Windows 11远程桌面“无日志断连”问题排查与解决

Windows 11远程桌面"无日志断连"问题排查与根治

概述

本文记录了一次Windows 11远程桌面（RDP）连接中断的故障排查过程。故障现象为：特定外部IP地址在正常使用中断开后无法重连，而其他外部IP可正常连接，且系统事件日志中无相关错误记录。经定位，问题由Windows过滤平台（WFP）的"防止端口扫描"机制误触发导致。本文提供临时恢复方案与根治方案。

一、环境说明

项目	配置
操作系统	Windows 11
远程服务	RDP（端口3389）
网络环境	通过路由器端口映射（外网端口34389→内网3389）暴露于公网
客户端	家庭网络（电信公网IP）

二、故障现象

初期：从家庭网络可正常远程连接该虚拟机。
某次使用过程中连接突然中断。
中断后，从家庭网络无法再次建立RDP连接。
从其他网络（朋友家）可正常连接该虚拟机。
若先远程到朋友家电脑，再由朋友家电脑中转，可连接该虚拟机。
虚拟机的事件查看器中无登录失败（4625）或连接请求（1149）记录。

三、排查过程

3.1 确认服务端运行状态

在虚拟机中执行：

cmd 复制代码

netstat -ano | findstr 3389

输出结果：

复制代码

TCP    0.0.0.0:3389           0.0.0.0:0              LISTENING       2104
TCP    192.168.31.40:3389     118.113.236.27:11884   ESTABLISHED     2104

分析：RDP服务（PID 2104）处于监听状态，且存在来自其他网络（118.113.236.27）的已建立连接。说明服务端及端口映射均正常。

3.2 检查Windows防火墙入站规则

在wf.msc中检查"远程桌面"入站规则的"作用域"设置，确认"远程IP地址"配置为"任何IP地址"。该检查排除了防火墙规则主动拒绝特定IP的可能性。

3.3 开启防火墙丢包日志

默认情况下Windows防火墙不记录丢包信息。通过以下命令开启：

cmd 复制代码

netsh advfirewall set allprofiles logging filename %SystemRoot%\system32\LogFiles\Firewall\pfirewall.log
netsh advfirewall set allprofiles logging droppedconnections enable

从家庭网络发起连接尝试后，检查日志文件：

cmd 复制代码

findstr /C:"[家庭公网IP]" C:\Windows\system32\LogFiles\Firewall\pfirewall.log

结果：日志中未找到相关记录，说明数据包在防火墙日志记录层之前已被丢弃。

3.4 导出WFP状态进行分析

Windows过滤平台（WFP）是Windows网络栈的核心过滤组件。导出完整状态：

cmd 复制代码

netsh wfp show state

该命令生成wfpstate.xml文件。在文件中搜索家庭公网IP，定位到关键信息：

在FWPM_LAYER_INBOUND_TRANSPORT_V4_DISCARD（入站传输v4丢弃层）中，存在以下规则：

xml 复制代码

<filterKey>{704725da-a952-4e71-924e-d5bcd2b01295}</filterKey>
<displayData>
    <name>防止端口扫描筛选器</name>
    <description>此筛选器可防止进行端口扫描...</description>
</displayData>
<action>
    <type>FWP_ACTION_CALLOUT_TERMINATING</type>
    <filterType>FWPM_CALLOUT_WFP_TRANSPORT_LAYER_V4_SILENT_DROP</filterType>
</action>

该规则的行为为"静默丢弃"（Silent Drop）：接收到数据包后不响应、不拒绝、不记录日志，直接丢弃。

关键发现 ：该过滤器的生效条件中没有CURRENT_PROFILE_ID限制，意味着它在所有网络配置文件（域/专用/公用）下均生效。这就是将网络类型改为"专用"后问题依然复发的原因。

3.5 确认网络配置文件类型

在PowerShell中执行：

powershell 复制代码

Get-NetConnectionProfile

输出：

复制代码

Name                     : 网络
InterfaceAlias           : Ethernet0
NetworkCategory          : Public

3.6 重启验证

在未做任何配置修改的情况下，重启虚拟机后连接恢复。说明该拦截机制为运行时动态黑名单，重启清空缓存但根因未消除。

四、原因分析

Windows TCP/IP协议栈内置了SYN攻击保护机制 （SynAttackProtect），用于检测异常连接行为。
当某个IP在短时间内出现大量半开连接或快速重连时，该机制将其标记为"可疑"。
WFP的"防止端口扫描筛选器 "（filterId: 78578）接收到该标记后，对该IP执行静默丢弃。
家庭网络因瞬时波动触发RDP客户端快速重连，被误判为端口扫描行为。
该过滤器无网络类型限制，因此在任何配置文件下均生效。
重启清空运行时黑名单，但触发条件仍在，问题会再次复发。

五、临时恢复方案

当故障发生时，可通过以下方式快速恢复连接：

5.1 重启虚拟机

重启Windows 11虚拟机即可清空WFP运行时缓存和临时黑名单。

5.2 注意事项

重启仅临时恢复，不能根治。
在根因未消除的情况下，网络再次波动会导致问题复发。

六、根治方案

6.1 方案一：服务器端创建高优先级允许规则（推荐，一劳永逸）

在被远程的Windows 11虚拟机 上，以管理员身份打开命令提示符（CMD），执行：

cmd 复制代码

netsh advfirewall firewall add rule name="RDP_Priority_Allow" dir=in protocol=TCP localport=3389 action=allow profile=any

验证规则是否生效：

cmd 复制代码

netsh advfirewall firewall show rule name="RDP_Priority_Allow"

预期输出：

复制代码

规则名称:                             RDP_Priority_Allow
已启用:                               是
方向:                                 入
配置文件:                             域,专用,公用
协议:                                 TCP
本地端口:                             3389
操作:                                 允许

如需删除该规则：

cmd 复制代码

netsh advfirewall firewall delete rule name="RDP_Priority_Allow"

原理：该规则创建了一条显式允许 的入站规则，其优先级高于底层的"防止端口扫描"静默丢弃规则。RDP流量将匹配此规则并被直接放行，不再进入防扫描检查流程。

6.2 方案二：客户端调整RDP连接参数（辅助增强）

在发起远程的电脑 上（即你的家用电脑），以管理员身份打开命令提示符（CMD），执行以下三条命令：

cmd 复制代码

reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services\Client" /v fClientDisableUDP /t REG_DWORD /d 1 /f
reg add "HKCU\SOFTWARE\Microsoft\Terminal Server Client" /v ConnectionRetryDelay /t REG_DWORD /d 5000 /f
reg add "HKCU\SOFTWARE\Microsoft\Terminal Server Client" /v ConnectionRetryCount /t REG_DWORD /d 20 /f

执行完毕后重启家用电脑，使修改生效。

各命令作用：

命令	作用
`fClientDisableUDP = 1`	强制RDP仅使用TCP协议，避免UDP不稳定导致的快速重连
`ConnectionRetryDelay = 5000`	重连间隔从默认1秒延长至5秒，降低触发频率
`ConnectionRetryCount = 20`	限制最大重试次数，避免无限重连

6.3 方案对比

方案	操作位置	效果	推荐度
方案一	被远程的虚拟机（服务端）	从根本上绕过防扫描机制，彻底根治	⭐⭐⭐⭐⭐
方案二	发起连接的电脑（客户端）	降低触发概率，起辅助防护作用	⭐⭐⭐

建议：以方案一为主，方案二为辅助补充，两者配合效果最佳。

七、排查流程速查表

步骤	命令/操作	目的
1	`netstat -ano	findstr 3389`
2	检查防火墙入站规则作用域	排除规则层面的IP限制
3	开启防火墙丢包日志	确认是否为静默丢弃
4	`netsh wfp show state`	查看WFP底层过滤规则
5	`Get-NetConnectionProfile`	确认网络配置文件类型
6	执行根治方案一的命令	创建高优先级允许规则，彻底解决

八、相关命令汇总

cmd 复制代码

:: 查看端口监听状态
netstat -ano | findstr 3389

:: 开启防火墙丢包日志
netsh advfirewall set allprofiles logging filename %SystemRoot%\system32\LogFiles\Firewall\pfirewall.log
netsh advfirewall set allprofiles logging droppedconnections enable

:: 查询防火墙丢包日志
findstr /C:"IP地址" C:\Windows\system32\LogFiles\Firewall\pfirewall.log

:: 导出WFP状态
netsh wfp show state

:: 查看网络配置文件
powershell -c "Get-NetConnectionProfile"

:: 修改为专用网络（临时方案，非根治）
powershell -c "Set-NetConnectionProfile -InterfaceAlias '网卡别名' -NetworkCategory Private"

:: ===== 根治方案命令 =====
:: 服务器端：创建高优先级RDP允许规则
netsh advfirewall firewall add rule name="RDP_Priority_Allow" dir=in protocol=TCP localport=3389 action=allow profile=any

:: 服务器端：查看规则
netsh advfirewall firewall show rule name="RDP_Priority_Allow"

:: 服务器端：删除规则
netsh advfirewall firewall delete rule name="RDP_Priority_Allow"

:: 客户端：禁用UDP、调整重连参数
reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services\Client" /v fClientDisableUDP /t REG_DWORD /d 1 /f
reg add "HKCU\SOFTWARE\Microsoft\Terminal Server Client" /v ConnectionRetryDelay /t REG_DWORD /d 5000 /f
reg add "HKCU\SOFTWARE\Microsoft\Terminal Server Client" /v ConnectionRetryCount /t REG_DWORD /d 20 /f

九、总结

本次故障的根因是Windows过滤平台（WFP）中一条无网络类型限制的"防止端口扫描"静默丢弃规则（filterId: 78578）。当网络波动触发RDP快速重连时，该规则将源IP误判为扫描行为并予以静默丢弃。

根治手段 ：在服务器端创建一条显式允许的高优先级入站规则，使RDP流量绕过防扫描检查。经实际验证，该方案彻底解决了问题，未再复发。

经验教训：

没有日志不等于没有拦截，WFP的"静默丢弃"是最隐蔽的拦截方式。
重启可验证是否为动态黑名单问题，但不能作为长期方案。
当常规手段无法定位时，netsh wfp show state 是探查网络栈底层状态的有效工具。

附录：验证结果

执行根治方案一后，规则状态如下：

复制代码

规则名称:                             RDP_Priority_Allow
已启用:                               是
方向:                                 入
配置文件:                             域,专用,公用
协议:                                 TCP
本地端口:                             3389
操作:                                 允许

后续长时间使用验证：问题未再复发。