## 症状现象
远程桌面客户端连接 Windows 服务器，提示凭证错误、无法连接或长时间转圈后超时。把现象先分类，排查就省一半时间：报凭证问题是一类，报连接超时或拒绝是另一类，登录后立刻被断开是第三类。三类对应三组原因：账号凭证、网络端口、会话数量。
## 凭证类：账号本身的问题
密码确认没输错仍提示凭证失败，查账号状态：密码是否过期、账号是否被禁用、是否设置了拒绝远程登录的权限。管理员密码彻底丢失时，顺云控制台提供的重置密码途径可以兜底，重置后需要按提示在控制台完成一次重启生效。另一个高频坑：用户名格式，本机账号与域账号、微软账户的登录名写法不同，输错格式报的也是凭证错误。密码里的大小写与全角半角字符，在远程客户端里输错不易察觉，先完整重输一遍再怀疑账号。
## 端口类：3389 的链路
远程桌面走 TCP 3389，链路上任何一环堵住都超时。服务器本机验证：
Test-NetConnection 本机IP -Port 3389
本机通、外部不通，查两端防火墙：控制台防火墙规则放行 3389，Windows 防火墙的远程桌面入站规则启用。服务端确认远程桌面功能已开启、服务在跑。外部测试用 telnet 或 nc 探测公网 IP 的 3389，通则链路无虞。改过端口的服务，两端记着同步。客户端与服务端的加密协议版本不匹配也会握手失败，老系统打补丁后偶发。
**会话类：名额满了。**默认两个管理员会话名额，断开未注销的会话仍占坑，第三个人连接就被拒或被踢。处理用会话管理命令：query user 列出会话，logoff 加会话 ID 清理残留。组策略里可以设置断开会话的自动注销时限，治本。另一种"被踢"是别的客户端抢占了同一账号的连接。
## 预防建议
远程桌面是 Windows 服务器最高危的暴露面，基础三条：强口令加锁定策略，控制台防火墙限制来源 IP 只放行办公出口，开启网络级认证。账号定期盘点，离职即禁用。3389 的全球扫描从不间断，别裸奔。重要的运维通道配一个备用端口与备用账号，主通道故障时还有第二条路。