Acesso remoto Linux para Windows: Remmina, xfreerdp e correções

Qual cliente de área de trabalho remota usar no Linux?

A Microsoft não distribui cliente RDP para Linux: o Windows App cobre Windows, macOS, iOS, Android e o navegador, não o desktop Linux. O que o Linux tem é o FreeRDP, uma implementação open-source do protocolo, e algumas interfaces construídas sobre ele: Remmina (GTK, perfis salvos), GNOME Connections e o KRDC do KDE (menos ajustes), e o xfreerdp, o próprio cliente de linha de comando do FreeRDP, com todas as opções expostas.

Use o Remmina para as máquinas às quais você se conecta todos os dias, mas aprenda o xfreerdp de todo modo: quando o Remmina falha, ele falha com um erro do FreeRDP, e a linha de comando é o lugar mais rápido para diagnosticar. Guarde o rdesktop para hosts que não suportam Network Level Authentication, como Windows XP ou Server 2003 sem atualizações.

Prepare primeiro o lado Windows

Antes de mexer no Remmina ou no xfreerdp, ative a Área de Trabalho Remota na máquina Windows 11 e verifique três coisas de uma vez:

• Edição: apenas Windows Pro, Enterprise e Server aceitam sessões RDP entrantes; o Home não pode hospedar uma, qualquer que seja o cliente.
• Conta: o usuário precisa de uma senha real (um PIN do Windows Hello não funciona por RDP) e deve ser administrador ou pertencer ao grupo Remote Desktop Users.
• Endereço: anote o IP com ipconfig: um endereço privado numa LAN, o IP público de um VPS Windows, ou uma VPN até a rede se o PC doméstico for acessado pela internet.

No Linux, confirme que algo está escutando antes de culpar o cliente:

nc -vz 203.0.113.10 3389

Um resultado succeeded significa que a porta está acessível; uma recusa ou um travamento é tratado na seção de erros.

Remmina: o caminho gráfico

1. Instale o Remmina e seu plugin RDP

O suporte a RDP é um plugin separado na maioria das distribuições; o plugin secret guarda as senhas no chaveiro do desktop:

# Debian / Ubuntu
sudo apt install remmina remmina-plugin-rdp remmina-plugin-secret

# Fedora
sudo dnf install remmina remmina-plugins-rdp remmina-plugins-secret

# Arch Linux
sudo pacman -S remmina freerdp

# Any distribution (Flatpak)
flatpak install flathub org.remmina.Remmina

2. Crie o perfil de conexão

Clique em + para criar um perfil e defina Protocol como RDP - Remote Desktop Protocol. Em Server, informe o IP ou o hostname, acrescentando uma porta não padrão após dois-pontos, como em 203.0.113.10:3390. Preencha Username e Password; deixe Domain vazio para uma conta local do Windows. Salve e dê duplo clique para conectar; a seção sobre certificados adiante explica o aviso que aparece primeiro.

3. Resolução, escala e qualidade

Na aba Basic, Resolution oferece Use initial window size, Use client resolution (ideal para tela cheia) e tamanhos fixos; o botão de resolução dinâmica na barra de ferramentas permite então que o Windows reorganize a área de trabalho quando você redimensiona a janela. Colour depth vem como Automatic (32 bpp); GFX AVC444 (32 bpp) é o mais nítido no Windows atual, enquanto High colour (16 bpp) com Quality em Poor (fastest) serve para um link lento. Em tela HiDPI, Remote scale factor na aba Advanced faz o Windows desenhar sua interface maior em vez de esticar pixels do seu lado.

4. Redirecionamento de área de transferência, pastas e áudio

A sincronização da área de transferência vem ativada (a aba Advanced tem a chave Turn off clipboard sync). Share folder na aba Basic redireciona um diretório local para a sessão, onde ele aparece no Windows Explorer em This PC. Defina Sound como Local para ouvir o Windows nas caixas de som do Linux e ative Redirect local microphone para o sentido inverso.

xfreerdp (FreeRDP 3): o caminho da linha de comando

1. Instale o FreeRDP 3

# Debian 12+ / Ubuntu 24.04+ (binary: xfreerdp3)
sudo apt install freerdp3-x11

# Fedora (binary: xfreerdp, version 3.x)
sudo dnf install freerdp

# Arch Linux (binary: xfreerdp)
sudo pacman -S freerdp

Debian e Ubuntu nomeiam o binário do FreeRDP 3 como xfreerdp3 para que ele conviva com freerdp2-x11 (o xfreerdp simples). Verifique com xfreerdp3 /version e ajuste os comandos abaixo. No Wayland, o xfreerdp roda via XWayland; freerdp3-sdl traz o cliente SDL nativo mais recente do FreeRDP.

2. Conecte-se

xfreerdp3 /v:203.0.113.10 /u:Administrator /from-stdin +dynamic-resolution +clipboard

/from-stdin pede a senha em vez de deixá-la no histórico do shell via /p:. Para uma conta de domínio, escreva /u:CORP\alice ou /u:[email protected]; uma porta diferente da padrão vai no argumento do servidor, /v:203.0.113.10:3390. Outras opções úteis:

• /f para tela cheia (Ctrl+Alt+Enter alterna), ou /size:1920x1080 e percentuais como /size:80%.
• /multimon para usar todos os monitores, ou /monitors:0,1 para escolher alguns.
• /kbd:layout:0x40c para forçar um layout de teclado (francês); /list:kbd mostra os códigos.

3. Redirecione a área de transferência, uma pasta, o áudio e as impressoras

xfreerdp3 /v:203.0.113.10 /u:Administrator /from-stdin \
  +clipboard \
  /drive:share,$HOME/rdp-share \
  /sound /microphone \
  /printer

/drive:name,path expõe um diretório local à sessão; ele aparece no Windows Explorer como share on <your-hostname> em This PC. +home-drive compartilha todo o seu diretório pessoal e +drives todos os sistemas de arquivos montados, geralmente mais do que você quer. /sound reproduz o áudio do Windows pelo seu subsistema de áudio padrão (PulseAudio ou a camada de compatibilidade do PipeWire); /audio-mode:1 deixa o áudio no servidor.

4. Resolução e escala HiDPI

+dynamic-resolution faz o Windows mudar o tamanho da própria área de trabalho quando você redimensiona a janela, mantendo o texto nítido. /smart-sizing mantém a área de trabalho remota fixa e escala a imagem do lado Linux, o que fica embaçado em qualquer valor diferente de 100%. Num painel 4K, use /scale:180 (valores aceitos: 100, 140, 180) para o Windows desenhar sua interface a 180%, ou /scale-desktop:200 para um controle mais fino. Para economizar banda, /gfx:AVC444 seleciona o pipeline H.264 em hosts compatíveis e -wallpaper -themes /bpp:16 é a combinação de baixa banda.

Avisos de certificado, explicados

Na primeira conexão a um host, o xfreerdp mostra o subject, o emissor e a impressão digital SHA-256 do certificado e então: The above X.509 certificate could not be verified, possibly because you do not have the CA certificate in your certificate store, or the certificate has expired. Do you trust the above certificate? (Y/T/N). Y grava a impressão digital em definitivo, T confia apenas nesta sessão, N cancela (o Remmina pergunta o mesmo numa caixa Accept certificate?). O aviso é esperado: o Windows gera um certificado autoassinado para o serviço de Área de Trabalho Remota, emitido para o próprio nome da máquina, e nenhuma autoridade certificadora responde por ele. A sessão continua criptografada; o cliente apenas não consegue provar quem está do outro lado. Para verificar, compare com o certificado em Remote Desktop, Certificates no certlm.msc da máquina Windows. As impressões digitais aceitas ficam em um arquivo por host em ~/.config/freerdp/server/ (o FreeRDP 2 usava ~/.config/freerdp/known_hosts2).

O aviso que merece atenção é !!!Certificate for host:port has changed!!!. Ele aparece quando a impressão digital guardada não bate mais: legítimo após uma reinstalação do Windows, uma mudança de hostname ou a renovação do certificado, mas também exatamente o que um ataque man-in-the-middle parece. Confirme a mudança no lado Windows, apague a entrada daquele host no repositório do FreeRDP e reconecte. Para automação, /cert:tofu aceita no primeiro uso e fixa depois; /cert:fingerprint:sha256:<hex> fixa explicitamente um certificado conhecido. /cert:ignore e o Ignore certificate do Remmina desativam a verificação por completo (apenas para laboratório).

Erros comuns: conexão recusada, timeouts, NLA e CredSSP

Conexão recusada: o xfreerdp informa ERRCONNECT_CONNECT_FAILED [0x00020006]. O host respondeu, mas nada aceitou a conexão naquela porta: a Área de Trabalho Remota está desativada, o serviço está parado ou a porta está errada. No Windows, Get-Service TermService deve indicar Running e netstat -ano | findstr :3389 deve mostrar uma linha LISTENING. Se a conexão simplesmente travar, os pacotes estão sendo descartados por um firewall, uma regra de NAT ou uma rota de VPN; este guia para corrigir timeouts de conexão da Área de Trabalho Remota percorre cada camada.

Falhas de NLA e CredSSP: o Windows moderno exige Network Level Authentication, e as credenciais são verificadas via CredSSP antes de qualquer área de trabalho ser desenhada. O sintoma habitual é ERRCONNECT_LOGON_FAILURE [0x00020014] e, na maioria dos casos, trata-se de um problema de credencial que o Windows deliberadamente não explica: um erro de digitação, uma conta local escrita com prefixo de domínio, uma conta de domínio sem prefixo, ou uma senha vazia, que o NLA rejeita. Uma causa menos óbvia é uma senha expirada ou que precisa ser trocada, algo que o CredSSP não resolve porque a caixa de troca vive na interface que você ainda não alcançou. Forçar /sec:tls ignora o NLA e leva você à tela de logon do Windows, se a política do host permitir. Com o rdesktop, a mesma situação aparece como CredSSP required by server; troque para o FreeRDP, já que o rdesktop só fala CredSSP com Kerberos.

Segurança: primeiro uma VPN ou um túnel, porque trocar a porta não é segurança

De onde vem o acesso à porta 3389 importa mais do que qualquer opção do cliente. Uma porta RDP aberta à internet começa a receber tentativas de adivinhação de senha em poucas horas, deixando o NLA e uma senha forte como única defesa. Mudar o serviço para outra porta altera apenas o prazo: os scanners varrem todas as 65.535 portas e o handshake RDP se identifica independentemente do número. Este guia sobre a porta RDP 3389 explica o que escuta ali e por quê.

O que realmente reduz a exposição: uma VPN WireGuard ou equivalente, para que a 3389 só seja acessível a partir de endereços privados; uma regra do Windows Firewall limitada ao seu próprio IP de origem num VPS; ou um túnel SSH pelo recurso OpenSSH Server do Windows, de modo que a porta RDP nunca precise ficar aberta:

ssh -N -L 13389:localhost:3389 [email protected]
# in a second terminal
xfreerdp3 /v:localhost:13389 /u:Administrator /from-stdin +dynamic-resolution +clipboard

Qualquer que seja o caminho escolhido, mantenha o NLA ativado e aplique bloqueio de conta.

Tudo isso pressupõe uma máquina Windows que valha a conexão. Se o objetivo é apenas ter o Windows disponível a partir do seu desktop Linux (para um software sem versão Linux, ou uma sessão que precisa continuar ativa enquanto o notebook dorme), um PC doméstico que reinicia para atualizações atrás de um roteador que você não pode configurar é um alvo ruim. Um servidor RDP Windows com acesso admin completo hospedado é a opção mais simples: a rdp.monster entrega um cerca de 10 segundos após a confirmação do pagamento, com CPU e RAM dedicados, banda ilimitada (fair-use), sem KYC, aceitando cripto, a partir de $8.99/mês. Para o Remmina ou o xfreerdp, é apenas mais um host Windows.

Perguntas frequentes

O Linux tem um cliente de área de trabalho remota nativo para Windows?

Nenhuma distribuição traz um cliente da Microsoft; Remmina, GNOME Connections e KRDC são todos interfaces para a biblioteca open-source FreeRDP.

Não da Microsoft: o Windows App não está disponível para Linux. O que a maioria das distribuições oferece é o FreeRDP, uma implementação open-source do RDP, além de interfaces gráficas construídas sobre ele. O GNOME traz o Connections, o KDE traz o KRDC, e o Remmina é a escolha independente de desktop, com perfis salvos e mais opções. Todos falam o mesmo protocolo que o cliente da Microsoft, incluindo NLA e os codecs GFX modernos, então o host Windows não percebe diferença. Instale com apt install remmina remmina-plugin-rdp ou o equivalente da sua distribuição.

É possível acessar o Windows 11 Home remotamente a partir do Linux?

Não. As edições Home não aceitam sessões RDP entrantes, qualquer que seja o cliente.

Não. O Windows 11 Home não inclui o componente de host da Área de Trabalho Remota, portanto nem o Remmina nem o xfreerdp conseguem se conectar a ele, e a opção de Área de Trabalho Remota simplesmente não existe nas Configurações. As alternativas são atualizar esse PC para o Windows 11 Pro, usar uma ferramenta de compartilhamento de tela de terceiros que não dependa de RDP, ou conectar-se a uma máquina Windows hospedada, como um VPS Windows, que roda uma edição Server ou Pro com RDP ativado desde o início e aceita clientes Linux sem configuração extra.

Como copiar arquivos entre Linux e Windows pelo RDP?

Redirecione uma pasta (/drive no xfreerdp ou Share folder no Remmina) e ela aparece como uma unidade dentro da sessão Windows.

Use o redirecionamento de unidades em vez da área de transferência. Com o xfreerdp, adicione /drive:share,/home/you/folder e o diretório aparece no Windows Explorer em This PC como uma unidade redirecionada; no Remmina, defina Share folder na aba Basic do perfil. A cópia então funciona nos dois sentidos com o arrastar e soltar normal do Explorer, e arquivos grandes são bem mais confiáveis assim do que colados pela área de transferência. Se a unidade nunca aparecer, uma Group Policy no lado Windows pode estar bloqueando o redirecionamento de unidades.

Por que minha sessão RDP a partir do Linux está lenta e como acelerá-la?

A latência de ida e volta e a escolha do codec dominam; use GFX/H.264 num link bom e cor de 16 bits sem papel de parede num link ruim.

O RDP é mais sensível à latência do que à banda bruta, então um host distante sempre parecerá mais lento que um próximo. Dentro desse limite, o codec é o que mais pesa: num link rápido, /gfx:AVC444 (ou a profundidade de cor GFX AVC444 no Remmina) dá a melhor imagem no Windows 10, 11 e Server 2016 ou posterior. Num link lento ou com perdas, caia para /bpp:16, adicione -wallpaper -themes e deixe /network:auto ajustar o resto. Uma conexão cabeada do lado do cliente elimina a causa mais comum de travadinhas.