporą oraz uprawnieniami użytkowników. Przy zgłoszeniu warto podać dokładny komunikat, wersję i edycję Windows, informację o członkostwie komputera w domenie oraz wynik poleceń gpresult. Takie dane pozwalają odróżnić blokadę wynikającą z GPO od awarii usługi, błędnej konfiguracji sieci, braku uprawnień lub ograniczeń konkretnej edycji systemu.