远程桌面连接失败需依次排查：启用远程桌面功能、启动Remote Desktop Services服务、放行防火墙3389端口、创建本地管理员账户、禁用NLA组策略、更新RDP Wrapper配置、开启网络发现并确保工作组一致。
如果您尝试使用Windows 11自带的远程桌面客户端（mstsc.exe）连接目标计算机，但提示“无法连接到远程计算机”或“发生身份验证错误”，则可能是由于远程桌面功能未启用、服务异常、防火墙拦截、账户权限限制或NLA策略冲突所致。以下是针对该问题的多种排查与修复方法：
本文运行环境：Surface Laptop 5，Windows 11 24H2。
一、确认远程桌面功能已启用
目标计算机必须明确允许远程连接，否则所有RDP请求均被系统层面拒绝。该设置控制是否向网络开放RDP监听端口。
1、在目标计算机上按下Win + R键，输入sysdm.cpl并回车，打开“系统属性”窗口。
2、切换至“远程”选项卡，在“远程桌面”区域勾选允许远程连接到此计算机。
3、取消勾选仅允许使用网络级别身份验证的远程桌面连接（若需兼容微软账号或旧客户端）。
4、点击“确定”保存更改，系统可能提示需重启远程桌面服务以生效。
二、检查Remote Desktop Services服务状态
远程桌面协议依赖底层服务进程持续运行，若服务被禁用、停止或启动失败，即使功能已启用也无法建立连接。
1、按下Win + R键，输入services.msc并回车，打开服务管理器。
2、在列表中定位Remote Desktop Services（注意非“Remote Desktop Configuration”或“Remote Desktop Services UserMode Port Redirector”）。
3、右键该项选择“属性”，确认“启动类型”为自动，当前“状态”为正在运行。
4、若状态非运行中，点击“启动”按钮；若启动失败，查看“服务状态”下方错误代码，并检查其依赖服务（如TermService）是否正常。
三、配置Windows Defender防火墙放行规则
Windows默认防火墙会阻止TCP 3389端口的入站连接，必须显式授权远程桌面应用通过防火墙。
1、打开“控制面板”→“系统和安全”→“Windows Defender 防火墙”。
2、点击左侧允许应用或功能通过 Windows Defender 防火墙。
3、点击更改设置（需管理员权限），在应用列表中找到远程桌面。
4、确保其在专用和公用网络列下均已被勾选；若未显示，点击“允许其他应用…”，手动添加路径：%SystemRoot%\System32\svchost.exe（承载RDP服务的宿主进程）。
四、绕过微软账号登录限制创建本地管理员账户
当使用微软账号（MSA）连接失败且提示凭据错误、NLA拒绝或安全通道协商失败时，本地账户可规避多数身份验证层问题。
1、在目标计算机上以当前可用账户登录，打开“设置”→“账户”→“家庭和其他用户”→“将其他人添加到这台电脑”。
2、选择我没有这个人的登录信息→添加没有Microsoft账户的用户。
3、输入用户名（如LocalAdmin）、密码及密码提示，完成创建。
4、右键“开始”→“计算机管理”→“系统工具”→“本地用户和组”→“用户”，右键新账户→“属性”，勾选隶属于以下组中的成员下的Administrators。
五、修改组策略禁用NLA强制要求
网络级别身份验证（NLA）在部分更新后对微软账号支持不稳定，禁用该策略可恢复基础RDP连接能力。
1、按下Win + R键，输入gpedit.msc并回车（仅限Windows 11专业版/企业版）。
2、导航至：计算机配置 → 管理模板 → Windows组件 → 远程桌面服务 → 远程桌面会话主机 → 安全。
3、双击要求使用网络级别身份验证对远程连接进行用户身份验证，选择已禁用。
4、执行命令gpupdate /force刷新策略，或重启目标计算机使更改生效。
六、验证并修复RDP Wrapper兼容性（适用于家庭版或更新后失效场景）
Windows 11家庭版原生不支持作为RDP主机，RDP Wrapper通过注入方式模拟专业版行为；系统更新常导致其ini配置过期而失效。
1、访问官方维护地址：https://github.com/sebaxakerhtc/rdpwrap.ini，下载最新版rdpwrap.ini文件。
2、以管理员身份运行cmd，执行命令：net stop TermService 停止远程桌面服务。
3、进入C:\Program Files\RDP Wrapper\，备份原rdpwrap.ini，将新下载的ini文件复制粘贴至此目录并覆盖。
4、执行命令：net start TermService，随后运行RDPWInst.exe（位于同一目录）以重新安装服务封装层。
七、检查网络发现与工作组一致性
若使用计算机名而非IP连接失败，说明NetBIOS名称解析或SMB发现机制未就绪，尤其在公用网络模式下会被系统主动屏蔽。
1、打开“控制面板”→“网络和Internet”→“网络和共享中心”→“更改高级共享设置”。
2、展开当前网络配置（如“专用”），确认启用网络发现和文件和打印机共享。
3、返回“系统”设置，点击“关于”→“重命名这台电脑”，确认两台设备处于同一工作组（默认为WORKGROUP）。
4、若仍无法通过名称连接，可在本地计算机的C:\Windows\System32\drivers\etc\hosts末尾添加一行：192.168.x.x TargetPCName（替换为实际IP与目标机名）。
