Cách kích hoạt máy tính từ xa bằng chính sách nhóm (GPO)

Trong bài viết này, bạn sẽ tìm hiểu cách bật Remote Desktop bằng chính sách Nhóm. Trên các máy tính đã tham gia miền Active Directory, bạn có thể kích hoạt Remote Desktop bằng GPO.

Màn hình từ xa là một tính năng của hệ điều hành cho phép người dùng kết nối với máy tính ở một vị trí khác, xem màn hình của máy tính đó và tương tác với nó như thể nó ở cục bộ.

Tính năng Remote Desktop của Windows 11 được bộ phận CNTT chủ yếu sử dụng để quản trị từ xa. Thông thường, nhóm CNTT dựa vào quyền truy cập Remote Desktop để kết nối với các thiết bị như Windows 11, Windows Server 2022 và quản lý các tác vụ.

Nhu cầu kích hoạt Remote Desktop xuất hiện khi bạn có một trang web từ xa và bạn phải hỗ trợ người dùng từ xa. Kích hoạt Remote Desktop thông qua chính sách nhóm trên tất cả các máy tính dường như là giải pháp tốt nhất.

Trong hầu hết các tổ chức, tính năng máy tính từ xa được bật theo mặc định. Thông thường, trong môi trường Active Directory, GPO được sử dụng để kích hoạt Remote Desktop. Vì vậy, hãy bắt đầu với việc kích hoạt tính năng Remote Desktop.

Đọc: Tính năng trợ giúp từ xa của Intune trong Trình quản lý điểm cuối

Các bước kích hoạt máy tính từ xa bằng chính sách nhóm

Có ba cấu hình bạn cần để kích hoạt máy tính để bàn từ xa trên máy tính:

Cho phép người dùng kết nối từ xa bằng cách sử dụng Dịch vụ Máy tính Từ xa
Yêu cầu xác thực người dùng cho các kết nối từ xa bằng cách sử dụng Xác thực cấp độ mạng
Cho phép Cổng 3389 (Cổng Máy tính Từ xa) thông qua Tường lửa Windows

Tất cả các cấu hình trên cần phải có sẵn để tính năng Remote Desktop hoạt động trên máy tính. Và tất cả các cấu hình có thể được áp dụng thông qua chính sách nhóm.

Tìm hiểu: Cách tắt tính năng kiểm tra cập nhật bằng Chính sách nhóm (GPO)

Khi tạo chính sách nhóm, bạn không cần áp dụng chính sách đó ở cấp miền. Bạn có thể áp dụng nó cho các OU đã chọn hoặc liên kết GPO với nhiều OU.

Trong bài viết này, tôi sẽ tạo và áp dụng GPO ở cấp miền khi tôi thực hiện việc này trong quá trình thiết lập phòng thí nghiệm của mình. Áp dụng GPO ở cấp miền có nghĩa là bạn đang bật tính năng máy tính từ xa trên tất cả các máy tính đã tham gia miền.

Trong trường hợp của bạn, trước tiên bạn có thể phải kiểm tra chính sách trên một loạt máy tính thí điểm, sau đó liên kết GPO với các OU hoặc nhóm hệ thống được yêu cầu. Các bước kích hoạt máy tính từ xa sẽ không thay đổi bất kể bạn áp dụng chính sách ở đâu và như thế nào.

Cũng đọc: Cách bật hỗ trợ từ xa bằng chính sách nhóm

Lưu ý: Bạn có thể tạo một GPO riêng cho mọi cấu hình hoặc tạo một GPO duy nhất và thêm tất cả các cấu hình trên vào một GPO duy nhất.

Bước 1 - Tạo GPO để kích hoạt máy tính từ xa

Bây giờ chúng ta sẽ xem xét các bước để kích hoạt Remote Desktop bằng Group Policy.

Đăng nhập vào Windows Server và mở bảng điều khiển Quản lý chính sách nhóm (GPMC)
Mở rộng Miền và nhấp chuột phải vào miền của bạn rồi chọn Tạo GPO trong miền này và liên kết nó tại đây.

Nhập tên của GPO mới này là “Bật Remote Desktop” và nhấp vào OK.

Bạn phải chỉnh sửa GPO và tiến hành cấu hình các chính sách sau.

Bước 2 - Bật Cho phép người dùng kết nối từ xa bằng cách sử dụng Dịch vụ máy tính từ xa

Chính sách đầu tiên mà chúng tôi sẽ định cấu hình là Cho phép người dùng kết nối từ xa bằng cách sử dụng Dịch vụ máy tính từ xa. Cài đặt chính sách này cho phép bạn định cấu hình quyền truy cập từ xa vào máy tính bằng cách sử dụng Dịch vụ Máy tính Từ xa.

Nếu bạn bật cài đặt chính sách này, người dùng là thành viên của nhóm Người dùng Máy tính Từ xa trên máy tính mục tiêu có thể kết nối từ xa với máy tính mục tiêu bằng cách sử dụng Dịch vụ Máy tính Từ xa.

Nếu bạn tắt cài đặt chính sách này, người dùng không thể kết nối từ xa với máy tính mục tiêu bằng cách sử dụng Dịch vụ Máy tính Từ xa. Máy tính mục tiêu sẽ duy trì mọi kết nối hiện tại nhưng sẽ không chấp nhận bất kỳ kết nối mới nào đến.

Đọc: Cách cho phép đăng nhập thông qua Dịch vụ máy tính từ xa

Trong trình chỉnh sửa quản lý chính sách nhóm, hãy điều hướng đến Cấu hình máy tính > Chính sách > Mẫu quản trị > Thành phần Windows > Dịch vụ máy tính từ xa > Máy chủ phiên máy tính từ xa > Kết nối.

Nhấp chuột phải vào cài đặt chính sách “Cho phép người dùng kết nối từ xa bằng cách sử dụng Dịch vụ máy tính từ xa” và chọn Chỉnh sửa. Bây giờ hãy bật cài đặt chính sách này bằng cách chọn Đã bật. Nhấp vào Áp dụng và OK.

Bước 3 - Kích hoạt cấp độ mạng Xác thực cho kết nối từ xa

Cài đặt chính sách “Yêu cầu xác thực người dùng cho các kết nối từ xa bằng cách sử dụng Xác thực cấp độ mạng” cho phép bạn chỉ định xem có yêu cầu xác thực người dùng đối với các kết nối từ xa tới máy chủ Máy chủ phiên RD bằng cách sử dụng Xác thực cấp độ mạng hay không.

Xác thực cấp độ mạng là phương pháp được sử dụng để tăng cường bảo mật máy chủ lưu trữ phiên RD bằng cách yêu cầu người dùng phải được xác thực với Máy chủ lưu trữ phiên RD trước khi có thể tạo phiên.

Cài đặt chính sách này tăng cường bảo mật bằng cách yêu cầu xác thực người dùng xảy ra sớm hơn trong quá trình kết nối từ xa.

Nếu bạn bật cài đặt chính sách này, chỉ các máy khách hỗ trợ Xác thực cấp mạng mới có thể kết nối với máy chủ Máy chủ phiên RD.

Đọc: Tắt Windows Spotlight bằng GPO

Để xác định xem máy khách có hỗ trợ Xác thực Cấp Mạng hay không, hãy khởi động Remote Desktop Connection trên máy khách, bấm vào biểu tượng ở góc trên bên trái của hộp thoại Remote Desktop Connection, rồi bấm Giới thiệu. Trong hộp thoại Giới thiệu về Kết nối Máy tính Từ xa, hãy tìm cụm từ Xác thực Cấp Mạng được hỗ trợ.

Nếu bạn tắt cài đặt chính sách này, Xác thực cấp độ mạng không cần thiết để xác thực người dùng trước khi cho phép kết nối từ xa đến máy chủ Máy chủ phiên RD.

Bạn nên bật cài đặt chính sách này khi bật Máy tính Từ xa bằng Chính sách Nhóm.

Nhấp chuột phải vào cài đặt chính sách “Yêu cầu xác thực người dùng cho các kết nối từ xa bằng cách sử dụng Xác thực cấp mạng” và nhấp vào Chỉnh sửa. Bật cài đặt chính sách này bằng cách chọn Đã bật. Nhấp vào Áp dụng và OK.

Khi bật các cài đặt chính sách ở trên, bạn có thể chọn GPO “Bật máy tính từ xa” và xem các cài đặt đã định cấu hình. Cài đặt hiển thị khi bạn chọn tab Cài đặt của GPO trong bảng điều khiển GPM.

Bước 4 - Cho phép Cổng 3389 (Cổng máy tính từ xa) thông qua Tường lửa Windows

Giao thức máy tính từ xa lắng nghe trên cổng TCP 3389 và cổng UDP 3389. Nếu tường lửa miền của bạn không cho phép cổng 3389 thì kết nối RDP sẽ không thành công.

Quy trình bên dưới cho biết cách mở cổng RDP 3389 thông qua Tường lửa Windows. Trong trường hợp cổng 3389 được cho phép qua tường lửa, hãy chuyển sang phần tiếp theo.

Được khuyến nghị: Định cấu hình Thông báo đăng nhập tương tác của Bộ điều khiển miền

Như đã đề cập trước đó, bạn có thể chỉnh sửa GPO hiện có và cho phép cổng 3389 hoặc tạo GPO mới để bật Remote Desktop Port 3389.

Trong Trình chỉnh sửa quản lý chính sách nhóm, đi tới Cấu hình máy tính > Cài đặt Windows > Cài đặt bảo mật > Tường lửa của bộ bảo vệ Windows với bảo mật nâng cao.

Chúng tôi muốn cho phép kết nối RDP đến với tất cả các máy tính (cổng TCP 3389). Nhấp chuột phải vào phần Quy tắc gửi đến và chọn Quy tắc mới.

Trên cửa sổ Loại quy tắc, chọn Cổng. Nhấp vào Tiếp theo.

Trên cửa sổ Protocol and Ports, cấu hình như sau:

Quy tắc này áp dụng cho TCP hay UDP - Chọn TCP.
Quy tắc này có áp dụng cho tất cả các cổng cục bộ hoặc các cổng cục bộ cụ thể không? - Chọn Cổng cục bộ cụ thể và nhập số cổng - 3389.

Nhấp vào Tiếp theo để tiếp tục.

Vì chúng tôi muốn cho phép cổng 3389 thông qua tường lửa của mình, hãy chọn Cho phép kết nối. Nhấp vào Tiếp theo.

Đây là phần quan trọng nơi bạn phải chọn một hồ sơ và chỉ định khi nào áp dụng quy tắc này. Cuối cùng, hồ sơ miền là nơi bạn muốn cho phép cổng 3389. Nhấp vào Tiếp theo.

Chỉ định tên và mô tả của quy tắc này và nhấp vào Hoàn tất.

Chúng tôi đã tạo thành công quy tắc gửi đến cho phép cổng 3389 cùng với việc bật chính sách GPO trên máy tính từ xa.

Bước 5 - Kiểm tra “Bật GPO máy tính từ xa” trên máy khách

Đây là bước cuối cùng để chúng tôi kiểm tra xem GPO đã được triển khai thành công trên các máy khách hay chưa. Theo mặc định, khoảng thời gian làm mới chính sách nhóm là 90 phút. Bạn có thể sửa đổi khoảng thời gian làm mới GP nếu cần.

Trên máy khách, khởi chạy CMD với tư cách quản trị viên và chạy lệnh gpupdate. Đợi quá trình cập nhật chính sách máy tính và cập nhật chính sách người dùng hoàn tất.

Bây giờ hãy đi tới Thuộc tính hệ thống và chọn tab Từ xa. Lưu ý rằng Cho phép kết nối từ xa với máy tính này được bật cùng với xác thực Cấp mạng cho các kết nối RDP. Điều này xác nhận rằng chúng ta đã kích hoạt thành công Remote Desktop bằng Group Policy.