איך להתחבר לשרת בשולחן עבודה מרוחק (RDP) - מכל מכשיר ובצורה בטוחה

חיבור לשרת בשולחן עבודה מרוחק (RDP, Remote Desktop Protocol) נותן לכם את שולחן העבודה המלא של שרת Windows בחלון על המחשב שלכם: עכבר, מקלדת, לוח העתקה, ואם רוצים גם מדפסות וכוננים מקומיים. צריך שלושה פרטים: כתובת IP (או שם DNS), שם משתמש וסיסמה. בשרת חדש מקבלים אותם עם ההקמה, והלקוח מובנה ב-Windows וזמין בחינם לכל שאר המערכות. במדריך נעבור על ההתחברות מכל מכשיר, על ההגדרות שבאמת משנות בעבודה היומיומית, ועל האבטחה - החלק שרוב האנשים מדלגים עליו ומשלמים עליו אחר כך.

איך מתחברים ב-RDP מ-Windows?

ב-Windows מתחברים עם הכלי המובנה Remote Desktop Connection, שהקובץ שלו נקרא mstsc.exe. אין צורך להתקין דבר:

1. מקישים Win+R, כותבים mstsc ולוחצים Enter.
2. בשדה Computer מזינים את כתובת השרת, למשל 203.0.113.20. אם השרת מאזין בפורט אחר, מוסיפים אותו אחרי נקודתיים: 203.0.113.20:3390.
3. לוחצים Connect, מזינים שם משתמש וסיסמה. למשתמש מקומי בשרת כדאי לכתוב .\Administrator - הנקודה אומרת "החשבון המקומי של השרת" ולא חשבון במחשב שלכם או בדומיין.
4. בחיבור הראשון תופיע אזהרה על תעודה שאינה מוכרת. זה צפוי בשרת חדש עם תעודה עצמית. אפשר לסמן "Don't ask me again" אחרי שבדקתם שזו אכן הכתובת הנכונה.

מי שעובד הרבה מהטרמינל יכול לדלג על החלון:

mstsc /v:203.0.113.20
mstsc /v:203.0.113.20 /admin          :: חיבור לסשן הניהולי
mstsc /v:203.0.113.20 /multimon       :: שימוש בכל המסכים
mstsc /v:203.0.113.20 /w:1920 /h:1080 :: רזולוציה קבועה

איך שומרים חיבור כקובץ rdp עם כל ההגדרות?

לוחצים על Show Options בחלון ה-mstsc, מגדירים הכול בלשוניות ובסוף לוחצים Save As בלשונית General. נוצר קובץ .rdp - קובץ טקסט רגיל - שלחיצה כפולה עליו פותחת את החיבור עם כל ההגדרות. זה הדבר הראשון שאני עושה מול כל שרת חדש, כי ההגדרות הנכונות חוסכות תסכול כל יום מחדש.

הלשוניות שכדאי להכיר:

• Display - גודל החלון, איכות הצבעים, והתיבה "Use all my monitors for the remote session" לעבודה על כמה מסכים.
• Local Resources - קול, קיצורי מקלדת (האם Alt+Tab עובר בין חלונות בשרת או אצלכם), ובכפתור More: כוננים, מדפסות, כרטיסים חכמים והתקני USB שיועברו לשרת.
• Experience - בחירת מהירות חיבור. בחיבור ביתי איטי, ביטול רקע שולחן העבודה ואנימציות מורגש מיד.
• Advanced - הגדרות אימות שרת ו-RD Gateway, אם יש לכם כזה.

אפשר גם לערוך את הקובץ ישירות ב-Notepad. כמה שורות שימושיות:

full address:s:203.0.113.20
username:s:.\dana
use multimon:i:1
redirectclipboard:i:1
redirectprinters:i:1
drivestoredirect:s:C:\;
audiomode:i:0
authentication level:i:2

הקובץ לא שומר סיסמה בטקסט. אם מסמנים "Allow me to save credentials", הסיסמה נשמרת ב-Credential Manager של Windows. על מחשב משותף או לא מוצפן - עדיף לא.

איך מעבירים קבצים ומדפסים מהשרת דרך RDP?

הדרך הכי פשוטה להעביר קבצים היא העתק-הדבק: מסמנים קובץ בסייר הקבצים אצלכם, Ctrl+C, ובשרת Ctrl+V. זה עובד כל עוד העברת לוח ההעתקה (Clipboard) מופעלת, וזו ברירת המחדל. לקבצים גדולים, נגיד מעל כמה מאות מגה, העתק-הדבק נוטה להיתקע, ועדיף שיתוף כונן: ב-Local Resources ← More מסמנים את הכונן הרצוי, ובשרת הוא יופיע בסייר תחת "This PC" בשם כמו C on DANA-LAPTOP.

מדפסות עובדות באותו אופן: מסמנים Printers, והמדפסות המקומיות שלכם מופיעות בשרת עם הסיומת "redirected". ב-Windows מודרני זה עובד ברוב המקרים בלי להתקין דרייבר בשרת, בזכות Easy Print. כשמדפסת ישנה לא מופיעה או מדפיסה ג'יבריש, הפתרון הוא בדרך כלל להתקין בשרת את הדרייבר של היצרן.

איך עובדים עם כמה מסכים ב-RDP?

מסמנים "Use all my monitors for the remote session" בלשונית Display, או מריצים mstsc /multimon. השרת יקבל את כל המסכים כמסכים נפרדים, וחלונות יתנהגו כמו במחשב מקומי - מקסום למסך אחד, גרירה בין מסכים. האפשרות הישנה /span פורשת שולחן עבודה אחד ענק על כל המסכים, וכמעט אף פעם לא תרצו אותה.

אם יש לכם שלושה מסכים ואתם רוצים רק שניים מהם בשרת, מוסיפים לקובץ ה-rdp את השורה selectedmonitors:s:0,1. את המספרים של כל מסך מקבלים מהפקודה mstsc /l.

איך מתחברים ב-RDP ממק?

במק מתקינים את Windows App מ-App Store. זו האפליקציה של מיקרוסופט שהחליפה את Microsoft Remote Desktop, ומי שהיה לו את הישנה קיבל אותה כעדכון. לוחצים על ה-+ ← Add PC, ומזינים:

• PC name - כתובת ה-IP או שם השרת.
• Credentials - שם משתמש וסיסמה, אפשר לשמור אותם ב-Keychain.
• Display - "Use all monitors" ו-Retina (רזולוציה מלאה). על מסך Retina בלי התאמת קנה מידה הטקסט ייראה זעיר.
• Devices & Audio - העברת לוח העתקה, מדפסות ומיקרופון.
• Folders - תיקייה מקומית שתופיע בשרת, כמו שיתוף כונן ב-Windows.

שתי הערות ממשתמשי מק: מקש Command ממופה ל-Windows ולא ל-Ctrl, אז העתקה בשרת היא Ctrl+C ולא Cmd+C. ואם עברתם בין עברית לאנגלית במק, ודאו שבשרת מותקנת גם פריסת מקלדת עברית, אחרת תקבלו תווים לא צפויים.

איך מתחברים ב-RDP מאייפון או מאנדרואיד?

מאייפון ואייפד מתקינים את Windows App מ-App Store. באנדרואיד מחפשים ב-Google Play את האפליקציה הרשמית של מיקרוסופט - Windows App, ובמכשירים מסוימים עדיין תופיע תחת השם הישן Remote Desktop. בשני המקרים התהליך זהה: מוסיפים PC, מזינים כתובת ופרטי משתמש, ומתחברים.

במסך מגע יש שני מצבי עכבר: Touch, שבו האצבע לוחצת ישירות, ו-Mouse pointer, שבו גוררים סמן כמו במשטח מגע. לשרת עם חלונות קטנים מצב הסמן מדויק יותר. בכנות - טלפון טוב לאתחול שירות שנתקע או לבדיקה מהירה בערב, לא לשעה של עבודה על ERP. אייפד עם מקלדת ועכבר כבר נותן חוויה סבירה.

איך מתחברים ב-RDP מלינוקס?

בלינוקס הלקוח הנוח ביותר הוא Remmina, שמותקן כברירת מחדל באובונטו דסקטופ ובהפצות רבות אחרות. אם הוא חסר:

sudo apt install remmina remmina-plugin-rdp

ב-Remmina בוחרים פרוטוקול RDP, מזינים כתובת, שם משתמש וסיסמה, ובלשונית Advanced אפשר לשתף תיקייה ולהפעיל לוח העתקה. מי שמעדיף טרמינל יכול להשתמש ב-FreeRDP, המנוע ש-Remmina עצמו משתמש בו:

xfreerdp3 /v:203.0.113.20 /u:dana /dynamic-resolution +clipboard /drive:share,/home/dana/rdp-share
# בהפצות עם FreeRDP 2 הפקודה נקראת xfreerdp

הדגל /dynamic-resolution משנה את רזולוציית השרת כשמשנים את גודל החלון, וזה בדיוק מה שרוצים במחשב נייד.

איך מאבטחים RDP כשהשרת בענן?

הכלל הראשון: שרת עם פורט 3389 פתוח לכל האינטרנט ייסרק תוך זמן קצר, וניסיונות ניחוש סיסמה יתחילו מעצמם. אפשר לראות את זה בעצמכם ב-Event Viewer, תחת Security, אירועים מספר 4625 (כניסה שנכשלה). RDP חשוף הוא אחד מנתיבי הכניסה הנפוצים של מתקפות כופרה, ולכן ההגנה צריכה להיות בכמה שכבות:

הגבלת IP עושים בחומת האש של ספק הענן, ובנוסף גם ב-Windows. ב-PowerShell כמנהל:

Set-NetFirewallRule -DisplayGroup "Remote Desktop" -RemoteAddress 198.51.100.7,198.51.100.8

שימו לב: בגרסת Windows בשפה אחרת שם הקבוצה עשוי להיות שונה, ובדקו מחובר מכתובת מורשית לפני שמתנתקים.

NLA (Network Level Authentication) נמצא ב-System Properties ← Remote, בתיבה "Allow connections only from computers running Remote Desktop with Network Level Authentication". בשרתים מודרניים הוא מופעל כברירת מחדל. אם מישהו כיבה אותו "כי לא הצליח להתחבר", כדאי להבין למה לפני שמשאירים אותו כבוי.

נעילת חשבון מגדירים ב-secpol.msc ← Account Policies ← Account Lockout Policy. ערכים סבירים: נעילה אחרי 5 עד 10 ניסיונות כושלים, לזמן של 15 עד 30 דקות. ושנו את שם המשתמש Administrator או צרו משתמש ניהול אישי ונטרלו את המובנה - סורקים מנסים קודם כל את השם הזה.

MFA אפשר להוסיף בכמה דרכים: דרך RD Gateway עם הרחבת NPS של Microsoft Entra, או עם מוצרי צד שלישי שמוסיפים אימות דו-שלבי למסך הכניסה של Windows. הבחירה תלויה במה שכבר יש בארגון.

בשרת ענן כדאי להגביל את הפורט גם בחומת האש של הספק, כך שתעבורה זרה נעצרת עוד לפני שהיא מגיעה ל-Windows. פרטים על השרתים עצמם יש בעמוד שרת ענן Windows. מי שמנהל גם שרתי לינוקס ימצא את העיקרון המקביל במדריך ההתחברות ב-SSH - מפתחות במקום סיסמאות והגבלת גישה.

למה החיבור ב-RDP נכשל? שגיאות נפוצות ופתרונות

רוב השגיאות ב-RDP נופלות לשלוש קבוצות: השרת לא נגיש ברשת, האימות נכשל, או בעיית רישוי. ההודעה עצמה בדרך כלל מכוונת לשכבה הנכונה:

הכלל המנחה בכל השגיאות האלה: אם אין חיבור בכלל, קונסולת הדפדפן בפאנל הניהול היא הדרך להיכנס לשרת בלי RDP, לבדוק את חומת האש ואת השירותים, ולתקן.

כמה אנשים יכולים לעבוד על שרת אחד ב-RDP?

Windows Server מגיע עם אפשרות לשני חיבורי RDP ניהוליים במקביל, בלי רישוי נוסף. זה מספיק למנהל המערכת ולספק תוכנה, לא לצוות. כדי שחמישה או עשרים עובדים יעבדו על אותו שרת, למשל עם תוכנת הנהלת חשבונות משותפת, מתקינים את תפקיד Remote Desktop Session Host ורוכשים רישיונות RDS CAL. אחרי ההתקנה יש תקופת חסד, ואחריה החיבורים נחסמים אם לא הוגדר שרת רישוי - זו בדיוק השגיאה מהטבלה למעלה. בעסק קטן כדאי לתכנן את זה מראש: כמה משתמשים, כמה זיכרון לכל אחד, ואיך מגבים. הסבר רחב יותר על התאמת שרת לעסק תמצאו במדריך שרת ענן לעסק קטן, ואת עלות רישיון Windows Server בעמוד המחירים.

מה ההבדל בין Disconnect ל-Sign out?

סגירת חלון ה-RDP עם ה-X היא Disconnect: הסשן ממשיך לרוץ בשרת, התוכנות נשארות פתוחות, והוא תופס את אחד המקומות. זה שימושי כשמריצים תהליך ארוך ורוצים לחזור אליו. Sign out מתפריט Start סוגר את הסשן ומשחרר את המשאבים. בשרת עם שני מקומות בלבד, אנשים שעושים רק Disconnect הם הסיבה מספר אחת לשגיאת "too many users". ב-Group Policy אפשר להגדיר זמן שאחריו סשן מנותק נסגר אוטומטית, תחת Remote Desktop Session Host ← Session Time Limits.