Cómo Habilitar Escritorio Remoto Windows Server 2022 (Paso a Paso)

Aprende cómo habilitar Escritorio Remoto Windows Server 2022. Este proceso es fundamental para la administración remota de la infraestructura y, por defecto, permitirá el acceso concurrente de un máximo de dos usuarios administrativos de forma simultánea, salvo que se implemente el rol de servicios de escritorio remoto y se adquieran las licencias (CAL) correspondientes.

Revisa la documentación oficial de Conexión a Servicios de Escritorio remoto en Windows Server

Habilitar Escritorio Remoto Windows Server 2022 mediante Interfaz Gráfica (GUI)

Para activar el acceso por Escritorio Remoto Windows Server 2022 (RDesktop, RDP, MSTSC) en un entorno con experiencia de escritorio, utilizaremos el método tradicional del Panel de Control, asegurando que las directivas locales de red queden correctamente asignadas:

• Acceder al Panel de Control: Abre el menú de inicio, busca el Panel de Control.

• Dirígete a la sección Sistema y seguridad. Haz clic en la opción Permitir acceso remoto ubicada en los ajustes principales del sistema.

• En la pestaña “Acceso remoto”, marca la casilla Permitir las conexiones remotas a este equipo.

Para garantizar un canal de comunicación seguro, mantén activa la opción Permitir solo las conexiones desde equipos que ejecuten Escritorio remoto con Autenticación a nivel de red (NLA).

💡 Nota de Seguridad: Al habilitar esta casilla, el sistema operativo añadirá de forma automática una regla de excepción en el Cortafuegos (Windows Defender Firewall) para permitir el tráfico entrante a través del puerto predeterminado TCP 3389.

• Gestión de Permisos: Haz clic en Seleccionar usuarios…. Cabe destacar que los miembros del grupo Administradores locales ya cuentan con privilegios de acceso implícitos. Si requieres añadir cuentas de usuario estándar adicionales, utiliza el botón Agregar para incluirlas en la lista de permitidos.

Método Avanzado: Activar RDP mediante PowerShell

Si estás administrando una instalación en modalidad Windows Server Core o prefieres la automatización mediante scripts de administración en red, puedes realizar todo el despliegue de habilitar el escritorio remoto Windows Server 2022 ejecutando las siguientes instrucciones en una consola de PowerShell con privilegios de Administrador:

# 1. Habilitar el acceso de Escritorio Remoto en el registro del sistema
Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server' -Name "fDenyTSConnections" -Value 0

# 2. Habilitar las reglas predefinidas en el Firewall de Windows
Enable-NetFirewallRule -DisplayGroup "Remote Desktop"

# 3. Forzar el uso de Autenticación a nivel de red (NLA) para mayor seguridad
Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name "UserAuthentication" -Value 1

Conexión desde un Cliente al Servidor

Una vez configurado el rol de escritorio remoto WIndows Server 2022 en el servidor, la conectividad puede validarse desde cualquier estación de trabajo Windows 10 o Windows 11 dentro de la misma infraestructura de red:

• Presiona la tecla Windows, escribe Conexión a Escritorio remoto (o ejecuta el comando mstsc) y abre la herramienta oficial.

• Introduce la dirección IP estática o el nombre de dominio DNS del servidor y presiona Conectar.

Tip de resolución de dominios: Si el servidor se encuentra operando en un grupo de trabajo local (Workgroup) y no pertenece a un dominio de Active Directory, antepone una barra invertida (\) al nombre del usuario (ejemplo: \Administrador). Esto forzará al cliente a autenticarse contra la base de datos SAM local del servidor remoto.

Buenas Prácticas de Seguridad para Entornos RDP en Producción

El protocolo RDP (puerto 3389) es uno de los vectores de ataque más explotados mediante fuerza bruta por agentes maliciosos en internet. Si tu servidor estará expuesto o gestionará datos críticos, te sugiero implementar las siguientes directivas de ciberseguridad:

• Segmentación de Red: Nunca expongas el puerto 3389 directamente a internet de manera pública. La arquitectura ideal exige levantar previamente un canal cifrado mediante una VPN (como pfSense o Fortinet) para luego iniciar la sesión de administración.

• Cambio de Puerto por Defecto: Modifica el puerto de escucha por defecto en el registro del sistema (PortNumber en la ruta HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp) hacia un puerto no estándar (ej. entre el 49152 y el 65535) para mitigar el escaneo automatizado de puertos.

• Políticas de Bloqueo de Cuentas: Configura directivas de grupo locales (GPO) para bloquear de forma temporal las credenciales tras una serie consecutiva de intentos fallidos de inicio de sesión.