Bật Remote Desktop trên Windows 11: Settings, PowerShell và bản Home

Kiểm tra phiên bản trước: bản Home không thể làm máy chủ RDP

Remote Desktop có hai phía: client là máy bạn dùng để kết nối, và host là máy nhận kết nối. Mọi phiên bản Windows 11 đều có client, nhưng chỉ Pro, Enterprise và Education có dịch vụ host. Windows 11 Home có thể kết nối ra các máy khác thoải mái, nhưng tự nó không nhận được phiên đăng nhập đến. Nếu bạn mới làm quen với giao thức này, hãy bắt đầu với bài RDP thực chất là gì và hoạt động ra sao. Phần còn lại của hướng dẫn này nói về việc bật phía host.

Kiểm tra phiên bản bạn đang chạy bằng PowerShell:

(Get-ItemProperty 'HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion').EditionID

Professional nghĩa là bạn có thể tiếp tục. Core nghĩa là bản Home: hãy chuyển thẳng xuống phần Windows 11 Home bên dưới, vì công tắc bạn sắp tìm không tồn tại trên máy của bạn.

Cách 1: bật trong Settings của Windows 11

Cách dùng giao diện mất chưa đến một phút và tự mở tường lửa cho bạn.

1. Mở trang cài đặt Remote Desktop

Nhấn Win + I và vào System > Remote Desktop.

2. Bật công tắc

Gạt Remote Desktop sang On và bấm Confirm trong hộp thoại. Giữ nguyên yêu cầu Network Level Authentication đã được đánh dấu. Tùy chọn này buộc client phải xác thực trước khi Windows tạo phiên, và trên bất kỳ mạng hiện đại nào cũng không có lý do chính đáng để tắt nó.

3. Ghi lại tên máy và các tài khoản được phép

Cũng trang này hiển thị tên máy (PC name) mà sau này bạn sẽ nhập vào client. Mặc định chỉ thành viên nhóm Administrators được kết nối; bấm Remote Desktop users để cho phép một tài khoản thường thay vì phát thông tin đăng nhập quản trị.

Cách 2: bật RDP bằng PowerShell

Với các cấu hình bằng script, hoặc khi bạn đang ở sẵn trong shell, hai dòng lệnh trong PowerShell chạy với quyền quản trị là đủ:

Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server' -Name 'fDenyTSConnections' -Value 0
Enable-NetFirewallRule -DisplayGroup "Remote Desktop"

Lệnh thứ nhất ghi đúng giá trị registry mà công tắc trong Settings thay đổi: fDenyTSConnections = 0 cho phép phiên đến. Lệnh thứ hai bật các quy tắc tường lửa có sẵn cho RDP. Trên bản Windows không phải tiếng Anh, tên nhóm hiển thị được bản địa hóa nên lệnh thứ hai sẽ lỗi; khi đó hãy nhắm vào các quy tắc theo tên nội bộ cố định của chúng:

Enable-NetFirewallRule -Name "RemoteDesktop-UserMode-In-TCP","RemoteDesktop-UserMode-In-UDP"

Hai bước tiếp theo hợp lý: bắt buộc NLA một cách tường minh, rồi xác nhận dịch vụ đang lắng nghe có phản hồi.

Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name 'UserAuthentication' -Value 1
Test-NetConnection -ComputerName localhost -Port 3389

Nếu kết quả kết thúc bằng TcpTestSucceeded : True, phía host đã hoạt động và đang lắng nghe.

Đảm bảo tường lửa thực sự đã mở

Cả hai cách trên đều tự xử lý Windows Defender Firewall, nhưng trong thực tế vẫn còn hai thứ chặn kết nối:

• Bộ phần mềm bảo mật bên thứ ba. Nếu phần mềm diệt virus thay thế tường lửa của Windows, hãy thêm một quy tắc cho phép kết nối đến TCP và UDP 3389 trong bảng điều khiển của chính phần mềm đó.
• Sai hồ sơ mạng (network profile). Quy tắc tường lửa áp dụng theo từng hồ sơ (Domain, Private, Public). Chạy Get-NetConnectionProfile để xem mạng hiện tại dùng hồ sơ nào, rồi kiểm tra các quy tắc RDP đã được bật cho hồ sơ đó.

Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Select-Object Name, Enabled, Profile

Mặc định RDP lắng nghe trên cổng TCP và UDP 3389. Bạn có thể chuyển sang cổng khác, nhưng hãy đọc hướng dẫn của chúng tôi về cổng RDP 3389 (và việc đổi cổng giúp được gì, không giúp được gì) trước: một cổng không chuẩn giúp nhật ký bớt ồn, nhưng không khiến dịch vụ khó bị xâm nhập hơn.

Kết nối từ thiết bị khác

Trên máy host, lấy hai thông tin định danh mà client có thể nhắm tới:

hostname
ipconfig | findstr IPv4

• Từ Windows: nhấn Win + R và chạy mstsc /v:PC-NAME, hoặc mở ứng dụng Remote Desktop Connection, rồi đăng nhập bằng một tài khoản được phép.
• Từ macOS, iOS hoặc Android: cài Windows App (trước đây là Microsoft Remote Desktop) từ kho ứng dụng của nền tảng và thêm máy theo tên hoặc IP.

Một lưu ý về thông tin đăng nhập, vì điều này khiến nhiều lần kết nối đầu tiên thất bại hơn cả tường lửa: với tài khoản cục bộ, đăng nhập dưới dạng PC-NAME\username (hoặc .\username), còn với tài khoản Microsoft thì dùng đầy đủ địa chỉ email bạn dùng để đăng nhập Windows (và đúng mật khẩu bạn gõ ở màn hình khóa). Nếu tài khoản hoàn toàn không có mật khẩu, RDP mặc định từ chối đăng nhập; hãy đặt mật khẩu trước khi kết nối.

Trong cùng mạng nội bộ, cách này hoạt động ngay. Từ bên ngoài mạng, đừng chiều theo ý muốn chuyển tiếp cổng 3389 trên router. Thay vào đó hãy kết nối vào mạng LAN qua VPN, như trình bày ở phần bảo mật bên dưới.

Có hai kiểu lỗi kinh điển nên biết trước. Máy host đang ngủ sẽ hoàn toàn không phản hồi, vì vậy hãy đặt chế độ ngủ thành Never khi cắm sạc, trong Settings > System > Power & battery. Và nếu client cứ đứng ở màn hình đang kết nối rồi bỏ cuộc, hãy làm theo bài khắc phục lỗi Remote Desktop hết thời gian kết nối. Nguyên nhân gần như luôn là tường lửa, hồ sơ mạng hoặc định tuyến, chứ không phải bản thân RDP.

Windows 11 Home: câu trả lời thật

Không có cách nào được hỗ trợ chính thức để Windows 11 Home nhận kết nối RDP. Chức năng host bị vô hiệu hóa ở cấp giấy phép, nên tự tay đổi fDenyTSConnections cũng chẳng có tác dụng gì, và công tắc trong Settings đơn giản là không có. Các hướng dẫn hứa hẹn điều ngược lại thường chỉ đến RDP Wrapper, một bản vá của bên thứ ba kích hoạt lại dịch vụ host. Nó hỏng bất ngờ sau các bản cập nhật Windows và vi phạm điều khoản giấy phép của Microsoft, nên là nền tảng tồi cho bất cứ thứ gì bạn cần dựa vào.

Những lựa chọn thực tế:

• Nâng cấp lên Pro. Vào Settings > System > Activation > Upgrade your edition of Windows; đây là khoản mua một lần US$99 qua Microsoft Store. Tệp và ứng dụng được giữ nguyên, và bạn có RDP host cùng BitLocker và Group Policy.
• Dùng công cụ điều khiển từ xa khác. Chrome Remote Desktop, AnyDesk hoặc RustDesk có thể điều khiển một máy Home. Chúng ổn cho việc truy cập thỉnh thoảng, nhưng không phải RDP, và máy vẫn phải luôn bật và kết nối mạng ở nhà.
• Thuê một VPS Windows. Nếu điều bạn thực sự muốn là "một máy Windows mà tôi truy cập qua RDP từ bất cứ đâu", một VPS Windows Server được giao với host đã bật sẵn: không giới hạn phiên bản, và máy vẫn trực tuyến khi laptop của bạn tắt.

Siết chặt bảo mật trước khi dựa vào nó

Một RDP host mới bật là một cổng đăng nhập từ xa vào máy của bạn; hãy đối xử với nó đúng như vậy.

• Luôn bật NLA. Network Level Authentication buộc client phải xác thực trước khi Windows khởi tạo phiên, chặn được cả một nhóm tấn công diễn ra trước bước xác thực.
• Kết nối bằng một tài khoản thường dành riêng. Thêm tài khoản đó bằng Add-LocalGroupMember -Group "Remote Desktop Users" -Member "yourname" và giữ tài khoản quản trị ngoài các phiên không cần đến nó.
• Đừng bao giờ mở 3389 trực tiếp ra Internet. Các máy quét toàn Internet phát hiện cổng RDP mới mở và bắt đầu dồn dập thử mật khẩu. Hãy dùng VPN (WireGuard, Tailscale hoặc máy chủ VPN có sẵn trong router) và chỉ cho phép truy cập RDP bên trong VPN đó. Dùng cổng không chuẩn cũng không thay đổi điều này.
• Kiểm tra chính sách khóa tài khoản. Từ Windows 11 22H2 trở đi, mặc định một tài khoản bị khóa 10 phút sau 10 lần đăng nhập thất bại; chạy net accounts để xác nhận chính sách này đang hoạt động trên máy bạn.

Nếu trở ngại thực sự nằm ở chính chiếc máy (không có giấy phép Pro, hoặc không muốn để máy ở nhà luôn thức và truy cập được suốt ngày đêm), bạn có thể bỏ qua toàn bộ việc này: một VPS Windows có RDP đã được cấu hình sẵn mọi thứ trong hướng dẫn này, toàn quyền quản trị (Administrator) trên CPU và RAM riêng, không cần KYC khi thanh toán, và sẵn sàng trong khoảng 10 giây sau khi thanh toán được xác nhận. Đăng nhập bằng thông tin hiển thị trên màn hình là bạn đã ở đúng điểm kết thúc của hướng dẫn này.

Câu hỏi thường gặp

Remote Desktop trên Windows 11 có miễn phí không?

Có, RDP host có sẵn trong bản Pro trở lên, và ứng dụng client miễn phí trên mọi nền tảng.

Không cần mua giấy phép riêng để truy cập từ xa cho mục đích cá nhân. Windows 11 Pro, Enterprise và Education có sẵn Remote Desktop host, còn các client không mất phí: Remote Desktop Connection (mstsc) trên Windows và Windows App trên macOS, iOS và Android. Thứ Microsoft thực sự thu phí là việc nâng cấp lên Pro nếu bạn đang dùng Home, và giấy phép theo người dùng khi nhiều người dùng chung một host Windows Server.

Hai người có thể dùng Remote Desktop trên Windows 11 cùng lúc không?

Không, các phiên bản Windows dành cho máy khách chỉ cho phép một phiên tương tác tại một thời điểm.

Khi bạn kết nối qua RDP, người đang đăng nhập ở màn hình vật lý sẽ bị ngắt (Windows hỏi họ xác nhận), và ngược lại. Đây là giới hạn giấy phép trên mọi phiên bản dành cho máy khách, kể cả Pro. Nếu bạn cần nhiều người làm việc đồng thời trên một máy Windows, đó là việc của Windows Server với Remote Desktop Services và giấy phép theo người dùng, hoặc đơn giản là mỗi người một VPS.

Vì sao công tắc Remote Desktop không có trong Settings của tôi?

Gần như chắc chắn bạn đang dùng Windows 11 Home, bản không có RDP host.

Kiểm tra phiên bản bằng winver: trên bản Home, công tắc host đơn giản là không được cung cấp, và không có chỉnh sửa registry nào làm nó xuất hiện lại. Trên các máy Pro do công ty quản lý, Group Policy cũng có thể ẩn hoặc vô hiệu hóa tùy chọn này, vì vậy hãy hỏi bộ phận IT. Cuối cùng, hãy chắc chắn bạn đang tìm trong Settings > System > Remote Desktop, chứ không phải các tùy chọn Remote Assistance cũ trong Control Panel.

Remote Desktop có hoạt động khi máy đang ngủ hoặc ngủ đông không?

Không, máy host phải đang thức; RDP không tự đánh thức được một máy đang ngủ.

Máy đang ngủ hoặc ngủ đông không phản hồi trên cổng 3389, nên client chỉ báo hết thời gian chờ. Hãy đặt chế độ ngủ thành Never khi cắm sạc (Settings > System > Power & battery) trên mọi máy bạn muốn truy cập từ xa. Wake-on-LAN có thể khắc phục điều này, nhưng cần BIOS và card mạng hỗ trợ cùng cấu hình bổ sung để kích hoạt từ bên ngoài mạng. Phần lớn mọi người giữ máy host luôn thức hoặc dùng một máy chủ luôn hoạt động.