Lỗi Remote Desktop Connection timeout: 8 cách khắc phục thực sự hiệu quả

Trước tiên, khoanh vùng lỗi

Thông báo “Remote Desktop can’t connect to the remote computer” sau một lúc treo lâu là một lỗi timeout: không có gì phản hồi. Từ máy khách, hãy chạy:

Test-NetConnection 203.0.113.10 -Port 3389

TcpTestSucceeded : True nghĩa là đường mạng ổn và vấn đề nằm ở xác thực hoặc chính sách phiên. False nghĩa là có thứ gì đó giữa bạn và máy chủ đang loại bỏ lưu lượng. Hãy lần lượt áp dụng các cách khắc phục dưới đây theo thứ tự.

Cách 1: Xác nhận máy chủ và dịch vụ đang chạy

Trên máy chủ (qua console, VNC hoặc bảng điều khiển của nhà cung cấp):

Get-Service TermService
Restart-Service TermService -Force

Đồng thời xác nhận Remote Desktop đã được bật: System Properties > Remote, hoặc kiểm tra fDenyTSConnections có giá trị 0 trong HKLM:\System\CurrentControlSet\Control\Terminal Server.

Cách 2: Quy tắc Windows Firewall

Nhóm quy tắc “Remote Desktop” tích hợp sẵn phải được bật cho cấu hình mạng (network profile) hiện tại của bạn:

Enable-NetFirewallRule -DisplayGroup "Remote Desktop"

Nếu bạn dùng cổng tùy chỉnh, quy tắc phải khớp với cổng đó. Xem hướng dẫn về cổng RDP 3389 của chúng tôi để có chính xác các lệnh New-NetFirewallRule, và hướng dẫn tường lửa bằng Group Policy cho môi trường domain.

Cách 3: Tường lửa biên của nhà cung cấp

Trên VPS hoặc máy chủ chuyên dụng có hai lớp tường lửa: Windows và tường lửa biên của nhà cung cấp. Nếu quy tắc Windows có vẻ đúng nhưng cổng vẫn timeout khi truy cập từ bên ngoài trong khi netstat cho thấy cổng đang lắng nghe, thì bộ lọc biên chính là thủ phạm: hãy mở cổng trong bảng điều khiển của nhà cung cấp hoặc qua ticket hỗ trợ.

Cách 4: NLA / CredSSP không khớp

Nếu kiểm tra TCP thành công nhưng máy khách báo lỗi trong lúc đăng nhập, thì mức bản vá của hai bên không thống nhất về CredSSP hoặc máy khách không hỗ trợ Network Level Authentication. Hãy cập nhật cả hai máy trước; chỉ khi không còn cách nào khác, và tạm thời thôi, mới nới lỏng NLA trên máy chủ (SystemPropertiesRemote > bỏ chọn “Allow connections only from computers running NLA”).

Cách 5: Chính sách giới hạn thời gian phiên (ngắt kết nối khi nhàn rỗi)

Những phiên kết nối bình thường nhưng bị ngắt sau vài phút không hoạt động là do chính sách kết thúc, không phải do mạng. Trong gpedit.msc:

Computer Configuration > Administrative Templates > Windows Components > Remote Desktop Services > Remote Desktop Session Host > Session Time Limits

• “Set time limit for active but idle Remote Desktop Services sessions” → Never
• “Set time limit for disconnected sessions” → Never (hoặc thời gian lưu giữ bạn chọn)

Sau đó chạy gpupdate /force và kết nối lại.

Cách 6: Keep-alive chống bộ đếm nhàn rỗi của NAT và VPN

Router gia đình và bộ tập trung VPN âm thầm loại bỏ các luồng TCP im lặng quá lâu. Hãy cho máy chủ gửi keep-alive mỗi phút:

Set-ItemProperty "HKLM:\System\CurrentControlSet\Control\Terminal Server" -Name KeepAliveEnable -Value 1
Set-ItemProperty "HKLM:\System\CurrentControlSet\Control\Terminal Server" -Name KeepAliveInterval -Value 1
Restart-Service TermService -Force

Bạn chạy RDP qua VPN ở phía máy chủ? Hướng dẫn dùng VPN trên máy chủ RDP mà không bị ngắt kết nối của chúng tôi giải quyết cái bẫy kinh điển “VPN bật, RDP mất”.

Cách 7: MTU và đường truyền mất gói

Các gói tin lớn không bao giờ đi hết đường truyền khiến kết nối treo ở thanh tiến trình. Kiểm tra bằng ping -f -l 1472 host; nếu bị phân mảnh, hãy hạ MTU của giao diện mạng xuống 1400 trên máy khách, hoặc để giao thức truyền UDP (bật mặc định từ RDP 8.0) hấp thụ phần mất gói.

Cách 8: Đã đạt giới hạn số phiên

Windows bản máy khách chỉ cho phép một phiên tương tác; máy chủ không có giấy phép RDS cho phép hai phiên quản trị. Một lỗi “timeout” ngay sau khi nhập thông tin đăng nhập có thể đơn giản là máy chủ đã đầy phiên: đăng xuất các phiên cũ bằng quser + logoff <id>.

Bảng tra nhanh triệu chứng → nguyên nhân

Câu hỏi thường gặp

Vì sao phiên Remote Desktop của tôi bị ngắt sau một thời gian nhàn rỗi?

Một chính sách giới hạn thời gian phiên đang kết thúc nó. Hãy đặt giới hạn nhàn rỗi và giới hạn phiên đã ngắt thành Never.

Một chính sách giới hạn thời gian phiên đang kết thúc nó. Trong Group Policy, tại Remote Desktop Session Host > Session Time Limits, đặt 'idle session limit' và 'disconnected session limit' thành Never (hoặc một giá trị bạn chấp nhận được), rồi chạy gpupdate /force.

Mã lỗi RDP 0x204 và 0x104 có nghĩa là gì?

Lỗi kết nối: máy khách không bao giờ hoàn tất bắt tay (handshake) với máy chủ.

Cả hai đều là lỗi kết nối do các ứng dụng Remote Desktop hiện đại báo về: máy khách không bao giờ hoàn tất quá trình bắt tay. Hãy kiểm tra máy chủ đang chạy, cổng 3389 (hoặc cổng tùy chỉnh của bạn) truy cập được, và không có quy tắc tường lửa hay NAT nào đang loại bỏ lưu lượng.

Timeout có luôn là do tường lửa không?

Thường là vậy, nhưng không phải luôn luôn: timeout nghĩa là gói tin bị loại bỏ, còn bị từ chối nghĩa là không có dịch vụ lắng nghe.

Không, nhưng đó là nguyên nhân phổ biến nhất: timeout nghĩa là gói tin bị loại bỏ âm thầm, đúng kiểu hành vi của tường lửa, còn lỗi 'connection refused' ngay lập tức nghĩa là cổng có phản hồi nhưng không có gì lắng nghe. Lỗi DNS và lỗi thông tin đăng nhập lại là những loại lỗi khác.

Làm sao giữ phiên RDP không bị ngắt khi đi qua router NAT khắt khe?

Bật KeepAliveEnable và KeepAliveInterval trên máy chủ để các phiên im lặng vẫn sống sót qua NAT.

Bật keep-alive trên máy chủ: đặt KeepAliveEnable thành 1 và KeepAliveInterval thành 1 (phút) trong khóa registry Terminal Server, hoặc dùng Group Policy tương đương tại Remote Desktop Session Host > Connections.

Nếu bạn đang vật lộn với kết nối mạng gia đình chập chờn hoặc một máy chủ bị bán vượt tài nguyên, cách sửa gọn nhất nằm ở phía nguồn: một Windows RDP với CPU và RAM chuyên dụng trên đường truyền trung tâm dữ liệu vốn dĩ không làm rớt phiên, và được giao trong khoảng 10 giây.