Comment activer le Bureau à distance sur Windows Server Core 2025

Connectez-vous à votre système Windows Server Core 2025 en utilisant des identifiants administrateur. Server Core démarre directement sur une interface de ligne de commande sans environnement de bureau graphique.

Lancez l'outil de configuration du serveur en exécutant la commande SConfig :

sconfig.cmd

Le menu SConfig affiche des options de configuration numérotées. Cet outil fournit une interface textuelle pour gérer les paramètres du serveur de base sans nécessiter de connaissances en PowerShell.

Vérification : Le menu principal de SConfig devrait s'afficher avec les options 1-15, y compris l'option 7 pour "Bureau à distance".

Dans le menu principal de SConfig, sélectionnez l'option 7 pour configurer les paramètres du Bureau à distance :

7

Appuyez sur Entrée pour accéder au sous-menu de configuration du Bureau à distance. Vous verrez l'état actuel du RDP (généralement "Désactivé" sur les nouvelles installations) et les options de configuration.

Tapez E pour activer le Bureau à distance :

E

Le système vous demandera de choisir le niveau d'authentification. Sélectionnez l'option 1 pour la configuration la plus sécurisée :

1

Cela active "Autoriser uniquement les clients exécutant le Bureau à distance avec l'authentification au niveau du réseau (plus sécurisé)". NLA nécessite une authentification du client avant d'établir la session RDP, empêchant les tentatives de connexion non autorisées.

Appuyez sur OK pour confirmer les modifications. SConfig met automatiquement à jour le registre et active les règles de pare-feu nécessaires.

Vérification : L'état du Bureau à distance dans SConfig devrait maintenant indiquer "Activé" avec l'authentification NLA.

Quittez SConfig en appuyant sur 0 et revenez à l'invite de commande. Lancez PowerShell pour vérifier la configuration du pare-feu :

powershell

Vérifiez que les règles de pare-feu du Bureau à distance sont activées :

Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Where-Object {$_.Enabled -eq "True"}

Cette commande devrait retourner trois règles activées :

• Remote Desktop - User Mode (TCP-In)
• Remote Desktop - User Mode (UDP-In)
• Remote Desktop - Shadow (TCP-In)

Si les règles ne sont pas activées, activez-les manuellement :

Enable-NetFirewallRule -DisplayGroup "Remote Desktop"

Sinon, utilisez la commande netsh pour la compatibilité avec les anciens scripts :

netsh advfirewall firewall set rule group="Remote Desktop" new enable=Yes

Vérification : Exécutez netsh advfirewall firewall show rule group="Remote Desktop" pour confirmer que toutes les règles affichent "Enabled: Yes".

Bien que SConfig gère la plupart des configurations automatiquement, vous pouvez également activer RDP par modification directe du registre. Cette méthode est utile pour le scripting ou lorsque SConfig n'est pas disponible.

Activez le Bureau à distance en définissant la valeur de registre fDenyTSConnections à 0 :

Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server' -Name fDenyTSConnections -Value 0

Activez l'authentification au niveau du réseau pour une sécurité renforcée :

Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name UserAuthentication -Value 1

Pour les environnements nécessitant une compatibilité avec l'invite de commande, utilisez les commandes reg :

reg add "HKLM\System\CurrentControlSet\Control\Terminal Server" /v fDenyTSConnections /t REG_DWORD /d 0 /f

reg add "HKLM\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" /v UserAuthentication /t REG_DWORD /d 1 /f

Vérification : Interrogez le registre pour confirmer les paramètres :

Get-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server' -Name fDenyTSConnections

La valeur fDenyTSConnections doit être 0 (activé).

Assurez-vous que le service Terminal Services (TermService) est en cours d'exécution et configuré pour un démarrage automatique. Ce service gère toutes les connexions RDP au serveur.

Vérifiez l'état actuel du service :

Get-Service TermService

Le service devrait afficher Statut : En cours d'exécution et Type de démarrage : Automatique. Si le service n'est pas en cours d'exécution, démarrez-le manuellement :

Start-Service TermService

Configurez le service pour un démarrage automatique afin de garantir que RDP reste disponible après les redémarrages :

Set-Service TermService -StartupType Automatic

Si vous rencontrez des problèmes avec le service, redémarrez-le de force :

Restart-Service TermService -Force

Pour une vérification supplémentaire, vérifiez que le service écoute sur le port 3389 :

netstat -an | findstr :3389

Vous devriez voir "TCP 0.0.0.0:3389 LISTENING" indiquant que le service RDP accepte les connexions.

Vérification : Exécutez Get-Service TermService | Format-List pour voir des informations détaillées sur le service, y compris le type de démarrage et l'état actuel.

L'authentification au niveau réseau (NLA) offre une sécurité renforcée en exigeant l'authentification de l'utilisateur avant d'établir la session RDP. Cela empêche les utilisateurs non autorisés de consommer les ressources du serveur.

Vérifiez que NLA est activé (devrait être défini depuis SConfig, mais confirmez manuellement) :

Get-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name UserAuthentication

La valeur UserAuthentication doit être 1 (activé). Si vous devez désactiver NLA pour la compatibilité avec les clients hérités, définissez-la sur 0 :

Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name UserAuthentication -Value 0

Configurez la couche de sécurité pour les connexions RDP. Le paramètre recommandé est SSL/TLS :

Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name SecurityLayer -Value 2

Valeurs de la couche de sécurité :

• 0 = Couche de sécurité RDP
• 1 = Négocier (SSL/TLS si disponible)
• 2 = SSL/TLS (recommandé)

Définissez le niveau de cryptage sur élevé pour une sécurité maximale :

Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name MinEncryptionLevel -Value 3

Vérification : Interrogez toutes les valeurs de registre liées à la sécurité :

Get-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' | Select-Object UserAuthentication, SecurityLayer, MinEncryptionLevel

Depuis votre poste de travail de gestion, testez la connexion RDP pour vérifier que tout est correctement configuré. Tout d'abord, déterminez l'adresse IP du serveur depuis la console Server Core :

Get-NetIPAddress -AddressFamily IPv4 | Where-Object {$_.IPAddress -ne '127.0.0.1'}

Sur votre machine cliente Windows, ouvrez Connexion Bureau à distance (mstsc.exe) ou utilisez la ligne de commande :

mstsc /v:SERVER_IP_ADDRESS

Remplacez SERVER_IP_ADDRESS par l'IP réelle de votre serveur. Vous pouvez également utiliser le nom d'hôte du serveur si la résolution DNS est configurée :

mstsc /v:SERVERNAME.domain.com

Lorsque vous y êtes invité, entrez vos identifiants administrateur. Si NLA est activé, vous vous authentifierez avant de voir le bureau. Acceptez les avertissements de certificat pour les certificats auto-signés (courants dans les environnements de laboratoire).

Une fois la connexion réussie, vous verrez le bureau administratif de Server Core avec le Gestionnaire de serveur et les outils de gestion de base. Ce n'est pas l'expérience complète du bureau Windows mais cela fournit des capacités essentielles de gestion de serveur.

Testez la persistance de la connexion en effectuant une tâche administrative simple :

Get-ComputerInfo | Select-Object WindowsProductName, TotalPhysicalMemory

Vérification : Se connecter avec succès et exécuter des commandes PowerShell confirme que RDP fonctionne correctement. Vérifiez le Visualiseur d'événements pour les événements de connexion réussie (ID d'événement 4624) dans le journal de sécurité.

Implémentez des mesures de sécurité supplémentaires pour protéger votre déploiement RDP. Commencez par configurer les délais d'expiration de session pour éviter les connexions abandonnées :

Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name MaxConnectionTime -Value 3600000

Cela définit un temps de connexion maximum de 1 heure (valeur en millisecondes). Définissez le délai d'expiration de session inactive :

Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name MaxIdleTime -Value 1800000

Cela déconnecte les sessions inactives après 30 minutes. Configurez le nombre maximum de connexions simultanées :

Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name MaxInstanceCount -Value 2

Pour une sécurité renforcée, envisagez de changer le port RDP par défaut de 3389 :

Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name PortNumber -Value 3390

Après avoir changé le port, mettez à jour la règle du pare-feu :

New-NetFirewallRule -DisplayName "RDP Custom Port" -Direction Inbound -Protocol TCP -LocalPort 3390 -Action Allow

Supprimez la règle du port par défaut 3389 si vous utilisez un port personnalisé :

Disable-NetFirewallRule -DisplayGroup "Remote Desktop"

Redémarrez les services Terminal pour appliquer les changements de port :

Restart-Service TermService -Force

Vérification : Testez la connexion sur le nouveau port et confirmez que l'ancien port n'écoute plus avec netstat -an | findstr :3389 et netstat -an | findstr :3390.