RDP Diagnostic Tool (RDP-Tool.ps1) — Полная документация

Авторское примечание: Данный инструмент был создан для автоматизации диагностики и устранения проблем со службой удаленного рабочего стола (RDP) в Windows 10/11. Основная цель — предоставить системным администраторам мощный инструмент, который не просто находит проблемы, но и автоматически исправляет их, экономя время и снижая риск человеческой ошибки. Скрипт реализует принцип «диагностика-исправление-проверка» в едином процессе.

Содержание

1. Быстрый старт
2. Общее описание и назначение
3. Проблематика, которую решает ПО
4. Подробное руководство по эксплуатации
5. Внутренняя логика и константы (для разработчиков)
6. Архитектура и функции скрипта
7. Детальный разбор этапов тестирования
8. Возможные ошибки и устранение неполадок
9. Известные ограничения и особенности
10. Примеры использования в реальных сценариях
11. Заключение

1. Быстрый старт

Если вы потеряли доступ по RDP или хотите быстро настроить удаленный рабочий стол «под ключ», выполните следующие действия:

1.1. Подготовка окружения

ВАЖНЫЕ ПРЕДВАРИТЕЛЬНЫЕ ШАГИ:

Запустите PowerShell от имени администратора:
- Нажмите Win + X
- Выберите «Windows PowerShell (Администратор)» или «Терминал Windows (Администратор)»
- Или в меню Пуск найдите PowerShell, нажмите правой кнопкой и выберите «Запуск от имени администратора»

Разрешите выполнение PowerShell скриптов (если политика запрещает):

# Временное разрешение для текущей сессии (рекомендуется)
Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process -Force
   
# Или постоянное разрешение (с осторожностью)
# Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope LocalMachine

1.2. Базовый сценарий (диагностика + автоматическое исправление)

# Шаг 1: Скачивание последней версии (если скрипта нет локально)
# Может потребовать разрешение TLS/SSL на старых системах
[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12
Invoke-WebRequest -Uri "https://github.com/paulmann/RDP-Diagnostic-Tool/raw/main/RDP-Tool.ps1" -OutFile "RDP-Tool.ps1"

# Шаг 2: Запуск с автоматическим исправлением всех найденных проблем
.\RDP-Tool.ps1 -EnableRDP -ForcePrivateNetwork

# Шаг 3: Если возникла ошибка политики выполнения, используйте обход:
powershell -ExecutionPolicy Bypass -File "RDP-Tool.ps1" -EnableRDP -ForcePrivateNetwork

1.3. Альтернативный способ (одной командой)

# Команда, которая работает в большинстве случаев (PowerShell 5.1+):
powershell -Command "& {[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12; Invoke-WebRequest -Uri 'https://github.com/paulmann/RDP-Diagnostic-Tool/raw/main/RDP-Tool.ps1' -OutFile 'RDP-Tool.ps1'; Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process -Force; .\RDP-Tool.ps1 -EnableRDP -ForcePrivateNetwork}"

1.4. Безопасный режим (только диагностика)

# Только проверка состояния без внесения изменений
.\RDP-Tool.ps1 -DiagnoseOnly -ShowVerbose

# Или с обходом политики выполнения:
powershell -ExecutionPolicy Bypass -File "RDP-Tool.ps1" -DiagnoseOnly -ShowVerbose

1.5. Экстренное восстановление после обновлений Windows

# Если стандартный порт 3389 заблокирован или занят
.\RDP-Tool.ps1 -EnableRDP -ForcePrivateNetwork -ChangePort 3390

# С дополнительной проверкой внешней доступности
.\RDP-Tool.ps1 -EnableRDP -ForcePrivateNetwork -ChangePort 3390 -TestExternal

📝 Важные примечания для первого запуска:

Права администратора обязательны — скрипт изменяет системные настройки, службы и брандмауэр
Execution Policy — по умолчанию PowerShell блокирует выполнение скриптов .ps1
Цифровая подпись — скрипт не имеет цифровой подписи, потребуется обход политики
Антивирус — может временно блокировать выполнение (добавьте исключение при необходимости)

🔧 Устранение частых проблем при запуске:

# Ошибка: "Не удается загрузить файл ... выполнение скриптов отключено"
# Решение:
Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process -Force

# Ошибка: "Отказано в доступе" или "Access denied"
# Решение: Запустите PowerShell от имени администратора

# Ошибка: "Не удается загрузить модуль" или проблемы с TLS
# Решение:
[Net.ServicePointManager]::SecurityProtocol = [Net.SecurityProtocolType]::Tls12
Install-Module -Name NetSecurity, NetTCPIP -Force -AllowClobber

2. Общее описание и назначение

RDP Diagnostic Tool — это профессиональный PowerShell-скрипт уровня Enterprise, предназначенный для комплексной диагностики, автоматического исправления и мониторинга службы удаленных рабочих столов (RDP) в среде Windows 10/11 и Windows Server.

2.1. Ключевые особенности

Особенность	Описание	Преимущество
Многоуровневая диагностика	Проверка 14+ компонентов системы	Выявление корневых причин проблем
Автоматическое исправление	Авторемедиация найденных проблем	Снижение времени простоя на 80-90%
Детальная отчетность	HTML-отчеты с цветовой маркировкой	Документирование инцидентов
Безопасный режим	Режим диагностики без изменений	Безопасный аудит продакшен-систем
Поддержка кастомных портов	Работа с нестандартными портами RDP	Гибкость в защищенных средах

2.2. Что умеет скрипт

Обнаружение проблем:
- Анализ редакции Windows и поддержки RDP
- Проверка реестровых настроек терминальных служб
- Диагностика служб RDP и их зависимостей
- Аудит правил брандмауэра Windows
- Проверка сетевых профилей и конфигураций
Автоматическое исправление:
- Коррекция настроек реестра
- Перезапуск и настройка служб
- Создание/исправление правил брандмауэра
- Изменение сетевых профилей
- Добавление пользователей в группу RDP
Отчетность и мониторинг:
- Генерация детализированных отчетов
- Цветовая визуализация состояния
- Экспорт в HTML для документации
- Логирование всех действий

3. Проблематика, которую решает ПО

3.1. Типичные сценарии сбоев RDP

Сценарий	Частота	Сложность ручного исправления
Сброс настроек после обновления Windows	40%	Высокая (требует знания 5+ веток реестра)
Некорректный сетевой профиль (Public)	25%	Средняя (неочевидная связь с RDP)
Конфликт правил брандмауэра	15%	Высокая (множество правил, сложная диагностика)
Отключение служб RDP	10%	Низкая (если знать какие службы нужны)
Проблемы с NLA (Network Level Authentication)	5%	Средняя (требует изменения реестра)
Прочие проблемы (драйверы, порты)	5%	Очень высокая (требует углубленных знаний)

3.2. Почему ручное исправление проблематично

Разрозненность настроек: Параметры RDP разбросаны по:
- 3+ веткам реестра
- 5+ системным службам
- 2+ типам правил брандмауэра
- Настройкам групповых политик
Неочевидные зависимости: Например:
- Служба TermService зависит от RPCSS
- Правила брандмауэра различаются для TCP/UDP
- NLA требует определенных настроек безопасности
Риск человеческой ошибки: Неправильное изменение реестра или правил брандмауэра может полностью заблокировать систему.

3.3. Как скрипт решает эти проблемы

# Вместо этого:
# 1. Ручная проверка 10+ параметров реестра
# 2. Поиск в Google правильных значений
# 3. Ручное создание правил брандмауэра
# 4. Перезапуск служб в правильном порядке

# Достаточно этого:
.\RDP-Tool.ps1 -EnableRDP

Скрипт автоматически выполняет все необходимые проверки и исправления в правильной последовательности.

4. Подробное руководство по эксплуатации

4.1. Установка и требования

4.1.1. Системные требования

# Проверка совместимости перед запуском
$osInfo = Get-CimInstance -ClassName Win32_OperatingSystem
$psVersion = $PSVersionTable.PSVersion

Write-Host "Windows Edition: $($osInfo.Caption)"
Write-Host "PowerShell Version: $psVersion"
Write-Host "Architecture: $($osInfo.OSArchitecture)"

4.1.1.1 Минимальные требования

ОС: Windows 10/11 Pro, Enterprise, Education или Windows Server 2016+
PowerShell: 5.1 или выше (рекомендуется 7.0+)
Права: Административные (Administrator)
Память: 50 МБ свободного места
Дополнительно: Включенный и запущенный сервис WMI

4.1.1.2 Критически важные требования

Права: Обязательно запускайте PowerShell от имени администратора
Политика выполнения: По умолчанию PowerShell блокирует выполнение .ps1 файлов
Цифровая подпись: Скрипт не имеет цифровой подписи Microsoft

4.1.1.2 Быстрая проверка готовности

# Проверка прав администратора
$isAdmin = ([Security.Principal.WindowsPrincipal][Security.Principal.WindowsIdentity]::GetCurrent()).IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)
Write-Host "Администратор: $(if($isAdmin){'ДА'}else{'НЕТ - запустите от админа'})"

# Проверка политики выполнения
$policy = Get-ExecutionPolicy
Write-Host "Политика выполнения: $policy"

# Рекомендуемые настройки для работы скрипта
if (-not $isAdmin) {
    Write-Host "ОШИБКА: Запустите PowerShell от имени администратора!" -ForegroundColor Red
    exit 1
}

if ($policy -eq "Restricted") {
    Write-Host "ПРЕДУПРЕЖДЕНИЕ: Политика выполнения Restricted. Используйте:" -ForegroundColor Yellow
    Write-Host "Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process -Force" -ForegroundColor Yellow
}

4.1.2. Установка (Portable)

# Вариант 1: Скачивание с GitHub
Invoke-WebRequest -Uri "https://raw.githubusercontent.com/paulmann/RDP-Diagnostic-Tool/main/RDP-Tool.ps1" -OutFile "RDP-Tool.ps1"

# Вариант 2: Клонирование репозитория
git clone https://github.com/paulmann/RDP-Diagnostic-Tool.git
cd RDP-Diagnostic-Tool

# Вариант 3: Ручное копирование (для изолированных систем)
# Скопируйте RDP-Tool.ps1 на целевой компьютер через USB или сеть

4.1.3. Обход политик выполнения

# Временное изменение политики для текущей сессии
Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process -Force

# Или использование флагов при запуске
powershell -ExecutionPolicy Bypass -File "RDP-Tool.ps1" -DiagnoseOnly

# Для постоянного использования (только для доверенных систем)
Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope LocalMachine

4.2. Режимы работы

4.2.1. Режим диагностики (DiagnoseOnly)

# Базовая диагностика - минимальный вывод
.\RDP-Tool.ps1 -DiagnoseOnly

# Детальная диагностика с полным выводом
.\RDP-Tool.ps1 -DiagnoseOnly -ShowVerbose

# Диагностика с проверкой внешней доступности
.\RDP-Tool.ps1 -DiagnoseOnly -TestExternal

# Диагностика с игнорированием проверки перезагрузки
.\RDP-Tool.ps1 -DiagnoseOnly -SkipRebootCheck

4.2.2. Режим восстановления (EnableRDP)

# Базовое восстановление RDP
.\RDP-Tool.ps1 -EnableRDP

# Восстановление с принудительным установлением частного сетевого профиля
.\RDP-Tool.ps1 -EnableRDP -ForcePrivateNetwork

# Восстановление с отключением NLA (для старых клиентов)
.\RDP-Tool.ps1 -EnableRDP -DisableNLA

# Полное восстановление с экспортом отчета
.\RDP-Tool.ps1 -EnableRDP -ForcePrivateNetwork -ExportReport "C:\Reports\RDP_Recovery_$(Get-Date -Format 'yyyyMMdd').html"

4.2.3. Режим настройки (ChangePort)

# Смена стандартного порта 3389 на 3390
.\RDP-Tool.ps1 -ChangePort 3390 -EnableRDP

# Только диагностика с альтернативным портом
.\RDP-Tool.ps1 -DiagnoseOnly -ChangePort 3390

# Комплексная настройка с сохранением отчета
.\RDP-Tool.ps1 -ChangePort 3390 -EnableRDP -ForcePrivateNetwork -ExportReport "C:\RDP_Config_3390.html"

4.3. Параметры командной строки

Параметр	Тип	Описание	Пример
`-EnableRDP`	Switch	Включить RDP с автоматическим исправлением	`-EnableRDP`
`-DiagnoseOnly`	Switch	Только диагностика без изменений	`-DiagnoseOnly`
`-ForcePrivateNetwork`	Switch	Принудительно установить частный сетевой профиль	`-ForcePrivateNetwork`
`-SkipRebootCheck`	Switch	Пропустить проверку ожидающей перезагрузки	`-SkipRebootCheck`
`-TestExternal`	Switch	Проверить внешнюю связность (требует интернет)	`-TestExternal`
`-ChangePort`	Integer	Изменить порт RDP (1024-65535)	`-ChangePort 3390`
`-DisableNLA`	Switch	Отключить Network Level Authentication	`-DisableNLA`
`-ShowVerbose`	Switch	Подробный вывод диагностики	`-ShowVerbose`
`-ExportReport`	String	Экспорт отчета в HTML файл	`-ExportReport "report.html"`
`-Help` или `-?`	Switch	Показать справку	`-Help`

4.4. Примеры использования в различных сценариях

4.4.1. Сценарий: Потеря доступа после обновления Windows

# Шаг 1: Диагностика проблемы
.\RDP-Tool.ps1 -DiagnoseOnly -ShowVerbose

# Шаг 2: Автоматическое исправление (если диагностика показала проблемы)
.\RDP-Tool.ps1 -EnableRDP -ForcePrivateNetwork

# Шаг 3: Проверка и документирование
.\RDP-Tool.ps1 -DiagnoseOnly -ExportReport "C:\Logs\RDP_After_Fix_$(Get-Date -Format 'yyyyMMdd_HHmm').html"

4.4.2. Сценарий: Настройка нового сервера

# Однокомандная настройка RDP сервера
.\RDP-Tool.ps1 -EnableRDP -ForcePrivateNetwork -ChangePort 3390 -ExportReport "C:\Initial_Setup\RDP_Config_Report.html"

# Проверка доступности извне (если есть интернет)
.\RDP-Tool.ps1 -TestExternal -ShowVerbose

4.4.3. Сценарий: Периодический аудит безопасности

# Ежемесячная проверка безопасности RDP
$reportPath = "C:\Audit\RDP\$(Get-Date -Format 'yyyy-MM')_RDP_Audit.html"
.\RDP-Tool.ps1 -DiagnoseOnly -ExportReport $reportPath

# Проверка конкретных параметров безопасности
.\RDP-Tool.ps1 -DiagnoseOnly -ShowVerbose | Select-String -Pattern "NLA|Encryption|Security"

4.4.4. Сценарий: Устранение проблем у пользователей

# Удаленное выполнение через PowerShell Remoting
Invoke-Command -ComputerName "USER-PC" -ScriptBlock {
    Set-Location "C:\Temp"
    .\RDP-Tool.ps1 -EnableRDP -ForcePrivateNetwork
} -Credential (Get-Credential)

4.5. Работа с отчетами

4.5.1. Генерация отчетов

# Базовый отчет
.\RDP-Tool.ps1 -DiagnoseOnly -ExportReport "RDP_Report.html"

# Отчет с временной меткой
$timestamp = Get-Date -Format "yyyyMMdd_HHmmss"
.\RDP-Tool.ps1 -DiagnoseOnly -ExportReport "RDP_Report_$timestamp.html"

# Отчет в определенную директорию
$reportDir = "C:\Monitoring\RDP"
if (-not (Test-Path $reportDir)) { New-Item -ItemType Directory -Path $reportDir -Force }
.\RDP-Tool.ps1 -DiagnoseOnly -ExportReport "$reportDir\Latest_Report.html"

4.5.2. Структура HTML-отчета

HTML-отчет содержит следующие разделы:

Заголовок: Информация о системе и времени выполнения
Информация о системе: ОС, редакция, архитектура
Сводка диагностики: График успешности тестов
Детальные результаты: Сгруппированные по категориям
Попытки исправления: Если использовался режим восстановления
Рекомендации: Приоритетные действия для администратора
Информация для подключения: Имя компьютера, IP, порт

4.5.3. Автоматизация отчетов

# Ежедневный автоматический аудит через Планировщик задач
$action = New-ScheduledTaskAction -Execute "PowerShell.exe" `
    -Argument "-ExecutionPolicy Bypass -File `"C:\Scripts\RDP-Tool.ps1`" -DiagnoseOnly -ExportReport `"C:\Reports\RDP_$(Get-Date -Format 'yyyyMMdd').html`""

$trigger = New-ScheduledTaskTrigger -Daily -At "2:00AM"
$principal = New-ScheduledTaskPrincipal -UserId "SYSTEM" -LogonType ServiceAccount -RunLevel Highest

Register-ScheduledTask -TaskName "Daily RDP Audit" `
    -Action $action -Trigger $trigger -Principal $principal -Description "Daily RDP configuration audit"

5. Внутренняя логика и константы (для разработчиков)

5.1. Структура скрипта

RDP-Tool.ps1
├── Параметры и справка (строки 1-150)
├── Инициализация и конфигурация (строки 152-250)
├── Проверка предварительных условий (строки 252-450)
├── Определение редакции Windows (строки 452-550)
├── Тесты возможностей RDP (строки 552-650)
├── Расширенные диагностические функции (строки 652-1450)
│   ├── Test-EnhancedRegistrySettings
│   ├── Test-EnhancedServiceConfiguration
│   ├── Test-EnhancedFirewallConfiguration
│   ├── Test-EnhancedNetworkConfiguration
│   ├── Test-EnhancedPortAndConnectivity
│   ├── Test-EnhancedSecurityAndPolicies
│   ├── Test-EnhancedUserPermissions
│   └── Test-EnhancedPerformanceAndFeatures
├── Анализ журналов событий (строки 1452-1550)
├── Расширенная диагностика (строки 1552-1650)
├── Отчетность и экспорт (строки 1652-1950)
└── Главное выполнение (строки 1952-2150)

5.2. Ключевые константы и эталонные значения

5.2.1. Реестровые настройки (Golden Registry Values)

# Основные настройки RDP в реестре
$registryStandards = @{
    # Ядро RDP
    "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\fDenyTSConnections" = 0
    "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\fSingleSessionPerUser" = 0
    
    # Сетевые настройки
    "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\PortNumber" = 3389
    "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\UserAuthentication" = 1
    
    # Настройки безопасности
    "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\SecurityLayer" = 2
    "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\MinEncryptionLevel" = 3
    
    # Настройки производительности
    "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\MaxConnectionTime" = 0
    "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\MaxDisconnectionTime" = 0
    "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\MaxIdleTime" = 0
    
    # Мультимедиа
    "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\fDisableAudioCapture" = 1
}

5.2.2. Службы (Service Configuration)

# Требуемые службы и их состояния
$requiredServices = @{
    "TermService" = @{
        Name = "TermService"
        DisplayName = "Remote Desktop Services"
        StartupType = "Automatic"
        Status = "Running"
        Critical = $true
    }
    "SessionEnv" = @{
        Name = "SessionEnv"
        DisplayName = "Remote Desktop Configuration"
        StartupType = "Manual"
        Status = "Stopped"
        Critical = $false
    }
    "UmRdpService" = @{
        Name = "UmRdpService"
        DisplayName = "Remote Desktop Services UserMode Port Redirector"
        StartupType = "Manual"
        Status = "Stopped"
        Critical = $false
    }
}

5.2.3. Правила брандмауэра

# Ожидаемые правила брандмауэра для RDP
$firewallRules = @(
    @{
        Name = "RemoteDesktop-UserMode-In-TCP"
        Enabled = $true
        Direction = "Inbound"
        Protocol = "TCP"
        LocalPort = 3389
        Action = "Allow"
    }
    @{
        Name = "RemoteDesktop-UserMode-In-UDP"
        Enabled = $true
        Direction = "Inbound"
        Protocol = "UDP"
        LocalPort = 3389
        Action = "Allow"
    }
)

5.3. Алгоритм работы скрипта

Фаза инициализации:
- Проверка параметров командной строки
- Настройка переменных и цветовой схемы
- Инициализация структур данных для результатов
Фаза проверки предварительных условий:
- Проверка прав администратора
- Проверка версии PowerShell
- Определение редакции Windows и поддержки RDP
- Проверка ожидающей перезагрузки
Фаза диагностики:
- Последовательный запуск диагностических модулей
- Сбор информации без изменений (в режиме DiagnoseOnly)
- Запись всех результатов в глобальные переменные
Фаза исправления (если включен EnableRDP):
- Автоматическое применение исправлений
- Логирование всех попыток исправления
- Проверка результатов исправлений
Фаза отчетности:
- Генерация сводного отчета
- Экспорт в HTML (если указан)
- Определение кода возврата

5.4. Коды возврата (Exit Codes)

Код	Значение	Действие администратора
0	Все тесты пройдены, система готова к RDP	Никаких действий не требуется
1	Критические ошибки обнаружены	Требуется немедленное вмешательство
2	Обнаружены предупреждения, RDP может работать с ограничениями	Рекомендуется устранить предупреждения
3	Неподдерживаемая редакция Windows (Home)	Требуется обновление до Pro/Enterprise
4	Отсутствуют необходимые компоненты	Установите недостающие компоненты
99	Ошибка выполнения скрипта	Проверьте логи и права доступа

6. Архитектура и функции скрипта

6.1. Основные функции

6.1.1. `Test-Prerequisites` — Проверка предварительных условий

Назначение: Проверка базовых требований для работы скрипта и RDP.

Проверяемые параметры:

Права администратора
Версия PowerShell (5.1+)
Редакция Windows и поддержка RDP
Ожидающая перезагрузка системы
Установленные компоненты Windows

Логика работы:

function Test-Prerequisites {
    # 1. Проверка прав администратора
    $isAdmin = ([Security.Principal.WindowsPrincipal] [Security.Principal.WindowsIdentity]::GetCurrent()).IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)
    
    # 2. Проверка редакции Windows
    $osInfo = Get-CimInstance -ClassName Win32_OperatingSystem
    $editionReg = Get-ItemProperty -Path "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion"
    
    # 3. Определение поддержки RDP
    # (Профессиональная, Корпоративная, Для образовательных учреждений)
    $rdpSupported = $editionReg.EditionID -match "Professional|Enterprise|Education"
    
    # 4. Проверка ожидающей перезагрузки
    $pendingReboot = Test-Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Component Based Servicing\RebootPending"
}

6.1.2. `Test-EnhancedRegistrySettings` — Расширенная проверка реестра

Назначение: Глубокий анализ всех реестровых настроек RDP.

Проверяемые разделы реестра:

HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server — Основные настройки
HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp — Настройки подключений
HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services — Настройки групповых политик

Ключевые параметры:

fDenyTSConnections (0 = разрешено, 1 = запрещено)
UserAuthentication (0 = NLA отключен, 1 = NLA включен)
PortNumber (по умолчанию 3389)
SecurityLayer (уровень безопасности)
MinEncryptionLevel (минимальный уровень шифрования)

6.1.3. `Test-EnhancedServiceConfiguration` — Проверка служб

Назначение: Анализ состояния и конфигурации служб RDP.

Проверяемые службы:

Служба	Назначение	Критичность	Ожидаемый статус
`TermService`	Основная служба RDP	Критическая	Запущена (Running)
`SessionEnv`	Конфигурация сессий	Не критическая	Остановлена (Stopped)
`UmRdpService`	Перенаправление USB	Не критическая	Остановлена (Stopped)
`RdpVideoMiniport`	Видеодрайвер	Не критическая	Остановлена (Stopped)

Дополнительные проверки:

Зависимости между службами
Тип запуска (авто/вручную/отключено)
Возможность перезапуска

6.1.4. `Test-EnhancedFirewallConfiguration` — Анализ брандмауэра

Назначение: Проверка правил брандмауэра для RDP.

Проверяемые аспекты:

Состояние службы брандмауэра (MpsSvc)
Профили брандмауэра (Domain/Private/Public)
Правила для RDP (входящие/исходящие, TCP/UDP)
Конфликтующие правила (блокирующие)

Автоматическое исправление:

# Создание правил если они отсутствуют
New-NetFirewallRule -DisplayName "RDP-TCP-In-Custom" `
    -Direction Inbound -Protocol TCP -LocalPort 3389 `
    -Action Allow -Profile Any -Enabled True

6.1.5. `Test-EnhancedNetworkConfiguration` — Анализ сети

Назначение: Проверка сетевых настроек, влияющих на RDP.

Проверяемые параметры:

Активные сетевые адаптеры
Сетевые профили (Public/Private/Domain)
Настройки сетевого обнаружения
Правила изоляции сети

Ключевая особенность: Параметр -ForcePrivateNetwork автоматически меняет сетевой профиль на Private, что необходимо для работы RDP.

6.1.6. `Test-EnhancedPortAndConnectivity` — Проверка портов и связности

Назначение: Тестирование доступности RDP на различных уровнях.

Выполняемые тесты:

Проверка прослушивания порта локально
Тест подключения к localhost
Тест петлевого подключения (loopback)
Проверка конфликтов портов
Тест внешней связности (если указан -TestExternal)

6.1.7. `Test-EnhancedSecurityAndPolicies` — Анализ безопасности

Назначение: Проверка настроек безопасности, влияющих на RDP.

Проверяемые компоненты:

Настройки групповых политик
Контроль учетных записей (UAC)
Защитник Windows (Defender)
Credential Guard
Аудит безопасности

6.1.8. `Test-EnhancedUserPermissions` — Проверка прав пользователей

Назначение: Анализ разрешений пользователей для RDP.

Проверяемые аспекты:

Членство в группе «Remote Desktop Users»
Права текущего пользователя
Состав других релевантных групп

6.1.9. `Test-EnhancedPerformanceAndFeatures` — Анализ производительности

Назначение: Оценка аппаратных возможностей системы для RDP.

Собираемые метрики:

Объем оперативной памяти
Характеристики процессора
Графические адаптеры
Свободное место на диске
Индекс производительности Windows

6.2. Вспомогательные функции

6.2.1. `Add-DiagnosticResult` — Добавление результата диагностики

function Add-DiagnosticResult {
    param(
        [string]$Component,     # Компонент системы
        [string]$Status,        # Статус (OK, WARNING, ERROR)
        [string]$Details,       # Детали проверки
        [string]$Remedy,        # Рекомендация по исправлению
        [string]$Category,      # Категория (Registry, Services, etc.)
        [bool]$IsCritical,      # Критическая ошибка?
        [int]$Severity          # Уровень серьезности (1-4)
    )
}

6.2.2. `Add-RemediationAttempt` — Логирование попыток исправления

function Add-RemediationAttempt {
    param(
        [string]$Action,    # Выполненное действие
        [string]$Result,    # Результат действия
        [string]$Notes,     # Дополнительные заметки
        [bool]$Success      # Успешно ли выполнено
    )
}

6.2.3. `Add-TestResult` — Добавление результата теста

function Add-TestResult {
    param(
        [string]$TestName,  # Название теста
        [bool]$Passed,      # Пройден ли тест
        [string]$Message,   # Сообщение теста
        [object]$Data       # Дополнительные данные
    )
}

6.2.4. `Write-SectionHeader` — Вывод заголовков разделов

function Write-SectionHeader {
    param(
        [string]$Title,     # Заголовок раздела
        [string]$Subtitle,  # Подзаголовок
        [string]$Emoji      # Эмодзи для визуализации
    )
}

6.3. Функции отчетности

6.3.1. `Export-DiagnosticReport` — Экспорт отчета в HTML

Формат отчета: Полноценный HTML документ с:

Цветовой маркировкой статусов
Сортировкой по категориям
Статистикой выполнения
Рекомендациями по исправлению

Структура CSS:

.status-ok — Зеленый для успешных проверок
.status-warning — Желтый для предупреждений
.status-error — Красный для ошибок
.status-critical — Красный жирный для критических ошибок

6.3.2. `Show-ComprehensiveSummary` — Вывод сводного отчета

Отображаемая информация:

Сводная статистика по всем проверкам
Топ-5 проблем для исправления
Информация для подключения
Рекомендации по дальнейшим действиям
Определение итогового статуса системы

7. Детальный разбор этапов тестирования

7.1. Этап 1: Подготовительные проверки

7.1.1. Проверка прав администратора

Цель: Убедиться, что скрипт выполняется с достаточными привилегиями.

Метод:

$isAdmin = ([Security.Principal.WindowsPrincipal] [Security.Principal.WindowsIdentity]::GetCurrent()).IsInRole([Security.Principal.WindowsBuiltInRole]::Administrator)

Ожидаемый результат: $isAdmin = $true

Если проверка не пройдена: Скрипт прекращает выполнение с критической ошибкой.

7.1.2. Проверка редакции Windows

Цель: Определить, поддерживает ли система RDP Server.

Метод: Анализ реестра (HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion) и WMI.

Поддерживаемые редакции:

Windows 10/11 Professional
Windows 10/11 Enterprise
Windows 10/11 Education
Windows 10/11 Pro for Workstations
Windows Server 2016/2019/2022

Неподдерживаемые редакции:

Windows 10/11 Home (только RDP Client)
Windows 10/11 SE

Особый случай: Виртуальные машины могут иметь специфические требования.

7.1.3. Проверка ожидающей перезагрузки

Цель: Обнаружить, не требуется ли системе перезагрузка.

Метод: Проверка реестровых ключей-индикаторов:

HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Component Based Servicing\RebootPending
HKLM:\SYSTEM\CurrentControlSet\Control\Session Manager\PendingFileRenameOperations
HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update\RebootRequired

Важность: Некоторые изменения RDP требуют перезагрузки для применения.

7.2. Этап 2: Анализ реестра

7.2.1. Основные настройки RDP

Ключевой параметр: fDenyTSConnections

Значение 0: RDP разрешен
Значение 1: RDP запрещен

Путь: HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server

Автоматическое исправление:

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server" -Name "fDenyTSConnections" -Value 0 -Force

7.2.2. Настройки порта

Ключевой параметр: PortNumber

По умолчанию: 3389 (0xD3D в десятичной)
Альтернативные порты: 3390, 3391, и т.д.

Путь: HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp

Важно: При изменении порта нужно обновить правила брандмауэра.

7.2.3. Network Level Authentication (NLA)

Ключевой параметр: UserAuthentication

Значение 0: NLA отключен (менее безопасно)
Значение 1: NLA включен (рекомендуется)

Безопасность: NLA требует аутентификации до установки соединения.

Совместимость: Старые клиенты RDP (до Windows Vista) не поддерживают NLA.

7.3. Этап 3: Проверка служб

7.3.1. Основная служба TermService

Назначение: Обработка входящих RDP подключений.

Ожидаемое состояние:

Статус: Running
Тип запуска: Automatic

Зависимости:

RPCSS (Remote Procedure Call)
TermDD (Terminal Device Driver)

Диагностика проблем:

Проверка состояния службы
Проверка типа запуска
Проверка зависимостей
Проверка журналов событий

7.3.2. Вспомогательные службы

SessionEnv:

Назначение: Конфигурация сессий RDP
Ожидаемое состояние: Stopped (запускается по требованию)
Тип запуска: Manual

UmRdpService:

Назначение: Перенаправление USB устройств
Ожидаемое состояние: Stopped (запускается по требованию)
Тип запуска: Manual

7.4. Этап 4: Анализ брандмауэра

7.4.1. Проверка правил для стандартного порта

Ожидаемые правила:

Направление	Протокол	Порт	Действие	Профиль
Входящее	TCP	3389	Разрешить	Все
Входящее	UDP	3389	Разрешить	Все

Поиск правил:

$rdpRules = Get-NetFirewallRule | Where-Object { 
    $_.DisplayName -match "Remote Desktop" -or 
    $_.LocalPort -contains "3389"
}

7.4.2. Проверка конфликтующих правил

Проблема: Правила с действием «Block» могут перекрывать разрешающие.

Решение: Обнаружение и удаление/отключение блокирующих правил.

7.4.3. Создание правил при их отсутствии

Алгоритм:

Проверить существование правил
Если правил нет — создать
Если правила отключены — включить
Если правила блокируют — исправить

7.5. Этап 5: Анализ сети

7.5.1. Сетевые профили

Три типа профилей:

Public (Общедоступная): Максимальные ограничения, RDP заблокирован
Private (Частная): Умеренные ограничения, RDP разрешен
Domain (Домен): Настройки определяются политикой домена

Проблема: Windows может ошибочно определить сеть как Public.

Решение: Параметр -ForcePrivateNetwork меняет профиль на Private.

7.5.2. Сетевые адаптеры

Проверка:

Активные физические адаптеры
Назначенные IP адреса
Скорость соединения

Важно: RDP работает только через активные сетевые адаптеры.

7.6. Этап 6: Тестирование связности

7.6.1. Локальные тесты

Тест 1: Проверка прослушивания порта

Get-NetTCPConnection -LocalPort 3389 | Where-Object { $_.State -eq "Listen" }

Тест 2: Подключение к localhost

Test-NetConnection -ComputerName "localhost" -Port 3389

Тест 3: Петлевое подключение

$localIP = Get-NetIPAddress -AddressFamily IPv4 | Select-Object -First 1
Test-NetConnection -ComputerName $localIP.IPAddress -Port 3389

7.6.2. Внешние тесты (если указан -TestExternal)

Тест 1: Проверка интернет-соединения

Test-NetConnection -ComputerName "8.8.8.8" -Port 53

Тест 2: Разрешение DNS имен

Resolve-DnsName -Name "microsoft.com"

7.7. Этап 7: Анализ безопасности

7.7.1. Групповые политики

Проверяемые пути:

HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services
HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System

Важность: Групповые политики могут переопределять локальные настройки.

7.7.2. Контроль учетных записей (UAC)

Параметр: EnableLUA (Local User Account)

Значение 1: UAC включен (рекомендуется)
Значение 0: UAC отключен (не безопасно)

Влияние на RDP: UAC может требовать повышенных прав для некоторых операций.

7.8. Этап 8: Проверка прав пользователей

7.8.1. Группа «Remote Desktop Users»

Назначение: Пользователи, которым разрешен доступ по RDP.

Проверка:

$groupMembers = Get-LocalGroupMember -Group "Remote Desktop Users"
$currentUser = [System.Security.Principal.WindowsIdentity]::GetCurrent().Name
$isMember = $groupMembers.Name -contains $currentUser

Автоматическое добавление:

Add-LocalGroupMember -Group "Remote Desktop Users" -Member $currentUser

7.8.2. Дополнительные группы

Administrators: Полный доступ к системе Remote Management Users: Доступ для управления через PowerShell Power Users: Устаревшая группа с ограниченными правами

7.9. Этап 9: Анализ производительности

7.9.1. Аппаратные ресурсы

Память: Рекомендуется 4+ ГБ для комфортной работы RDP Процессор: Современные процессоры хорошо справляются с RDP Графика: Важна для аппаратного ускорения Диск: Быстрый SSD улучшает производительность сессий

7.9.2. Индекс производительности Windows

Назначение: Оценка общей производительности системы.

Получение значения:

Get-CimInstance -ClassName Win32_WinSAT

Интерпретация: Баллы от 1.0 до 9.9, где выше — лучше.

7.10. Этап 10: Анализ журналов событий

7.10.1. Ключевые журналы

System: События службы TermService Security: События входа/выхода Application: События приложений терминальных служб Microsoft-Windows-TerminalServices*: Операционные журналы RDP

7.10.2. Критические события

Идентификаторы ошибок:

1067: Неожиданное завершение службы
1074: Ошибка запуска службы
4625: Неудачная попытка входа
4776: Ошибка проверки учетных данных

8. Возможные ошибки и устранение неполадок

8.1. Ошибки запуска скрипта

8.1.1. «Execution Policy» ошибка

Симптом:

File RDP-Tool.ps1 cannot be loaded because running scripts is disabled on this system.

Причина: Политика выполнения PowerShell запрещает запуск скриптов.

Полный сценарий исправления:

# 1. Откройте меню Пуск
# 2. Найдите "PowerShell"
# 3. Нажмите правой кнопкой → "Запуск от имени администратора"
# 4. Выполните в открывшемся окне:

# Разрешить выполнение скриптов для текущей сессии
Set-ExecutionPolicy -ExecutionPolicy Bypass -Scope Process -Force

# Проверить, что это сработало
Get-ExecutionPolicy -Scope Process

# Перейти в папку со скриптом
cd "C:\Путь\к\скрипту"

# Запустить скрипт
.\RDP-Tool.ps1 -DiagnoseOnly

# Или использовать обходной метод:
powershell -ExecutionPolicy Bypass -File "RDP-Tool.ps1" -EnableRDP

Для корпоративных сред с строгими политиками:

# Вариант 1: Подписать скрипт самостоятельно (требуется сертификат)
Set-AuthenticodeSignature -FilePath "RDP-Tool.ps1" -Certificate (Get-ChildItem -Path Cert:\CurrentUser\My -CodeSigningCert)[0]

# Вариант 2: Использовать параметр -ExecutionPolicy при запуске
powershell -ExecutionPolicy RemoteSigned -File "RDP-Tool.ps1" -DiagnoseOnly

# Вариант 3: Разрешить для конкретного скрипта (PowerShell 7+)
powershell -ExecutionPolicy Bypass -File "RDP-Tool.ps1"

8.1.2. Ошибка прав доступа

Симптом:

Access denied. The script requires administrator privileges.

Причина: Скрипт запущен без прав администратора.

Решение:

Закройте текущее окно PowerShell
Нажмите Win + X
Выберите «Windows PowerShell (Администратор)» или «Терминал Windows (Администратор)»
Перейдите в директорию со скриптом и запустите заново

8.1.3. Ошибка загрузки модулей

Симптом:

The required module 'NetSecurity' is not loaded.

Причина: Отсутствуют необходимые модули PowerShell.

Решение:

# Импорт необходимых модулей
Import-Module NetSecurity
Import-Module NetTCPIP

# Или установка всех модулей
Get-Module -ListAvailable | Where-Object { $_.Name -match "Net" } | Import-Module

8.2. Ошибки во время выполнения

8.2.1. Ошибка «Unsupported Edition»

Симптом:

Windows Home edition does not support RDP Server (incoming connections)

Причина: Редакция Windows Home не поддерживает RDP Server.

Решение:

Обновить Windows до Professional/Enterprise редакции
Использовать альтернативные решения удаленного доступа:
- TeamViewer
- AnyDesk
- Chrome Remote Desktop
- Windows Quick Assist

8.2.2. Ошибка «Pending Reboot Required»

Симптом:

Pending reboot detected: Windows Update, Component Based Servicing

Причина: Система ожидает перезагрузки для применения обновлений.

Решение:

# Вариант 1: Перезагрузить систему и запустить скрипт снова
Restart-Computer -Force

# Вариант 2: Игнорировать проверку (не рекомендуется)
.\RDP-Tool.ps1 -EnableRDP -SkipRebootCheck

8.2.3. Ошибка «Service not found»

Симптом:

Cannot find any service with service name 'TermService'

Причина: Службы RDP не установлены в системе.

Решение:

# Установка компонентов RDP через DISM
Enable-WindowsOptionalFeature -Online -FeatureName "RemoteDesktop-Server" -All -NoRestart

# Или через GUI
# Панель управления -> Программы -> Включение или отключение компонентов Windows
# -> Удаленный рабочий стол -> Установить

8.3. Ошибки после выполнения скрипта

8.3.1. RDP все еще не работает

Диагностика:

# Шаг 1: Проверка текущего состояния
.\RDP-Tool.ps1 -DiagnoseOnly -ShowVerbose

# Шаг 2: Проверка конкретных компонентов
# Порты:
Test-NetConnection -ComputerName localhost -Port 3389

# Службы:
Get-Service TermService, SessionEnv

# Брандмауэр:
Get-NetFirewallRule -DisplayName "*Remote Desktop*" | Select-Object DisplayName, Enabled

# Шаг 3: Проверка журналов событий
Get-EventLog -LogName System -Source TermService -Newest 10 | Format-List

Возможные причины:

Антивирус блокирует RDP
Сетевой экран маршрутизатора
Политики домена
Конфликты с другим ПО

8.3.2. Ошибка «Your credentials did not work»

Причина: Проблемы с аутентификацией.

Решение:

# Проверка прав пользователя
.\RDP-Tool.ps1 -DiagnoseOnly | Select-String -Pattern "User|Permission|Group"

# Добавление пользователя в группу RDP вручную
Add-LocalGroupMember -Group "Remote Desktop Users" -Member "username"

# Проверка политик паролей
net accounts

8.3.3. Медленная работа RDP

Оптимизация:

# Проверка настроек производительности
.\RDP-Tool.ps1 -DiagnoseOnly | Select-String -Pattern "Performance|Memory|CPU"

# Рекомендации:
# 1. Отключить визуальные эффекты в сессии RDP
# 2. Уменьшить глубину цвета до 16 бит
# 3. Отключить фоновый рисунок рабочего стола
# 4. Использовать UDP для RDP (включено по умолчанию)

8.4. Расширенное устранение неполадок

8.4.1. Использование Wireshark для диагностики

# Фильтры Wireshark для RDP:
# tcp.port == 3389
# rdp
# tls

# Анализ трафика:
# 1. Запустите Wireshark с правами администратора
# 2. Запустите фильтр "tcp.port == 3389"
# 3. Попытайтесь подключиться по RDP
# 4. Анализируйте пакеты

8.4.2. Диагностика с помощью Process Monitor

Настройка фильтров:

Process Name = svchost.exe
Path contains = TermService
Operation = RegSetValue

Анализ: Просмотр изменений реестра в реальном времени.

8.4.3. Проверка зависимостей служб

# Получение информации о зависимостях
Get-Service TermService -RequiredServices

# Визуализация зависимостей
Get-Service | Where-Object { $_.RequiredServices -contains "TermService" } | Format-Table Name, Status

9. Известные ограничения и особенности

9.1. Ограничения по версиям Windows

9.1.1. Windows Home Edition

Факт: Windows 10/11 Home не поддерживает RDP Server.

Обходные пути:

Обновление до Pro редакции
Использование RDP Wrapper Library (неофициальное решение)
Альтернативные программы удаленного доступа

Официальная позиция Microsoft: RDP Server — функция для профессиональных редакций.

9.1.2. Windows Server Core

Особенность: Минимальная установка без графического интерфейса.

Работа скрипта: Полностью поддерживается, так как RDP работает в режиме администрации.

9.1.3. Windows в S-режиме

Ограничение: Запуск только приложений из Microsoft Store.

Решение: Выход из S-режима (необратимо) или использование альтернатив.

9.2. Ограничения сетевых конфигураций

9.2.1. NAT и проброс портов

Проблема: RDP за NAT требует проброса портов.

Решение скрипта: Только локальная диагностика, внешний проброс настраивается вручную.

9.2.2. VPN и туннели

Особенность: RDP может работать через VPN туннели.

Диагностика: Скрипт проверяет только локальные настройки.

9.2.3. IPv6

Поддержка: RDP работает поверх IPv6.

Диагностика: Скрипт проверяет IPv4 и IPv6 настройки.

9.3. Ограничения безопасности

9.3.1. AppLocker и SRP

Влияние: Могут блокировать выполнение скрипта.

Решение: Добавление исключений в политики ограничения программ.

9.3.2. Защитник Windows

Контролируемый доступ к папкам: Может блокировать выполнение скриптов.

Решение: Временное отключение или добавление исключения.

9.3.3. Антивирусные программы

Ложные срабатывания: Могут определять скрипт как подозрительный.

Решение: Добавление в исключения или использование подписанного скрипта.

9.4. Производительность и масштабирование

9.4.1. Большие среды

Ограничение: Скрипт предназначен для диагностики отдельных систем.

Масштабирование: Для множества систем используйте:

# Массовое выполнение через PowerShell Remoting
$computers = @("PC1", "PC2", "PC3")
Invoke-Command -ComputerName $computers -FilePath "RDP-Tool.ps1" -ArgumentList "-DiagnoseOnly"

9.4.2. Время выполнения

Типичное время: 30-60 секунд на систему.

Факторы влияния:

Скорость диска
Объем оперативной памяти
Количество сетевых адаптеров
Загруженность процессора

9.4.3. Потребление ресурсов

Память: ~50-100 МБ во время выполнения CPU: Кратковременные пики до 30% Диск: Минимальные операции чтения/записи

9.5. Совместимость с другими инструментами

9.5.1. Групповые политики

Приоритет: Групповые политики переопределяют локальные настройки.

Рекомендация: Сначала исправьте политики, затем используйте скрипт.

9.5.2. Конфигурационные менеджеры

Интеграция: Скрипт может использоваться как этап конфигурации в:

Microsoft Endpoint Configuration Manager
Ansible
Chef
Puppet

9.5.3. Средства мониторинга

Интеграция: Результаты можно экспортировать в:

Nagios/Icinga (через коды возврата)
Zabbix (через UserParameters)
PRTG (через скриптовые датчики)

10. Примеры использования в реальных сценариях

10.1. Сценарий 1: Восстановление доступа к серверу после обновления

Проблема: После установки обновлений Windows сервер перестал принимать RDP подключения.

Решение:

# Подключение через консоль iDRAC/iLO/Out-of-band
# или физический доступ к серверу

# Шаг 1: Запуск диагностики
.\RDP-Tool.ps1 -DiagnoseOnly -ShowVerbose

# Шаг 2: Если обнаружены проблемы - автоматическое исправление
.\RDP-Tool.ps1 -EnableRDP -ForcePrivateNetwork

# Шаг 3: Проверка результата
$result = .\RDP-Tool.ps1 -DiagnoseOnly
if ($LASTEXITCODE -eq 0) {
    Write-Host "✅ RDP восстановлен успешно" -ForegroundColor Green
} else {
    Write-Host "❌ Требуется дополнительная диагностика" -ForegroundColor Red
}

10.2. Сценарий 2: Массовая настройка новых рабочих станций

Задача: Настроить RDP на 50 новых компьютерах в организации.

Решение:

# Подготовительный этап: Создание скрипта развертывания
$deploymentScript = {
    param($ComputerName)
    
    # Копирование скрипта на удаленный компьютер
    Copy-Item "RDP-Tool.ps1" "\\$ComputerName\C$\Temp\" -Force
    
    # Удаленное выполнение
    Invoke-Command -ComputerName $ComputerName -ScriptBlock {
        Set-Location "C:\Temp"
        .\RDP-Tool.ps1 -EnableRDP -ForcePrivateNetwork -ChangePort 3390
    }
}

# Массовое выполнение
$computers = Get-ADComputer -Filter * | Select-Object -First 50 -ExpandProperty Name
foreach ($computer in $computers) {
    Write-Host "Настройка $computer..." -ForegroundColor Yellow
    & $deploymentScript -ComputerName $computer
}

10.3. Сценарий 3: Ежедневный мониторинг критических серверов

Задача: Мониторинг доступности RDP на критически важных серверах.

Решение:

# Создание скрипта мониторинга
$monitoringScript = {
    param($ServerList)
    
    $results = @()
    foreach ($server in $ServerList) {
        # Удаленная диагностика
        $diagnostic = Invoke-Command -ComputerName $server -ScriptBlock {
            .\RDP-Tool.ps1 -DiagnoseOnly
            return $LASTEXITCODE
        } -ErrorAction SilentlyContinue
        
        $status = switch ($diagnostic) {
            0 { "✅ OK" }
            1 { "❌ CRITICAL" }
            2 { "⚠️  WARNING" }
            default { "❓ UNKNOWN" }
        }
        
        $results += [PSCustomObject]@{
            Server = $server
            Status = $status
            Code = $diagnostic
            Time = Get-Date
        }
    }
    
    return $results
}

# Список критических серверов
$criticalServers = @("DC01", "FS01", "SQL01", "EXCH01")

# Ежедневный запуск
& $monitoringScript -ServerList $criticalServers | Export-Csv "C:\Monitoring\RDP_Status_$(Get-Date -Format 'yyyyMMdd').csv" -NoTypeInformation

10.4. Сценарий 4: Расследование инцидента безопасности

Задача: Расследование попыток несанкционированного доступа через RDP.

Решение:

# Шаг 1: Сбор информации о текущей конфигурации
.\RDP-Tool.ps1 -DiagnoseOnly -ExportReport "C:\Investigation\RDP_Baseline_$(Get-Date -Format 'yyyyMMdd_HHmm').html"

# Шаг 2: Проверка журналов событий на предмет атак
$failedLogins = Get-WinEvent -FilterHashtable @{
    LogName = 'Security'
    ID = 4625
    StartTime = (Get-Date).AddDays(-1)
} | Select-Object TimeCreated, Message

# Шаг 3: Усиление безопасности
.\RDP-Tool.ps1 -EnableRDP -ChangePort 3390  # Смена порта
# Отключение устаревших версий протоколов
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name "SecurityLayer" -Value 2

# Шаг 4: Настройка аудита
auditpol /set /subcategory:"Logon" /success:enable /failure:enable

10.5. Сценарий 5: Интеграция с SIEM системами

Задача: Отправка результатов диагностики в систему мониторинга безопасности.

Решение:

# Функция преобразования результатов в формат для SIEM
function ConvertTo-SIEMFormat {
    param($DiagnosticResults)
    
    $siemData = @()
    foreach ($result in $DiagnosticResults) {
        $siemData += [PSCustomObject]@{
            timestamp = Get-Date -Format "yyyy-MM-ddTHH:mm:ssZ"
            hostname = $env:COMPUTERNAME
            component = $result.Component
            status = $result.Status
            severity = $result.Severity
            details = $result.Details
            category = $result.Category
        }
    }
    
    return $siemData
}

# Получение диагностических данных
$results = .\RDP-Tool.ps1 -DiagnoseOnly
$siemFormat = ConvertTo-SIEMFormat -DiagnosticResults $global:DiagnosticResults

# Отправка в Splunk (пример)
$splunkUrl = "https://splunk-server:8088/services/collector"
$splunkToken = "your-splunk-token"
$headers = @{ Authorization = "Splunk $splunkToken" }

$siemFormat | ForEach-Object {
    $body = @{
        event = $_
        sourcetype = "rdp_diagnostics"
        host = $env:COMPUTERNAME
    } | ConvertTo-Json
    
    Invoke-RestMethod -Uri $splunkUrl -Method Post -Headers $headers -Body $body
}

11. Заключение

11.1. Резюме возможностей

RDP Diagnostic Tool представляет собой комплексное решение для управления службой удаленного рабочего стола в среде Windows. Скрипт объединяет в себе:

Диагностический модуль: Глубокая проверка 14+ компонентов системы
Модуль автоматического исправления: Исправление распространенных проблем без ручного вмешательства
Систему отчетности: Профессиональные отчеты в HTML формате
Инструменты мониторинга: Возможность интеграции в системы мониторинга

11.2. Ключевые преимущества

Преимущество	Экономия времени	Снижение рисков
Автоматическая диагностика	До 90% времени на поиск проблемы	Минимизация человеческих ошибок
Единая точка управления	Одна команда вместо 10+ действий	Стандартизация конфигураций
Подробная документация	Готовые отчеты для аудита	Доказательная база для инцидентов
Поддержка разных сценариев	Гибкость в использовании	Адаптивность к различным средам

11.3. Рекомендации по использованию

11.3.1. Для системных администраторов

# Добавьте в ваш набор инструментов
# Рекомендуемый псевдоним для быстрого доступа
if (-not (Test-Path alias:rdpcheck)) {
    Set-Alias -Name rdpcheck -Value "C:\Tools\RDP-Tool.ps1"
}

# Использование:
rdpcheck -DiagnoseOnly
rdpcheck -EnableRDP -ForcePrivateNetwork

11.3.2. Для DevOps и автоматизации

# Интеграция в пайплайны развертывания
function Test-RDPReadiness {
    param([string]$ComputerName)
    
    $result = Invoke-Command -ComputerName $ComputerName -ScriptBlock {
        .\RDP-Tool.ps1 -DiagnoseOnly
        return $LASTEXITCODE
    }
    
    return $result -eq 0
}

# Использование в скриптах развертывания
if (Test-RDPReadiness -ComputerName "NewServer") {
    Write-Host "✅ Сервер готов к удаленному управлению" -ForegroundColor Green
} else {
    Write-Host "❌ Требуется настройка RDP" -ForegroundColor Red
    # Автоматическое исправление
    Invoke-Command -ComputerName "NewServer" -ScriptBlock {
        .\RDP-Tool.ps1 -EnableRDP -ForcePrivateNetwork
    }
}

11.3.3. Для службы поддержки

# Создание упрощенного интерфейса для специалистов поддержки
function Repair-RDPConnection {
    param([string]$ComputerName)
    
    Write-Host "Начинаем диагностику RDP на $ComputerName..." -ForegroundColor Yellow
    
    # Диагностика
    $diagnostic = Invoke-Command -ComputerName $ComputerName -ScriptBlock {
        .\RDP-Tool.ps1 -DiagnoseOnly -ExportReport "C:\Temp\RDP_Diagnostic.html"
        return $global:DiagnosticResults | Where-Object { $_.Severity -ge 2 }
    }
    
    if ($diagnostic) {
        Write-Host "Обнаружены проблемы. Выполняем исправление..." -ForegroundColor Red
        Invoke-Command -ComputerName $ComputerName -ScriptBlock {
            .\RDP-Tool.ps1 -EnableRDP -ForcePrivateNetwork
        }
    } else {
        Write-Host "Проблем не обнаружено." -ForegroundColor Green
    }
}

11.4. Планы развития

11.4.1. Будущие улучшения

Графический интерфейс: Веб-интерфейс для управления через браузер
Централизованное управление: Консоль для управления множеством систем
Расширенная аналитика: Машинное обучение для предсказания проблем
Интеграция с облачными сервисами: Azure, AWS, Google Cloud
Поддержка Linux: Аналогичный инструмент для Linux систем

11.4.2. Сообщество и вклад

Проект открыт для вклада сообщества:

Отчеты об ошибках
Запросы функциональности
Улучшения кода
Переводы документации

Ссылки:

11.5. Заключительные слова

RDP Diagnostic Tool — это больше чем просто скрипт. Это профессиональный инструмент, который превращает сложную задаку диагностики и настройки RDP в простую, автоматизированную операцию. Благодаря своей модульной архитектуре, подробной отчетности и возможности автоматического исправления, скрипт становится незаменимым помощником для системных администраторов, DevOps инженеров и специалистов поддержки.

Помните: Даже самый совершенный инструмент не заменяет понимания основ работы системы. Используйте скрипт как помощника, но продолжайте развивать свои знания о работе Windows и сетевых технологий.

# И помните: одна команда может спасти день
.\RDP-Tool.ps1 -EnableRDP -ForcePrivateNetwork

Документация подготовлена для версии 4.2.0 RDP Diagnostic Tool
Последнее обновление: 8 декабря 2025 года

1. Быстрый старт

1.1. Подготовка окружения

1.2. Базовый сценарий (диагностика + автоматическое исправление)

1.3. Альтернативный способ (одной командой)

1.4. Безопасный режим (только диагностика)

1.5. Экстренное восстановление после обновлений Windows

📝 Важные примечания для первого запуска:

🔧 Устранение частых проблем при запуске:

2. Общее описание и назначение

2.1. Ключевые особенности

2.2. Что умеет скрипт

3. Проблематика, которую решает ПО

3.1. Типичные сценарии сбоев RDP

3.2. Почему ручное исправление проблематично

3.3. Как скрипт решает эти проблемы

4. Подробное руководство по эксплуатации

4.1. Установка и требования

4.1.1. Системные требования

4.1.1.1 Минимальные требования

4.1.1.2 Критически важные требования

4.1.1.2 Быстрая проверка готовности

4.1.2. Установка (Portable)

4.1.3. Обход политик выполнения

4.2. Режимы работы

4.2.1. Режим диагностики (DiagnoseOnly)

4.2.2. Режим восстановления (EnableRDP)

4.2.3. Режим настройки (ChangePort)

4.3. Параметры командной строки

4.4. Примеры использования в различных сценариях

4.4.1. Сценарий: Потеря доступа после обновления Windows

4.4.2. Сценарий: Настройка нового сервера

4.4.3. Сценарий: Периодический аудит безопасности

4.4.4. Сценарий: Устранение проблем у пользователей

4.5. Работа с отчетами

4.5.1. Генерация отчетов

4.5.2. Структура HTML-отчета

4.5.3. Автоматизация отчетов

5. Внутренняя логика и константы (для разработчиков)

5.1. Структура скрипта

5.2. Ключевые константы и эталонные значения

5.2.1. Реестровые настройки (Golden Registry Values)

5.2.2. Службы (Service Configuration)

5.2.3. Правила брандмауэра

5.3. Алгоритм работы скрипта

5.4. Коды возврата (Exit Codes)

6. Архитектура и функции скрипта

6.1. Основные функции

6.1.1. Test-Prerequisites — Проверка предварительных условий

6.1.2. Test-EnhancedRegistrySettings — Расширенная проверка реестра

6.1.3. Test-EnhancedServiceConfiguration — Проверка служб

6.1.4. Test-EnhancedFirewallConfiguration — Анализ брандмауэра

6.1.5. Test-EnhancedNetworkConfiguration — Анализ сети

6.1.6. Test-EnhancedPortAndConnectivity — Проверка портов и связности

6.1.7. Test-EnhancedSecurityAndPolicies — Анализ безопасности

6.1.8. Test-EnhancedUserPermissions — Проверка прав пользователей

6.1.9. Test-EnhancedPerformanceAndFeatures — Анализ производительности

6.2. Вспомогательные функции

6.2.1. Add-DiagnosticResult — Добавление результата диагностики

6.2.2. Add-RemediationAttempt — Логирование попыток исправления

6.2.3. Add-TestResult — Добавление результата теста

6.2.4. Write-SectionHeader — Вывод заголовков разделов

6.3. Функции отчетности

6.3.1. Export-DiagnosticReport — Экспорт отчета в HTML

6.3.2. Show-ComprehensiveSummary — Вывод сводного отчета

7. Детальный разбор этапов тестирования

7.1. Этап 1: Подготовительные проверки

7.1.1. Проверка прав администратора

7.1.2. Проверка редакции Windows

7.1.3. Проверка ожидающей перезагрузки

7.2. Этап 2: Анализ реестра

7.2.1. Основные настройки RDP

7.2.2. Настройки порта

7.2.3. Network Level Authentication (NLA)

7.3. Этап 3: Проверка служб

7.3.1. Основная служба TermService

7.3.2. Вспомогательные службы

7.4. Этап 4: Анализ брандмауэра

7.4.1. Проверка правил для стандартного порта

7.4.2. Проверка конфликтующих правил

7.4.3. Создание правил при их отсутствии

6.1.1. `Test-Prerequisites` — Проверка предварительных условий

6.1.2. `Test-EnhancedRegistrySettings` — Расширенная проверка реестра

6.1.3. `Test-EnhancedServiceConfiguration` — Проверка служб

6.1.4. `Test-EnhancedFirewallConfiguration` — Анализ брандмауэра

6.1.5. `Test-EnhancedNetworkConfiguration` — Анализ сети

6.1.6. `Test-EnhancedPortAndConnectivity` — Проверка портов и связности

6.1.7. `Test-EnhancedSecurityAndPolicies` — Анализ безопасности

6.1.8. `Test-EnhancedUserPermissions` — Проверка прав пользователей

6.1.9. `Test-EnhancedPerformanceAndFeatures` — Анализ производительности

6.2.1. `Add-DiagnosticResult` — Добавление результата диагностики

6.2.2. `Add-RemediationAttempt` — Логирование попыток исправления

6.2.3. `Add-TestResult` — Добавление результата теста

6.2.4. `Write-SectionHeader` — Вывод заголовков разделов

6.3.1. `Export-DiagnosticReport` — Экспорт отчета в HTML

6.3.2. `Show-ComprehensiveSummary` — Вывод сводного отчета