Cómo habilitar el escritorio remoto mediante la política de grupo (GPO)

En este artículo, aprenderá cómo habilitar el Escritorio remoto mediante la política de grupo. En las computadoras unidas al dominio de Active Directory, puede habilitar el Escritorio remoto mediante GPO.

Escritorio remoto es una función del sistema operativo que permite a un usuario conectarse a una computadora en otra ubicación, ver el escritorio de esa computadora e interactuar con ella como si fuera local.

La función de escritorio remoto de Windows 11 es utilizada principalmente por TI para la administración remota. Normalmente, los equipos de TI dependen del acceso a Escritorio remoto para conectarse a dispositivos como Windows 11, Windows Server 2022 y administrar tareas.

La necesidad de habilitar el Escritorio remoto surge cuando tiene un sitio remoto y debe brindar soporte a usuarios remotos. Habilitar el Escritorio remoto a través de una política de grupo en todas las computadoras parece ser la mejor solución.

En la mayoría de las organizaciones, la función de escritorio remoto está habilitada de forma predeterminada. Normalmente, en un entorno de Active Directory, se utiliza un GPO para habilitar el Escritorio remoto. Entonces, comencemos a habilitar la función de Escritorio remoto.

Leer: Función de ayuda remota de Intune en Endpoint Manager

Pasos para habilitar el escritorio remoto mediante la política de grupo

Hay tres configuraciones que necesita para habilitar el escritorio remoto en las computadoras:

Permitir que los usuarios se conecten de forma remota mediante Servicios de Escritorio remoto
Requerir autenticación de usuario para conexiones remotas mediante la autenticación de nivel de red
Permitir el puerto 3389 (puerto de escritorio remoto) a través del Firewall de Windows

Todas las configuraciones anteriores deben estar implementadas para que la función Escritorio remoto funcione en las computadoras. Y todas las configuraciones se pueden aplicar mediante una política de grupo.

Más información: Cómo deshabilitar la búsqueda de actualizaciones mediante la política de grupo (GPO)

Cuando crea una política de grupo, no es necesario aplicarla a nivel de dominio. Puede aplicarlo para unidades organizativas seleccionadas o vincular el GPO a varias unidades organizativas.

En este artículo, crearé y aplicaré el GPO a nivel de dominio mientras lo hago en la configuración de mi laboratorio. Aplicar el GPO a nivel de dominio significa que está habilitando la función de escritorio remoto en todas las computadoras unidas al dominio.

En su caso, es posible que deba probar la política primero en un lote piloto de computadoras y luego vincular el GPO a las unidades organizativas o al grupo de sistemas requeridos. Los pasos para habilitar el escritorio remoto seguirán siendo los mismos sin importar dónde y cómo aplique la política.

Lea también: Cómo habilitar la asistencia remota mediante la política de grupo

Nota: Puede crear un GPO independiente para cada configuración o crear un único GPO y agregar todas las configuraciones anteriores en un único GPO.

Paso 1: crear un GPO para habilitar el escritorio remoto

Ahora veremos los pasos para habilitar el Escritorio remoto mediante la Política de grupo.

Inicie sesión en Windows Server y abra la consola de administración de políticas de grupo (GPMC)
Expanda Dominios, haga clic derecho en su dominio y seleccione Crear un GPO en este dominio y vincularlo aquí.

Ingrese el nombre de este nuevo GPO como "Habilitar escritorio remoto" y haga clic en Aceptar.

Debe editar el GPO y continuar con la configuración de las siguientes políticas.

Paso 2: habilite Permitir que los usuarios se conecten de forma remota mediante Servicios de Escritorio remoto

La primera política que configuraremos es Permitir que los usuarios se conecten de forma remota mediante Servicios de Escritorio remoto. Esta configuración de directiva le permite configurar el acceso remoto a computadoras mediante Servicios de Escritorio remoto.

Si habilita esta configuración de directiva, los usuarios que son miembros del grupo Usuarios de Escritorio remoto en la computadora de destino pueden conectarse de forma remota a la computadora de destino mediante Servicios de Escritorio remoto.

Si deshabilita esta configuración de directiva, los usuarios no pueden conectarse de forma remota a la computadora de destino mediante Servicios de Escritorio remoto. La computadora de destino mantendrá las conexiones actuales, pero no aceptará ninguna conexión entrante nueva.

Leer: Cómo permitir el inicio de sesión a través de Servicios de Escritorio remoto

En el editor de administración de políticas de grupo, navegue hasta Configuración del equipo > Políticas > Plantillas administrativas > Componentes de Windows > Servicios de Escritorio remoto >Host de sesión de Escritorio remoto > Conexiones.

Haga clic con el botón derecho en la configuración de política "Permitir que los usuarios se conecten de forma remota mediante Servicios de Escritorio remoto" y seleccione Editar. Ahora habilite esta configuración de política seleccionando Activada. Haga clic en Aplicar y Aceptar.

Paso 3: habilitar el nivel de red Autenticación para conexiones remotas

La configuración de directiva “Requerir autenticación de usuario para conexiones remotas mediante autenticación de nivel de red” le permite especificar si se requiere autenticación de usuario para conexiones remotas al servidor host de sesión de Escritorio remoto mediante autenticación de nivel de red.

La autenticación a nivel de red es un método utilizado para mejorar la seguridad del servidor host de sesión de RD al requerir que un usuario se autentique en el servidor host de sesión de RD antes de que se pueda crear una sesión.

Esta configuración de directiva mejora la seguridad al requerir que la autenticación del usuario se produzca antes en el proceso de conexión remota.

Si habilita esta configuración de política, solo los equipos cliente que admitan la autenticación a nivel de red podrán conectarse al servidor host de sesión de Escritorio remoto.

Leer: Deshabilite Windows Spotlight usando GPO

Para determinar si una computadora cliente admite la autenticación a nivel de red, inicie Conexión a Escritorio remoto en la computadora cliente, haga clic en el icono en la esquina superior izquierda del cuadro de diálogo Conexión a Escritorio remoto y luego haga clic en Acerca de. En el cuadro de diálogo Acerca de la conexión a Escritorio remoto, busque la frase Autenticación a nivel de red compatible.

Si deshabilita esta configuración de política, la autenticación a nivel de red no es necesaria para la autenticación del usuario antes de permitir conexiones remotas al servidor host de sesión de Escritorio remoto.

Se recomienda que habilite esta configuración de política cuando habilite Escritorio remoto mediante la Política de grupo.

Haga clic con el botón derecho en la configuración de política "Requerir autenticación de usuario para conexiones remotas mediante autenticación de nivel de red" y haga clic en Editar. Habilite esta configuración de política seleccionando Activada. Haga clic en Aplicar y Aceptar.

Con la configuración de política anterior habilitada, puede seleccionar el GPO "Habilitar escritorio remoto" y echar un vistazo a la configuración configurada. La configuración es visible cuando selecciona la pestaña Configuración del GPO en la consola GPM.

Paso 4 - Permitir el puerto 3389 (puerto de escritorio remoto) a través del Firewall de Windows

El Protocolo de escritorio remoto escucha en el puerto TCP 3389 y el puerto UDP 3389. Si el firewall de su dominio no tiene permitido el puerto 3389, las conexiones RDP fallarán.

El siguiente procedimiento muestra cómo abrir el puerto RDP 3389 a través del Firewall de Windows. En caso de que el puerto 3389 esté permitido a través del firewall, pase a la siguiente sección.

Recomendado: Configurar el mensaje de inicio de sesión interactivo del controlador de dominio

Como se mencionó anteriormente, puede editar un GPO existente y permitir el puerto 3389 o crear un nuevo GPO para habilitar el puerto 3389 de Escritorio remoto.

En el Editor de administración de políticas de grupo, vaya a Configuración del equipo > Configuración de Windows > Configuración de seguridad > Firewall de Windows Defender con seguridad avanzada. fuerte>.

Queremos permitir la conexión RDP entrante a todas las computadoras (puerto TCP 3389). Haga clic derecho en la sección Reglas de entrada y seleccione Nueva regla.

En la ventana Tipo de regla, seleccione Puerto. Haga clic en Siguiente.

En la ventana Protocolo y puertos, configure lo siguiente:

¿Se aplica esta regla a TCP o UDP? Seleccione TCP.
¿Esta regla se aplica a todos los puertos locales o a puertos locales específicos? - Seleccione Puertos locales específicos e ingrese el número de puerto - 3389.

Haga clic en Siguiente para continuar.

Como queremos permitir el puerto 3389 a través de nuestro firewall, seleccione Permitir la conexión. Haga clic en Siguiente.

Esta es una sección importante donde debe seleccionar un perfil y especificar cuándo se aplica esta regla. En última instancia, el perfil de dominio es donde desea que se permita el puerto 3389. Haga clic en Siguiente.

Especifique el nombre y la descripción de esta regla y haga clic en Finalizar.

Hemos creado con éxito una regla de entrada que permite el puerto 3389 junto con la política de GPO de escritorio remoto.

Paso 5: Pruebe “Habilitar GPO de escritorio remoto” en las máquinas cliente

Este es el paso final en el que verificamos si el GPO se ha implementado correctamente en las máquinas cliente. De forma predeterminada, el intervalo de actualización de la política de grupo es de 90 minutos. Puede modificar el intervalo de actualización de GP si es necesario.

En la computadora cliente, inicie CMD como administrador y ejecute el comando gpupdate. Espere a que finalicen la actualización de la política de la computadora y la actualización de la política del usuario.

Ahora vaya a Propiedades del sistema y seleccione la pestaña Remoto. Tenga en cuenta que Permitir conexiones remotas a esta computadora está habilitado junto con la autenticación de nivel de red para conexiones RDP. Esto confirma que hemos habilitado exitosamente el Escritorio remoto usando la Política de grupo.