Windows Sunucuya Uzak Masaüstü ile Bağlanamıyorum: Çözüm Listesi

Ekranda mavi bir pencere var: "Uzak Masaüstü uzak bilgisayara bağlanamıyor." Altında üç madde halinde, hiçbirini doğrulayamadığınız genel öneriler. Sunucu dün akşam çalışıyordu, siz bu sabah bir güncelleme yaptınız ya da hiçbir şey yapmadınız. Elinizde tek bir Windows VDS var; yanında bağlanıp bakabileceğiniz ikinci bir makine yok, bir sistem yöneticisi ekibi hiç yok.

Bu tabloda en pahalı hata, doğrudan çözüm denemeye başlamaktır. RDP bağlantısı en az beş ayrı katmanda kopabilir: paket sunucuya hiç ulaşmıyor olabilir, ulaşıp güvenlik duvarında düşüyor olabilir, servise ulaşıp kimlik doğrulamada reddediliyor olabilir, kimlik doğrulamayı geçip oturum sınırına takılıyor olabilir ya da her şey doğruyken lisans süresi dolmuş olabilir. Bu katmanlar birbirine benzeyen hata mesajları üretir; "bağlanamıyorum" cümlesi hepsini birden karşılar.

Aşağıda bu katmanları en dıştan en içe doğru tek tek eleyeceğiz. Her adımda hem sorunun ne olduğunu doğrulayacak bir test hem de düzeltme komutu var. Ve kritik nokta şu: sunucuya RDP ile giremediğinize göre, düzeltmeleri sunucunun kendi içinden yapmanız gerekiyor. Bunun tek yolu hosting panelinizdeki VNC/konsol erişimidir — o yüzden her bölümde "konsoldan nasıl yapılır" karşılığı da verilmiştir.

Hangi Katmanda Takıldığınızı 60 Saniyede Bulun#

Herhangi bir ayarı değiştirmeden önce, hatanın tipini belirleyin. Windows'un RDP istemcisi (mstsc.exe) size bunu zaten söylüyor, sadece farklı kelimelerle:

Ayrım şu şekilde nettir: zaman aşımı paketin hedefe hiç varmadığını, reddedildi paketin vardığını ama kapıyı açan olmadığını, kimlik doğrulama hatası ise kapının açıldığını ama sizi içeri almadığını anlatır. Bu üç cümleyi ayırt etmek, kalan işin yarısıdır.

3389 Portu Dışarıdan Gerçekten Açık mı?#

İlk testi kendi bilgisayarınızdan yapın; sunucuya girmenize gerek yok. Windows'ta PowerShell açın:

Test-NetConnection -ComputerName 203.0.113.10 -Port 3389 -InformationLevel Detailed

Çıktıdaki iki satır önemlidir: PingSucceeded ve TcpTestSucceeded. Bunların anlamı ayrı ayrıdır ve çoğu kişi bunları karıştırır:

• PingSucceeded: False, TcpTestSucceeded: True — sorun yok. Birçok sağlayıcı ICMP'yi kapatır; ping'in cevapsız kalması sunucunun kapalı olduğu anlamına gelmez.
• PingSucceeded: True, TcpTestSucceeded: False — makine ayakta, ama 3389'a giden trafik bir yerde düşüyor. Yüzde doksan ihtimalle güvenlik duvarı.
• İkisi de False — makine ya kapalı ya da ağı yok. Bu noktada RDP ayarlarıyla uğraşmayın; önce panelden sunucunun gerçekten çalışır durumda olduğunu doğrulayın.

Linux ya da macOS'tan test ediyorsanız aynı işi nc görür:

nc -zv -w 5 203.0.113.10 3389

Farklı bir ağdan da deneyin. Kurumsal ofis ağları, otel Wi-Fi'ları ve bazı mobil operatörler giden 3389 trafiğini kapatır — sunucunuzda hiçbir sorun olmadan "bağlanamıyorum" yaşarsınız. Telefonunuzun mobil verisiyle hotspot açıp tekrar denemek, bu ihtimali beş saniyede eler. Port testinin genel mantığı ve tarama araçları için açık port taraması ve nmap kullanımı yazısına bakabilirsiniz.

Bir de sağlayıcı tarafındaki ağ filtresi vardır. Panelden yönetilen bir güvenlik duvarınız veya IP kısıtınız varsa, sunucunun içinde ne yaparsanız yapın paket zaten oraya ulaşmaz. Sunucu içi ayarlarla uğraşmadan önce bunu kontrol edin.

Sunucudaki Güvenlik Duvarı Kuralı Kapandıysa#

TcpTestSucceeded: False alıyorsanız ve makine ayaktaysa, sıradaki şüpheli Windows Defender Güvenlik Duvarı'dır. Bu bölümdeki komutları panel konsolundan (VNC) çalıştıracaksınız.

Önce kuralın durumuna bakın:

Get-NetFirewallRule -Group "@FirewallAPI.dll,-28752" |
    Select-Object DisplayName, Enabled, Profile, Direction

Kural grubunu adıyla değil kaynak kimliğiyle sorguladığımıza dikkat edin. Türkçe Windows Server'da grubun görünen adı "Uzak Masaüstü"dür, İngilizce kurulumda "Remote Desktop". Görünen ada göre yazılmış bir komut, dili farklı bir makinede sessizce hiçbir kuralı bulamaz ve siz de "kural yok" sanırsınız. @FirewallAPI.dll,-28752 her iki dilde de aynıdır.

Kapalıysa açın:

Enable-NetFirewallRule -Group "@FirewallAPI.dll,-28752"

Klasik netsh karşılığı da hâlâ çalışır ve dilden bağımsızdır:

netsh advfirewall firewall set rule group="remote desktop" new enable=Yes

Kural açık göründüğü halde bağlantı gelmiyorsa, profil uyuşmazlığına bakın. Windows ağ bağlantısını Etki Alanı / Özel / Genel olarak sınıflandırır ve kural yalnızca belirli profillerde etkin olabilir. Sunucunun aktif profili şu komutla görülür:

Get-NetConnectionProfile

Sunucu ağı "Genel (Public)" olarak tanımlıyorken kural sadece "Özel" profilde açıksa, bağlantı düşer. Kuralı tüm profillere açmak yerine, doğrusu ağ profilini düzeltmektir; ancak acil durumda profil bazlı kural eklemek de bir seçenektir:

New-NetFirewallRule -DisplayName "RDP-3389-Gecici" -Direction Inbound `
    -Protocol TCP -LocalPort 3389 -Action Allow -Profile Any

Bir uyarı: yeni bir kural eklemek, mevcut ve yanlış yapılandırılmış bir engelleme kuralını geçersiz kılmaz. Windows'ta engelleme kuralları izin kurallarını yener. Bir güvenlik yazılımı ya da sertleştirme betiği çalıştırdıysanız, önce engelleyen kuralı arayın:

Get-NetFirewallRule -Action Block -Enabled True |
    Get-NetFirewallPortFilter | Where-Object LocalPort -eq 3389

Sunucuda hangi portların açık kalması gerektiğine dair genel yaklaşım için sunucuda hangi portlar açık olmalı rehberi işinizi görür.

RDP Servisi Çalışıyor mu ve Doğru Portu Dinliyor mu?#

"Bağlantı reddedildi" mesajı, paketin sunucuya ulaştığını ama 3389'da dinleyen kimse olmadığını söyler. İki ihtimal var: servis durmuş ya da RDP başka bir portu dinliyor.

Konsoldan servis durumunu kontrol edin:

Get-Service TermService, SessionEnv, UmRdpService | Format-Table Name, Status, StartType

TermService durmuşsa başlatın ve başlangıç tipini otomatik yapın:

Set-Service TermService -StartupType Automatic
Start-Service TermService

Dinlenen portu kesin olarak görmek için:

Get-NetTCPConnection -State Listen |
    Where-Object OwningProcess -eq (Get-Process termsrv -ErrorAction SilentlyContinue).Id

Daha basit ve her sürümde çalışan yol, kayıt defterindeki değeri okumaktır:

Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" |
    Select-Object PortNumber

Geçmişte güvenlik amacıyla portu değiştirdiyseniz (ki yaygın bir uygulamadır) ve bunu unuttuysanız, mstsc varsayılan 3389'a bağlanmaya çalışır ve reddedilir. Çözüm portu geri almak değil, istemcide belirtmektir: 203.0.113.10:53389. Ayrıca portu değiştirdiğinizde güvenlik duvarında yeni port için kural açmayı unutmayın — RDP'nin yerleşik kuralı yalnızca 3389'u kapsar.

Üçüncü bir ihtimal daha var: uzak masaüstü tamamen devre dışı bırakılmış olabilir. Bunun anahtarı fDenyTSConnections değeridir:

Set-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server" `
    -Name fDenyTSConnections -Value 0
Restart-Service TermService -Force

0 bağlantılara izin verir, 1 reddeder. Bir grup ilkesi ya da sertleştirme aracı bu değeri 1 yapmış olabilir; grup ilkesi uyguluyorsa siz elle 0 yapsanız da bir sonraki yenilemede geri döner. Böyle bir durumda gpresult /h C:\rapor.html çıktısında ilgili ilkeyi bulup kaynağından düzeltmeniz gerekir.

"Bir Kimlik Doğrulama Hatası Oluştu": CredSSP ve NLA#

Bu, tek Windows VDS sahiplerinin en sık takıldığı ve en yanıltıcı hatasıdır. Mesaj genelde şöyle gelir: bir kimlik doğrulama hatası oluştu, istenen işlev desteklenmiyor. Alt satırda "CredSSP encryption oracle remediation" ifadesi geçer.

Sebebi sunucudaki bir arıza değil, sürüm farkıdır. CVE-2018-0886 için yayınlanan yamadan sonra Microsoft, istemci ile sunucu arasındaki CredSSP kimlik doğrulamasını sıkılaştırdı. Sizin masaüstü bilgisayarınız güncel, sunucu ise güncellemeleri almamışsa (uzun süredir kapalı duran ya da güncellemeleri kapatılmış bir VDS'te çok olağan), istemci güvenli olmayan bağlantıyı reddeder. Yani hatayı veren taraf sunucu değil, sizin bilgisayarınızdır.

Doğru çözüm sunucuyu güncellemektir. Ama sunucuya giremiyorsanız yumurta-tavuk problemi yaşarsınız; bu yüzden sıralama şudur:

1. Konsoldan (VNC) girip Windows Update'i çalıştırın ve sunucuyu güncelleyin. Bu kalıcı çözümdür.
2. Konsola erişemiyorsanız, kendi bilgisayarınızda geçici olarak katı kontrolü gevşetip bağlanın, sunucuyu güncelleyin, sonra ayarı geri alın.

İkinci yolun komutu, yönetici olarak açılmış bir komut isteminde:

reg add "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters" /v AllowEncryptionOracle /t REG_DWORD /d 2 /f

Değerin anlamı: 0 en katı, 1 varsayılan (yamalı istemci–yamalı sunucu), 2 yamasız sunucuya izin verir. 2 bırakmak, kimlik bilgilerinizi ortadaki adam saldırısına açık hale getirir. Sunucuyu güncelledikten sonra mutlaka geri alın:

reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters" /v AllowEncryptionOracle /f

Benzer bir mesaj NLA (Ağ Düzeyi Kimlik Doğrulaması) kaynaklı da olabilir. NLA, kullanıcının oturum açmadan önce kimliğini doğrulamasını ister; sunucu bir etki alanı denetleyicisine ulaşamıyorsa ya da saat farkı beş dakikayı aştıysa doğrulama başarısız olur. Konsoldan geçici olarak kapatabilirsiniz:

Set-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" `
    -Name UserAuthentication -Value 0

NLA'yı kapalı bırakmak tavsiye edilmez: NLA kapalıyken, kimliği doğrulanmamış bir istemci bile oturum açma ekranını yükletebilir ve bu, kaba kuvvet denemelerinin maliyetini düşürür. Bağlantıyı kurup asıl sorunu (genelde saat senkronizasyonu ya da DNS) çözdükten sonra değeri 1'e geri alın. Sunucunun saatini düzeltmek çoğu zaman NLA sorununu doğrudan bitirir:

w32tm /resync /force

"Bu Bilgisayara Bağlantı Sayısı Sınırlı": Hayalet Oturumlar#

Windows Server, Uzak Masaüstü Oturum Sunucusu rolü kurulu değilken yalnızca iki eşzamanlı yönetim oturumuna izin verir. Pencerenin sağ üstündeki çarpıya basarak çıkmak oturumu kapatmaz; oturumu açık (disconnected) bırakır. İki kere bunu yaptıysanız üçüncü denemede kapıda kalırsınız.

Konsoldan açık oturumları listeleyin:

query session

Çıktıda Disconnected durumundaki oturumların kimlik numarasını (ID) görürsünüz. Takılı oturumu düşürmek için:

reset session 2

2 yerine kendi oturum kimliğinizi yazın. PowerShell tarafında aynı bilgiyi daha okunaklı almak isterseniz:

quser

Kalıcı çözüm, oturumların sonsuza kadar açık kalmasını engellemektir. Grup İlkesi Düzenleyicisi'nde (gpedit.msc) şu yolu izleyip "Bağlantısı kesilen oturumlar için zaman sınırı belirle" ayarına örneğin 1 saat verin: Bilgisayar Yapılandırması → Yönetim Şablonları → Windows Bileşenleri → Uzak Masaüstü Hizmetleri → Uzak Masaüstü Oturum Ana Bilgisayarı → Oturum Zaman Sınırları.

Bir de acil durum kapısı vardır. Yönetim oturumlarının ikisi de doluysa, konsol oturumuna bağlanmayı deneyebilirsiniz:

mstsc /admin /v:203.0.113.10

Bu bayrak, yönetim amaçlı bir oturum talep eder ve bazı durumlarda dolu görünen bir sunucuya girmenizi sağlar. Kesin çözüm değildir ama takılı bir oturumu düşürecek kadar içeri girmenize yeter.

"Kullanılabilir İstemci Erişim Lisansı Yok": RDS Süresi Doldu#

Sunucunuz aylarca sorunsuz çalıştıysa ve bir gün aniden herkesi dışarıda bıraktıysa, ilk şüpheliniz bu olmalı. Uzak Masaüstü Oturum Sunucusu (RD Session Host) rolünü kurduğunuzda Microsoft, lisans sunucusu olmadan çalışabileceğiniz 120 günlük bir deneme süresi tanır. Bu sürenin sonunda geçerli bir RDS CAL bulunmayan sunucu, oturum açma taleplerini reddetmeye başlar ve klasik "no Remote Desktop client access licenses available" mesajını üretir.

Kalan gün sayısını konsoldan görebilirsiniz:

$s = Get-WmiObject -Namespace "Root/CIMV2/TerminalServices" -Class Win32_TerminalServiceSetting
$s.GetGracePeriodDays()

Dönen DaysLeft değeri 0 ise süre dolmuş demektir.

Burada kritik bir soru var: bu rolü gerçekten kurdunuz mu? Tek başına bir VDS kullanan çoğu kişinin RD Session Host rolüne ihtiyacı yoktur. Rol, aynı sunucuda çok sayıda kullanıcının eşzamanlı çalışması gerektiğinde anlamlıdır. Sadece kendiniz bağlanıyorsanız, Windows'un standart iki yönetim oturumu size zaten yeter ve lisans gerektirmez. Rolün "daha fazla bağlantı açar" düşüncesiyle kurulup unutulması yaygın bir hatadır.

Sizin durumunuz buysa, doğru çözüm rolü kaldırmaktır:

Uninstall-WindowsFeature RDS-RD-Server -Restart

Yeniden başlatmadan sonra sunucu, lisans gerektirmeyen yönetim moduna döner. Gerçekten çok kullanıcılı bir kuruluma ihtiyacınız varsa doğru yol, RDS CAL satın alıp bir lisans sunucusu tanımlamaktır. İnternette dolaşan "GracePeriod kayıt defteri anahtarını sil, süre sıfırlansın" tarifi teknik olarak çalışsa da lisanslama koşullarını ihlal eder ve her seferinde tekrar etmek zorunda kalacağınız bir yamadır; üretim sunucusunda kullanmayın.

Panelden Konsola Girip Kurtarma#

Yukarıdaki düzeltmelerin neredeyse tamamı sunucunun içinden yapılır ve RDP kapalıyken oraya ulaşmanın tek yolu panel üzerinden VNC/konsol erişimidir. Clou.TR panelinde olduğu gibi çoğu sağlayıcı, tarayıcı içinden çalışan bir konsol sunar; bu konsol RDP'den bağımsızdır, ağ katmanını ve güvenlik duvarını atlar, doğrudan sanal makinenin ekranına bağlanır.

Konsola girdikten sonra izleyeceğiniz sıra şudur:

1. Ekranda ne göründüğüne bakın. Oturum açma ekranı geliyorsa işletim sistemi ayaktadır; mavi ekran, "Getting Windows ready" ya da kurtarma ekranı görüyorsanız sorun RDP'de değil, sistemdedir.
2. Oturum açın ve yönetici yetkisiyle PowerShell başlatın.
3. Sırayla kontrol edin: Get-Service TermService → fDenyTSConnections → güvenlik duvarı kuralı → PortNumber → query session.
4. Değişiklikten sonra Restart-Service TermService -Force çalıştırıp dışarıdan tekrar test edin.

Konsol klavye düzeni genellikle İngilizce (US) gelir. Türkçe klavyede yazdığınız güçlü bir parola, konsolda başka karakterler üretebilir ve "parola yanlış" sanabilirsiniz. Parolanızı bir metin editörüne yazıp gördüğünüz karakterleri doğrulayın; gerekirse panelden parola sıfırlama özelliğini kullanın. Sunucuya erişimin tamamen kaybolduğu daha genel senaryolar için sunucuma bağlanamıyorum yazısındaki adımlar da tamamlayıcıdır.

Siyah Ekran, Donma ve Kopan Bağlantılar#

Bağlantı kuruluyor, kimlik doğrulama geçiliyor, sonra siyah bir ekranda kalıyor ya da birkaç saniye içinde kopuyorsanız, sorun artık erişimde değil oturum katmanındadır.

İlk denenecek şey UDP taşımasını kapatmaktır. RDP, hız için TCP'nin yanında UDP de kullanır; ara ağlarda UDP paketleri düştüğünde bağlantı kurulur ama görüntü gelmez. Kendi bilgisayarınızda şu değeri ayarlayın:

reg add "HKLM\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services\Client" /v fClientDisableUDP /t REG_DWORD /d 1 /f

İkinci sık sebep, sunucudaki kalıcı ekran/bitmap önbelleğinin bozulmasıdır. İstemcide %LOCALAPPDATA%\Microsoft\Terminal Server Client\Cache klasörünü boşaltmak bunu temizler.

Üçüncüsü kaynak tükenmesidir: sunucunun RAM'i dolmuşsa oturum açılır ama masaüstü yüklenemez. Konsoldan Görev Yöneticisi'ni açıp bellek ve disk kullanımına bakın; C: sürücüsünde birkaç yüz megabayttan az boş alan kaldıysa Windows profil yükleyemez ve tam olarak bu siyah ekranı verir.

Son olarak olay günlüğü, tahmin yürütmeyi bitirir. Başarısız bağlantı denemeleri şurada kayıtlıdır:

Get-WinEvent -LogName "Microsoft-Windows-TerminalServices-RemoteConnectionManager/Operational" -MaxEvents 30 |
    Format-List TimeCreated, Id, Message

Olay kimliği 1149 başarılı bir ağ bağlantısını (kimlik doğrulama öncesi) gösterir. Bu kayıt varsa ama oturum açılmıyorsa, ağ ve güvenlik duvarı temizdir; sorun kimlik doğrulama ya da lisans katmanındadır. 1149 hiç yoksa, paket sunucuya ulaşmıyor demektir ve baştaki iki bölüme geri dönmeniz gerekir.

Bu arada, 1149 kayıtlarında tanımadığınız IP adreslerini yüzlerce kez görüyorsanız, sunucunuz internete açık 3389 portu üzerinden kaba kuvvet altında demektir. Bağlantı sorununuz çözüldükten sonra RDP'yi yalnızca kendi IP adresinize açmayı ya da bir VPN arkasına almayı planlayın. Windows ve Linux sunucu tercihinin yönetim yükü açısından farkını merak ediyorsanız Windows VDS mi Linux VDS mi karşılaştırması bu konuya ayrı bir açıdan bakıyor.

Sıkça Sorulan Sorular#

Ping atabiliyorum ama RDP bağlanmıyor, sebebi ne olabilir?#

Ping ICMP protokolünü, RDP ise TCP 3389'u kullanır. Makinenin ping'e cevap vermesi yalnızca ağ arayüzünün ayakta olduğunu gösterir; RDP servisi durmuş, güvenlik duvarı kuralı kapanmış ya da port değişmiş olabilir. Doğru test Test-NetConnection -Port 3389 komutudur. Tersi de geçerlidir: birçok sunucuda ICMP kapalıdır ve ping cevapsız kaldığı halde RDP sorunsuz çalışır.

RDP portunu 3389'dan başka bir şeye almak güvenli mi?#

Port değiştirmek otomatik tarama trafiğini ve günlük kirliliğini belirgin biçimde azaltır, ancak hedefli bir saldırıya karşı tek başına koruma sağlamaz; bir port taraması yeni portu kısa sürede bulur. Gerçek koruma, RDP'yi yalnızca bilinen IP adreslerine açmak, güçlü parola ve hesap kilitleme ilkesi uygulamak, mümkünse VPN arkasına almaktır. Port değiştirdiğinizde güvenlik duvarında yeni port için kural açmayı unutmayın.

120 günlük lisans süresi dolduysa sunucuya hiç giremez miyim?#

Uzak Masaüstü Oturum Sunucusu rolü kuruluysa ve süre dolmuşsa RDP oturumları reddedilir, ancak panel üzerinden VNC/konsol erişimi çalışmaya devam eder. Konsoldan girip rolü kaldırırsanız sunucu lisans gerektirmeyen yönetim moduna döner ve iki eşzamanlı oturumla tekrar bağlanabilirsiniz. Çok kullanıcılı bir kuruluma gerçekten ihtiyacınız varsa RDS CAL satın almanız gerekir.

CredSSP hatasında değişikliği sunucuda mı istemcide mi yapmalıyım?#

Hatayı üreten taraf genellikle güncel olan istemcidir, dolayısıyla geçici çözüm istemcide uygulanır. Ancak kalıcı ve doğru çözüm sunucuyu güncellemektir. İstemcideki AllowEncryptionOracle değerini 2 bırakmak, o bilgisayardan kurduğunuz tüm RDP bağlantılarını ortadaki adam saldırısına açık hale getirir; sunucu güncellendikten sonra değeri mutlaka silin.

Konsoldan giriyorum ama parolam kabul edilmiyor, ne yapmalıyım?#

En yaygın sebep klavye düzeni farkıdır: VNC konsolu genellikle İngilizce düzen kullanır, bu yüzden Türkçe klavyede yazdığınız noktalama işaretleri farklı karakter üretir. Parolayı önce bir metin alanına yazıp gördüğünüz karakterleri doğrulayın. Bir diğer ihtimal hesap kilitlenmesidir; çok sayıda başarısız denemeden sonra hesap geçici olarak kilitlenmiş olabilir ve süre dolana kadar doğru parola da kabul edilmez.

Aynı anda kaç kişi RDP ile bağlanabilir?#

Ek bir rol kurulmamış Windows Server'da eşzamanlı iki yönetim oturumu açılabilir. Daha fazlası için Uzak Masaüstü Oturum Sunucusu rolü ve kullanıcı ya da cihaz başına RDS CAL gerekir. Sınıra takılıyorsanız önce açık oturumları query session ile listeleyin: kapatılmadan bırakılmış bağlantısız oturumlar sınırı doldurmuş olabilir ve reset session ile düşürülebilir.