遠端桌面 (RDP) 是 Windows 內建的跨裝置管理利器。本文涵蓋啟用設定、效能優化、安全強化，並深入剖析一個經典疑難雜症：服務模式啟動的程式無法顯示互動視窗 的根因與解決方案。
基礎啟用與連線
- 系統 → 關於 → 遠端桌面 → 開啟「啟用遠端桌面」。
- 防火牆自動開放 TCP 3389 (或手動確認)。
- 遠端裝置執行
mstsc → 輸入目標 IP/主機名 → 連線。
- 憑證警告：信任內部網路可勾選「不再詢問」。
效能與體驗優化
- 體驗索引標籤：根據網速選擇「區域網路」(預設最佳) 或「低速連線」(停用桌面背景、字型平滑、視覺效果)。
- 本機資源：對應磁碟機、剪貼板、印表機、音訊重導向。
- 顯示設定：調整解析度、色彩深度 (高色彩 16-bit 頻寬較省)。
安全強化清單
- 網路層級驗證 (NLA)：強制啟用 (預設開啟)，預先驗證身分再建立會話，防暴力破解。
- 修改預設埠 3389：登錄
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\PortNumber → 非標準埠 (如 3390)，配合防火牆/VPN/堡壘機。
- 限制登入使用者/群組：
gpedit.msc → 電腦設定 → Windows 設定 → 安全性設定 → 本機原則 → 使用者權限指派 → 「允許透過遠端桌面服務登入」 → 僅加入必要使用者/群組。
- 帳號鎖定原則：錯誤嘗試 5 次鎖定 30 分鐘。
- RD Gateway / Azure AD 條件式存取 / VPN：企業環境勿直接暴露 3389 於公網。
疑難雜症：服務啟動程式無互動桌面
現象
自訂服務 (如 knose_daemon.exe) 以 Local System 身分啟動，呼叫 CreateProcess 啟動 GUI 程式 (knose.exe + 遊戲伺服器進程)，但視窗不彈出於互動桌面 (Session 0 隔離)。
根因
Windows Vista/Server 2008 起引入 Session 0 隔離：服務運行於 Session 0，無桌面互動權限；使用者登入於 Session 1+。服務啟動的進程繼承 Session 0，故無法在使用者桌面顯示 UI。
解決方案 (按推薦順序)
- 分離架構 (最佳實務)：服務僅負責背景邏輯/監控；GUI 程式做為獨立使用者層應用程式，透過「啟動資料夾」/「登錄 Run」/「排程工作 (登入觸發)」在使用者登入時自動啟動。服務與 GUI 透過 IPC (Named Pipe/TCP/共享記憶體) 通訊。
- 互動式服務 (僅舊版相容)：服務屬性 → 「允許服務與桌面互動」 (需勾選
SERVICE_INTERACTIVE_PROCESS)，僅在用戶為首位登入的 Session 1 顯示，多使用者/遠端桌面/快速切換使用者環境極不穩定，不建議生產環境使用。
- 任務排程器 + 最高權限：建立觸發條件「登入時」/「工作站解鎖」的任務，執行 GUI 程式，勾選「使用最高權限執行」，可獲得提升權限且在互動 Session 啟動。
- PsExec / RunAs / SC 命令測試：
psexec -i -s cmd.exe (Sysinternals) 可在 Session 0 互動測試，非生產部署方式。
跨平台遠端桌面替代方案
- Microsoft Remote Desktop (Mac/iOS/Android)：官方客戶端，支援 RD Gateway、多因子驗證。
- Chrome Remote Desktop：穿透 NAT、無需 VPN、Google 帳號綁定。
- RustDesk / AnyDesk / TeamViewer：第三方商業/開源，功能豐富 (檔案傳輸、遠端列印、會議)。
- PowerShell Remoting / SSH / Windows Admin Center：無 UI 管理、自動化腳本首選。
遠端桌面雖強，但「服務顯示 UI」是架構反模式。現代設計應採用服務 + 使用者層代理程式分離架構，配合 IPC 機制，兼顧安全、穩定與多會話相容性。
