RDP nie działa – brak odpowiedzi portu TCP 3389

RDP niedziałające (brak odpowiedzi portu TCP 3389) wskazuje na wyłączoną usługę Pulpitu zdalnego lub zablokowany port przez zaporę.

RDP nie działa – znaczenie braku odpowiedzi portu TCP 3389

Komunikat „RDP nie działa – brak odpowiedzi portu TCP 3389” oznacza, że komputer zdalny nie odpowiada na próbę nawiązania połączenia przez standardowy kanał używany przez Pulpit zdalny. Sam brak odpowiedzi nie wskazuje jeszcze jednej, konkretnej przyczyny. Może wynikać z wyłączonej funkcji Pulpitu zdalnego, zatrzymanej usługi systemowej, reguły zapory, nieprawidłowego profilu sieci, błędnego adresu IP albo problemu z urządzeniem pośredniczącym.

W praktyce należy odróżnić kilka podobnych sytuacji. Jeżeli pojawia się wyraźny komunikat o odrzuceniu połączenia, komputer może być osiągalny, ale usługa nie przyjmuje sesji. Jeżeli próba kończy się długim oczekiwaniem i przekroczeniem limitu czasu, pakiety mogą być zatrzymywane po drodze lub port może nie być dostępny z danej sieci. Gdy pojawia się żądanie danych logowania, podstawowa komunikacja z usługą zwykle już działa, a problem dotyczy raczej konta, uprawnień albo zasad bezpieczeństwa.

Port TCP 3389 jest wartością domyślną, ale w niektórych konfiguracjach zmienia się go na inny port. Dlatego sprawdzenie wyłącznie wartości 3389 nie zawsze wystarcza. Najpierw należy ustalić, czy komputer ma być dostępny w tej samej sieci lokalnej, przez bezpieczne połączenie zdalne, czy przez trasę obejmującą router lub dodatkową zaporę. Każdy z tych wariantów wymaga innego sposobu diagnozy.

RDP nie działa a TCP 3389: kontekst techniczny i porównanie objawów

Połączenie RDP można podzielić na kilka etapów. Najpierw komputer źródłowy musi rozpoznać nazwę lub adres urządzenia docelowego. Następnie trzeba uzyskać trasę sieciową, a później sprawdzić, czy na wskazanym porcie działa proces nasłuchujący i czy reguły bezpieczeństwa zezwalają na ruch. Dopiero po wykonaniu tych czynności rozpoczyna się właściwa autoryzacja użytkownika oraz tworzenie sesji graficznej.

Jeżeli nie działa rozpoznawanie nazwy, połączenie może być kierowane do niewłaściwego urządzenia. Jeżeli adres IP jest nieaktualny, test portu będzie dotyczył komputera, który nie świadczy usługi RDP. Jeżeli trasa jest niedostępna, system nie dotrze do celu niezależnie od ustawień samej usługi. Jeżeli port odpowiada, lecz logowanie zostaje odrzucone, przyczyną może być brak uprawnienia do korzystania z Pulpitu zdalnego, nieprawidłowe hasło, wygasłe konto albo ograniczenie wynikające z lokalnych zasad.

Warto także rozróżnić zaporę na komputerze docelowym od zapory na urządzeniu sieciowym. Pierwsza może blokować połączenia przychodzące mimo prawidłowego działania systemu. Druga może ograniczać ruch pomiędzy segmentami sieci albo uniemożliwiać dostęp spoza lokalnego połączenia. Zmiana reguł bez wcześniejszego ustalenia, gdzie następuje blokada, może utrudnić późniejszą analizę i nie musi rozwiązać problemu.

Podobny objaw może wystąpić przy przeciążeniu urządzenia, błędnym profilu sieciowym, uszkodzeniu składników systemu, niezgodności ustawień szyfrowania lub zmianie konfiguracji po aktualizacji. Z tego powodu sama ponowna instalacja klienta RDP nie zawsze przynosi skutek. Klient inicjuje połączenie, ale za nasłuchiwanie, autoryzację i obsługę sesji odpowiada komputer docelowy.

RDP nie działa – typowe problemy z portem TCP 3389

Jedną z częstszych przyczyn jest wyłączony Pulpit zdalny. Funkcja może zostać dezaktywowana ręcznie, przez zmianę ustawień systemowych albo przez zasadę bezpieczeństwa. W takim przypadku komputer może normalnie korzystać z internetu i odpowiadać na inne testy sieciowe, a mimo to nie przyjmować połączeń RDP.

Drugą przyczyną bywa zatrzymana lub nieprawidłowo działająca usługa odpowiedzialna za usługi pulpitu zdalnego. Warto sprawdzić jej stan, sposób uruchamiania oraz komunikaty w dziennikach systemowych. Jeżeli usługa uruchamia się i po chwili zatrzymuje, może to wskazywać na uszkodzone składniki systemu, konflikt konfiguracji albo problem z zależną usługą.

Trzecia grupa problemów dotyczy zapory. Reguła może być wyłączona, przypisana do niewłaściwego profilu sieciowego albo ograniczać połączenia tylko z określonych adresów. Po zmianie sieci z prywatnej na publiczną wcześniej działające połączenie może przestać być akceptowane. Należy zweryfikować zarówno reguły dla protokołu TCP, jak i zakres adresów, z których dopuszczany jest ruch.

Czasami winny jest adres, a nie port. Komputer może otrzymać nowy adres z usługi automatycznej konfiguracji, a zapisane połączenie nadal wskazuje poprzednią wartość. W przypadku używania nazwy urządzenia możliwy jest także błąd w lokalnym rozpoznawaniu nazw. Pomocne jest porównanie wyniku połączenia z nazwą komputera i z jego aktualnym adresem IP, bez zakładania, że obie metody prowadzą do tego samego celu.

Występują również problemy związane z uprawnieniami. Konto może nie należeć do grupy dopuszczonej do logowania zdalnego, a połączenia mogą być ograniczone przez ustawienia dotyczące sesji, uwierzytelniania lub poziomu zabezpieczeń. Jeżeli komunikacja na porcie działa, lecz sesja nie powstaje, należy skoncentrować się na tym obszarze zamiast zmieniać ustawienia sieciowe.

Na komputerze docelowym może brakować zasobów do utworzenia kolejnej sesji. Wysokie użycie procesora, pamięci lub dysku może powodować bardzo długie oczekiwanie, rozłączanie albo pozorny brak odpowiedzi. Podobne symptomy występują przy błędach sterowników karty sieciowej, uszkodzonych plikach systemowych i nieudanej aktualizacji.

RDP nie działa – praktyczne wskazówki diagnostyczne dla TCP 3389

Diagnozę warto rozpocząć od ustalenia zakresu problemu. Należy sprawdzić, czy połączenie nie działa tylko z jednego komputera, czy z każdego urządzenia w tej samej sieci. Jeżeli inni użytkownicy łączą się prawidłowo, bardziej prawdopodobna jest przyczyna po stronie klienta, jego konfiguracji, lokalnej zapory lub rozpoznawania adresu. Jeżeli nikt nie może się połączyć, należy przeanalizować komputer docelowy oraz urządzenia pośrednie.

Na początku można sprawdzić, czy komputer docelowy odpowiada w sieci i czy wskazany adres jest aktualny. Następnie powinno się wykonać test dostępności konkretnego portu z urządzenia, z którego uruchamiane jest RDP. Sam test odpowiedzi na pakiety kontrolne nie potwierdza dostępności TCP 3389, ponieważ zapora może zezwalać na jeden rodzaj ruchu, a blokować inny. Istotny jest także wynik testu: odrzucenie, przekroczenie czasu i brak trasy oznaczają różne klasy problemów.

Na komputerze docelowym należy potwierdzić, że Pulpit zdalny jest włączony, usługa działa, a konfiguracja nie wskazuje nietypowego portu. Warto sprawdzić reguły zapory przypisane do aktywnego profilu sieciowego oraz przejrzeć zdarzenia z czasu, w którym podejmowano próbę połączenia. Dzienniki często pokazują, czy żądanie dotarło do urządzenia, czy zostało odrzucone przed przekazaniem do usługi.

Jeżeli problem pojawił się po zmianie ustawień, należy odtworzyć kolejność zdarzeń. Zmiana adresacji, aktualizacja systemu, modyfikacja zapory, instalacja programu ochronnego albo wymiana urządzenia sieciowego może zawęzić obszar poszukiwań. Przywracanie wielu ustawień jednocześnie utrudnia ocenę, która zmiana miała znaczenie, dlatego bezpieczniej jest dokumentować kolejne czynności i po każdej z nich ponawiać test.

Nie powinno się wystawiać portu TCP 3389 bezpośrednio do publicznej sieci bez przemyślanej ochrony. Dostęp zdalny wymaga silnych haseł, ograniczenia źródeł połączeń, aktualnego systemu oraz dodatkowego mechanizmu zabezpieczającego, jeśli jest dostępny. W wielu przypadkach bezpieczniejszy będzie dostęp przez kontrolowany kanał sieciowy niż przekierowanie portu na routerze. Należy też zachować ostrożność przy zmianie numeru portu, ponieważ utrudnia ona automatyczne skanowanie, ale sama w sobie nie zastępuje uwierzytelniania i zapory.

RDP nie działa – kiedy zgłosić brak odpowiedzi TCP 3389 do serwisu

Do serwisu warto zgłosić problem, gdy komputer nie jest dostępny lokalnie, nie można bezpiecznie przywrócić ustawień Pulpitu zdalnego albo brak odpowiedzi portu pojawił się równocześnie z innymi objawami, takimi jak zawieszanie systemu, samoczynne restarty, utrata połączenia sieciowego lub błędy po aktualizacji. Pomoc może być potrzebna również wtedy, gdy działanie usługi jest wymagane do pracy, a każda kolejna zmiana konfiguracji zwiększa ryzyko odcięcia dostępu.

Przed przekazaniem urządzenia dobrze przygotować opis: od kiedy występuje problem, z jakiego urządzenia wykonywana jest próba, czy używany jest adres czy nazwa, jaki dokładnie komunikat pojawia się na ekranie oraz czy wcześniej zmieniano ustawienia zapory, konta lub sieci. Takie informacje skracają etap wstępnego rozpoznania i pomagają odróżnić awarię systemu od problemu z trasą sieciową.

W przypadku laptopa można również sprawdzić, czy problem występuje zarówno przy połączeniu przewodowym, jak i bezprzewodowym, o ile oba sposoby są dostępne. Zmiana medium może wskazać na błąd sterownika, konfiguracji karty albo ograniczenie konkretnej sieci. Przy komputerze stacjonarnym znaczenie może mieć stan karty sieciowej, przewodu, gniazda oraz konfiguracji adresu. Nie należy jednak wykonywać przypadkowych zmian w rejestrze ani wyłączać wszystkich zabezpieczeń tylko po to, aby uzyskać chwilową odpowiedź portu.

Warszawskie Pogotowie Komputerowe 24/7 zajmuje się analizą problemów z komputerami, w tym sytuacji, w których zdalny dostęp nie odpowiada na TCP 3389. W ramach rozpoznania można ustalić, czy źródłem trudności jest usługa, zapora, adresacja, uprawnienia czy stan systemu, a następnie dobrać rozwiązanie ograniczające ryzyko ponownego wystąpienia problemu.