Bureau à distance Linux vers Windows : Remmina et xfreerdp

Quel client de bureau à distance Linux choisir ?

Microsoft ne fournit pas de client RDP pour Linux : Windows App couvre Windows, macOS, iOS, Android et le navigateur, pas un bureau Linux. Ce que Linux propose, c'est FreeRDP, une implémentation open source du protocole, et quelques interfaces bâties dessus : Remmina (GTK, profils enregistrés), GNOME Connections et KRDC de KDE (moins de réglages), et xfreerdp, le client en ligne de commande de FreeRDP qui expose toutes les options.

Utilisez Remmina pour les machines auxquelles vous vous connectez tous les jours, mais apprenez quand même xfreerdp : quand Remmina échoue, il échoue avec une erreur FreeRDP, et la ligne de commande est l'endroit le plus rapide pour la diagnostiquer. Gardez rdesktop pour les hôtes incapables de faire de l'authentification au niveau du réseau, comme un Windows XP ou un Server 2003 non corrigé.

Préparez d'abord le côté Windows

Avant de toucher à Remmina ou à xfreerdp, activez le Bureau à distance sur la machine Windows 11 et vérifiez trois points au passage :

• Édition : seules les éditions Windows Pro, Entreprise et Server acceptent des sessions RDP entrantes ; Home ne peut pas en héberger, quel que soit le client.
• Compte : l'utilisateur a besoin d'un véritable mot de passe (un code PIN Windows Hello ne fonctionne pas en RDP) et doit être administrateur ou membre du groupe Utilisateurs du Bureau à distance.
• Adresse : relevez l'IP avec ipconfig : une adresse privée sur un LAN, l'IP publique pour un VPS Windows, ou un VPN vers le réseau pour un PC domestique joint depuis Internet.

Depuis Linux, vérifiez que quelque chose écoute avant d'accuser le client :

nc -vz 203.0.113.10 3389

Un résultat succeeded signifie que le port est joignable ; un refus ou un blocage est traité dans la section sur les erreurs.

Remmina : la voie graphique

1. Installer Remmina et son greffon RDP

Le support RDP est un greffon séparé sur la plupart des distributions ; le greffon secret stocke les mots de passe dans le trousseau de votre bureau :

# Debian / Ubuntu
sudo apt install remmina remmina-plugin-rdp remmina-plugin-secret

# Fedora
sudo dnf install remmina remmina-plugins-rdp remmina-plugins-secret

# Arch Linux
sudo pacman -S remmina freerdp

# Any distribution (Flatpak)
flatpak install flathub org.remmina.Remmina

2. Créer le profil de connexion

Cliquez sur + pour un nouveau profil et réglez Protocole sur RDP - Remote Desktop Protocol. Dans Serveur, saisissez l'IP ou le nom d'hôte, en ajoutant un port non standard après deux-points, comme 203.0.113.10:3390. Renseignez Nom d'utilisateur et Mot de passe ; laissez Domaine vide pour un compte Windows local. Enregistrez et double-cliquez pour vous connecter ; la section sur les certificats ci-dessous explique l'invite que vous verrez d'abord.

3. Résolution, mise à l'échelle et qualité

Dans l'onglet Basique, Résolution propose Utiliser la taille de fenêtre initiale, Utiliser la résolution du client (le bon choix en plein écran) et des tailles fixes ; le bouton de résolution dynamique de la barre d'outils laisse ensuite Windows réorganiser son bureau quand vous redimensionnez la fenêtre. La Profondeur de couleur est par défaut sur Automatique (32 bpp) ; GFX AVC444 (32 bpp) donne l'image la plus nette sur les Windows récents, tandis que Couleur élevée (16 bpp) avec Qualité sur Faible (le plus rapide) convient à un lien lent. Sur un écran HiDPI, le facteur d'échelle distant de l'onglet Avancé fait afficher à Windows une interface plus grande au lieu d'étirer les pixels de votre côté.

4. Redirection du presse-papiers, des dossiers et de l'audio

La synchronisation du presse-papiers est active par défaut (l'onglet Avancé contient un interrupteur Désactiver la synchronisation du presse-papiers). Partager un dossier, dans l'onglet Basique, redirige un répertoire local dans la session, où il apparaît dans l'Explorateur Windows sous Ce PC. Réglez Son sur Local pour entendre Windows sur vos haut-parleurs Linux, et activez Rediriger le microphone local pour le sens inverse.

xfreerdp (FreeRDP 3) : la voie en ligne de commande

1. Installer FreeRDP 3

# Debian 12+ / Ubuntu 24.04+ (binary: xfreerdp3)
sudo apt install freerdp3-x11

# Fedora (binary: xfreerdp, version 3.x)
sudo dnf install freerdp

# Arch Linux (binary: xfreerdp)
sudo pacman -S freerdp

Debian et Ubuntu nomment le binaire FreeRDP 3 xfreerdp3 afin qu'il coexiste avec freerdp2-x11 (le xfreerdp simple). Vérifiez avec xfreerdp3 /version et adaptez les commandes ci-dessous. Sous Wayland, xfreerdp passe par XWayland ; freerdp3-sdl fournit le nouveau client SDL natif de FreeRDP.

2. Se connecter

xfreerdp3 /v:203.0.113.10 /u:Administrator /from-stdin +dynamic-resolution +clipboard

/from-stdin demande le mot de passe au lieu de le laisser dans l'historique du shell via /p:. Pour un compte de domaine, écrivez /u:CORP\alice ou /u:[email protected] ; un port non standard s'ajoute à l'argument serveur, /v:203.0.113.10:3390. Autres options utiles :

• /f pour le plein écran (Ctrl+Alt+Entrée le bascule), ou /size:1920x1080 et des pourcentages comme /size:80%.
• /multimon pour couvrir tous les écrans, ou /monitors:0,1 pour n'en choisir que certains.
• /kbd:layout:0x40c pour forcer une disposition de clavier (français) ; /list:kbd affiche les codes.

3. Rediriger le presse-papiers, un dossier, l'audio et les imprimantes

xfreerdp3 /v:203.0.113.10 /u:Administrator /from-stdin \
  +clipboard \
  /drive:share,$HOME/rdp-share \
  /sound /microphone \
  /printer

/drive:name,path expose un répertoire local à la session ; il apparaît dans l'Explorateur Windows comme share sur <votre-nom-d-hote> sous Ce PC. +home-drive partage tout votre répertoire personnel, +drives tous les systèmes de fichiers montés (généralement plus large que souhaité). /sound joue l'audio Windows via votre sous-système audio par défaut (PulseAudio, ou la couche de compatibilité de PipeWire) ; /audio-mode:1 laisse l'audio sur le serveur.

4. Résolution et mise à l'échelle HiDPI

+dynamic-resolution fait changer à Windows la taille de son propre bureau quand vous redimensionnez la fenêtre, si bien que le texte reste net. /smart-sizing garde le bureau distant fixe et met l'image à l'échelle côté Linux, ce qui est flou à tout autre facteur que 100 %. Sur une dalle 4K, utilisez /scale:180 (valeurs acceptées : 100, 140, 180) pour que Windows affiche son interface à 180 %, ou /scale-desktop:200 pour un réglage plus fin. Côté bande passante, /gfx:AVC444 sélectionne la chaîne H.264 sur les hôtes compatibles et -wallpaper -themes /bpp:16 est la combinaison à faible débit.

Les avertissements de certificat, expliqués

À la première connexion à un hôte, xfreerdp affiche le sujet, l'émetteur et l'empreinte SHA-256 du certificat, puis : The above X.509 certificate could not be verified, possibly because you do not have the CA certificate in your certificate store, or the certificate has expired. Do you trust the above certificate? (Y/T/N). Y enregistre l'empreinte définitivement, T la fait confiance pour cette session seulement, N annule (Remmina pose la même question dans une boîte de dialogue Accepter le certificat ?). Cet avertissement est attendu : Windows génère un certificat auto-signé pour le service Bureau à distance, émis au nom de la machine elle-même, et aucune autorité de certification ne le cautionne. La session reste chiffrée ; le client ne peut simplement pas prouver qui se trouve en face. Pour vérifier, comparez-le avec le certificat listé sous Bureau à distance, Certificats dans certlm.msc sur la machine Windows. Les empreintes acceptées vivent dans un fichier par hôte sous ~/.config/freerdp/server/ (FreeRDP 2 utilisait ~/.config/freerdp/known_hosts2).

L'avertissement à prendre au sérieux est !!!Certificate for host:port has changed!!!. Il se déclenche quand l'empreinte stockée ne correspond plus : légitime après une réinstallation de Windows, un changement de nom d'hôte ou un renouvellement de certificat, mais c'est aussi exactement l'allure d'une attaque de l'homme du milieu. Confirmez le changement côté Windows, puis supprimez l'entrée de l'hôte du magasin FreeRDP et reconnectez-vous. Pour l'automatisation, /cert:tofu accepte à la première utilisation puis épingle l'empreinte ; /cert:fingerprint:sha256:<hex> épingle explicitement un certificat connu. /cert:ignore et l'option Ignorer le certificat de Remmina désactivent totalement le contrôle : à réserver au laboratoire.

Erreurs courantes : connexion refusée, délais d'attente, NLA et CredSSP

Connexion refusée : xfreerdp signale ERRCONNECT_CONNECT_FAILED [0x00020006]. L'hôte a répondu, mais rien n'a accepté la connexion sur ce port : le Bureau à distance est désactivé, le service est arrêté, ou le port est faux. Sur Windows, Get-Service TermService doit indiquer Running et netstat -ano | findstr :3389 doit afficher une ligne LISTENING. Si la connexion reste bloquée à la place, des paquets sont jetés par un pare-feu, une règle NAT ou une route VPN ; ce guide pour corriger les délais d'attente du Bureau à distance parcourt cette couche pas à pas.

Échecs NLA et CredSSP : les Windows modernes exigent l'authentification au niveau du réseau, et les identifiants sont vérifiés via CredSSP avant qu'aucun bureau ne soit dessiné. Le symptôme habituel est ERRCONNECT_LOGON_FAILURE [0x00020014], et dans la plupart des cas il s'agit d'un problème d'identifiants que Windows refuse délibérément d'expliquer : une faute de frappe, un compte local écrit avec un préfixe de domaine, un compte de domaine sans préfixe, ou un mot de passe vide, que NLA rejette. Une cause moins évidente est un mot de passe expiré ou à changer, que CredSSP ne sait pas gérer parce que la boîte de dialogue de changement se trouve dans l'interface que vous n'avez pas encore atteinte. Forcer /sec:tls contourne NLA et vous amène à l'écran d'ouverture de session Windows, si la stratégie de l'hôte l'autorise. Avec rdesktop, la même situation s'affiche comme CredSSP required by server ; passez à FreeRDP, puisque rdesktop ne parle CredSSP qu'avec Kerberos.

Sécurité : d'abord un VPN ou un tunnel (changer de port n'est pas une sécurité)

La façon dont le port 3389 devient joignable compte plus que n'importe quelle option du client. Un port RDP ouvert sur Internet récolte du trafic de devinette de mots de passe en quelques heures, ne laissant que NLA et un mot de passe solide comme défense. Déplacer le service sur un autre port ne change que le calendrier : les scanners énumèrent les 65 535 ports et la négociation RDP s'identifie d'elle-même, quel que soit le numéro. Ce guide du port RDP 3389 explique ce qui écoute là et pourquoi.

Ce qui réduit réellement l'exposition : un VPN WireGuard ou autre, pour que 3389 ne soit joignable que depuis des adresses privées ; une règle de pare-feu Windows limitée à votre propre IP source sur un VPS ; ou un tunnel SSH via la fonctionnalité OpenSSH Server de Windows, afin que le port RDP n'ait jamais besoin d'être ouvert :

ssh -N -L 13389:localhost:3389 [email protected]
# in a second terminal
xfreerdp3 /v:localhost:13389 /u:Administrator /from-stdin +dynamic-resolution +clipboard

Quelle que soit la voie retenue, gardez NLA activé et appliquez le verrouillage de compte.

Tout ceci suppose une machine Windows qui mérite qu'on s'y connecte. Si l'objectif est simplement d'avoir Windows à disposition depuis votre bureau Linux (pour un logiciel sans version Linux, ou une session qui doit rester active pendant que votre portable dort), un PC domestique qui redémarre pour des mises à jour derrière un routeur que vous ne pouvez pas configurer est une cible médiocre. Un serveur RDP Windows hébergé avec accès administrateur complet est l'option la plus simple : rdp.monster en met un à disposition environ 10 secondes après la confirmation du paiement, avec CPU et RAM dédiés, une bande passante illimitée (fair-use), sans KYC, crypto acceptée, à partir de $8.99/mois. Pour Remmina ou xfreerdp, ce n'est qu'un hôte Windows de plus.

Foire aux questions

Linux dispose-t-il d'un client de bureau à distance intégré pour Windows ?

Aucune distribution ne fournit de client Microsoft ; Remmina, GNOME Connections et KRDC s'appuient tous sur la bibliothèque open source FreeRDP.

Pas de Microsoft : Windows App n'existe pas pour Linux. Ce que proposent la plupart des distributions, c'est FreeRDP, une implémentation RDP open source, plus des interfaces graphiques bâties dessus. GNOME fournit Connections, KDE fournit KRDC, et Remmina est le choix inter-bureaux, avec des profils enregistrés et le plus d'options. Tous parlent le même protocole que le client Microsoft, y compris NLA et les codecs GFX modernes, si bien qu'un hôte Windows ne voit aucune différence. Installez avec apt install remmina remmina-plugin-rdp ou l'équivalent de votre distribution.

Puis-je prendre la main sur Windows 11 Famille depuis Linux ?

Non. Les éditions Famille ne peuvent pas accepter de sessions RDP entrantes, quel que soit le client.

Non. Windows 11 Famille n'inclut pas le composant hôte du Bureau à distance : ni Remmina ni xfreerdp ne peuvent s'y connecter, et l'option Bureau à distance est tout simplement absente des Paramètres. Vos possibilités : passer ce PC en Windows 11 Pro, utiliser un outil de partage d'écran tiers qui ne repose pas sur RDP, ou vous connecter à une machine Windows hébergée comme un VPS Windows, qui tourne sous une édition Server ou Pro avec RDP activé dès le départ et accepte les clients Linux sans configuration supplémentaire.

Comment copier des fichiers entre Linux et Windows via RDP ?

Redirigez un dossier (/drive avec xfreerdp ou Partager un dossier dans Remmina) et il apparaît comme un lecteur dans la session Windows.

Utilisez la redirection de lecteur plutôt que le presse-papiers. Avec xfreerdp, ajoutez /drive:share,/home/you/folder et le répertoire apparaît dans l'Explorateur Windows sous Ce PC comme lecteur redirigé ; dans Remmina, réglez Partager un dossier dans l'onglet Basique du profil. La copie fonctionne alors dans les deux sens par simple glisser-déposer, et les gros fichiers passent beaucoup plus sûrement ainsi qu'en les collant via le presse-papiers. Si le lecteur n'apparaît jamais, une stratégie de groupe côté Windows bloque peut-être la redirection de lecteurs.

Pourquoi ma session RDP depuis Linux est-elle lente, et comment l'accélérer ?

La latence aller-retour et le choix du codec dominent : GFX/H.264 sur un bon lien, couleur 16 bits sans fond d'écran sur un mauvais.

RDP est plus sensible à la latence qu'à la bande passante brute : un hôte lointain paraîtra toujours moins réactif qu'un hôte proche. Dans cette limite, le codec compte le plus : sur un lien rapide, /gfx:AVC444 (ou la profondeur de couleur GFX AVC444 dans Remmina) donne la meilleure image sur Windows 10, 11 et Server 2016 ou plus récent. Sur un lien lent ou avec pertes, descendez à /bpp:16, ajoutez -wallpaper -themes, et laissez /network:auto ajuster le reste. Une connexion filaire côté client supprime la source de saccades la plus courante.