Quando il PC dell’ufficio è dall’altra parte della città o il server aziendale non è raggiungibile dalla rete locale, una connessione RDP permette di lavorare da remoto come se si fosse davanti allo schermo. In questa guida spiego quali requisiti servono, come configurare il collegamento passo dopo passo, perché l’accesso diretto da Internet è rischioso e quali controlli fare quando la sessione non si apre.
Una connessione RDP efficace dipende da configurazione, rete e sicurezza
- Edizione Windows: il computer remoto deve usare Windows Pro, Enterprise, Education o Windows Server.
- Accesso: servono nome host o indirizzo IP, un account autorizzato e una rete funzionante.
- Protezione: attiva sempre la Network Level Authentication e preferisci una VPN all’esposizione pubblica.
- Porta standard: RDP utilizza normalmente la porta TCP 3389, che non dovrebbe essere aperta indiscriminatamente su Internet.
- Diagnosi: firewall, DNS, sospensione del PC e autorizzazioni sono le cause più frequenti dei problemi.
Cosa serve prima di stabilire il collegamento remoto
RDP, acronimo di Remote Desktop Protocol, consente di controllare a distanza un computer Windows e utilizzare applicazioni, file e risorse disponibili su quel dispositivo. La distinzione più importante riguarda il ruolo del computer: il dispositivo da cui si parte è il client, mentre quello che riceve la sessione è l’host remoto.
Non tutte le edizioni di Windows possono funzionare da host. Windows Home può collegarsi ad altri computer, ma non accettare normalmente connessioni desktop in ingresso. Per ricevere accessi remoti servono in genere Windows Pro, Enterprise, Education oppure una versione di Windows Server.
I requisiti essenziali
- Il computer remoto deve essere acceso e non completamente isolato dalla rete.
- Remote Desktop deve essere abilitato nelle impostazioni di Windows.
- L’utente deve appartenere al gruppo Administrators o a Remote Desktop Users.
- Il firewall deve consentire il traffico RDP sulla rete corretta.
- Il client deve raggiungere il computer tramite nome host, indirizzo IP o VPN.
In azienda consiglio di verificare anche la gestione energetica. Un PC in sospensione, spento o riavviato per un aggiornamento non potrà accettare la sessione, anche se la configurazione RDP è perfetta. È un dettaglio banale, ma nella pratica spiega molti interventi di assistenza apparentemente misteriosi.
Come configurare RDP su Windows passo dopo passo
Sul computer remoto apri Impostazioni > Sistema > Desktop remoto e attiva la funzione. Windows mostra il nome del PC, che può essere utilizzato dal client, e permette di scegliere gli utenti autorizzati oltre all’amministratore.
Lascia attiva l’opzione Richiedi ai dispositivi di usare l’autenticazione a livello di rete. La Network Level Authentication, o NLA, richiede la verifica delle credenziali prima di creare la sessione grafica e riduce la superficie esposta a tentativi indesiderati.
Autorizzare l’utente corretto
Se l’utente non è amministratore, aggiungilo nell’elenco degli utenti autorizzati al desktop remoto. Usa un account individuale con una password lunga e unica, evitando account condivisi che rendono difficile capire chi ha effettuato l’accesso.
Controlla anche che l’account non sia disabilitato, scaduto o soggetto a restrizioni di accesso. In un dominio aziendale possono intervenire criteri di gruppo, orari consentiti e autorizzazioni centralizzate, quindi la semplice attivazione dell’interruttore non sempre è sufficiente.
Avviare la sessione dal computer client
- Apri l’applicazione Connessione desktop remoto oppure Windows App.
- Inserisci il nome del computer o il suo indirizzo IP.
- Se necessario, specifica il formato dell’account, ad esempio dominio e nome utente.
- Seleziona Connetti e inserisci le credenziali.
- Conferma il certificato solo se riconosci il computer e la configurazione prevista.
Per una rete locale, il nome host è spesso più pratico dell’indirizzo IP, ma dipende dal DNS interno. Da remoto, invece, il nome risolve correttamente soltanto se il dispositivo è raggiungibile tramite VPN, dominio aziendale o un servizio di accesso appropriato.
Come collegarsi da fuori ufficio senza creare un varco
La porta TCP 3389 è quella usata normalmente da RDP, ma aprirla direttamente sul router verso Internet è una scelta che sconsiglio quasi sempre. Un servizio RDP esposto pubblicamente può essere individuato da scansioni automatiche e sottoposto a tentativi ripetuti di furto delle credenziali.
La soluzione più equilibrata per una piccola e media impresa italiana è una VPN aziendale. Prima si stabilisce il tunnel cifrato verso la rete dell’ufficio, poi si avvia la sessione RDP come se il computer remoto fosse nella LAN. In questo modo la porta non deve essere pubblicata sull’indirizzo Internet.
VPN, RD Gateway e accesso diretto
| Metodo | Quando usarlo | Limite principale |
|---|---|---|
| VPN | Accesso frequente a più risorse aziendali | Richiede configurazione e gestione degli account VPN |
| Remote Desktop Gateway | Accesso RDP centralizzato con policy aziendali | Ha una gestione più complessa rispetto a una VPN semplice |
| Port forwarding diretto | Solo in casi eccezionali e fortemente controllati | Espone il servizio a Internet e aumenta il rischio di attacco |
Se l’organizzazione usa Microsoft Entra ID o un dominio Active Directory, è possibile integrare l’accesso con le identità aziendali. Per gli ambienti con dati sensibili aggiungerei anche MFA sulla VPN o sul gateway, perché una password compromessa da sola non dovrebbe bastare per entrare nella rete.
Cambiare la porta 3389 può ridurre il rumore delle scansioni automatiche, ma non è una vera misura di sicurezza. Un attaccante può scoprire facilmente la nuova porta. Il controllo dell’accesso, il filtraggio degli indirizzi, gli aggiornamenti e l’autenticazione forte fanno una differenza molto maggiore.
Quali impostazioni rendono più sicura la sessione RDP
La sicurezza non dipende da un singolo interruttore. Io partirei da una regola semplice: RDP deve essere accessibile solo a chi ne ha bisogno, dalla rete necessaria e per il tempo necessario.
- Abilita la NLA e mantienila attiva salvo incompatibilità documentate.
- Limita l’accesso tramite firewall a VPN, subnet aziendali o indirizzi autorizzati.
- Installa regolarmente aggiornamenti di Windows, firmware e software di sicurezza.
- Disabilita gli account inutilizzati e rimuovi gli utenti che non devono più collegarsi.
- Evita di usare lo stesso account amministratore per attività quotidiane e accesso remoto.
- Registra accessi, fallimenti di autenticazione e orari delle sessioni.
- Configura il blocco dell’account dopo tentativi ripetuti, secondo le policy aziendali.
- Riduci il reindirizzamento di dischi, appunti e dispositivi locali quando non serve.
Il reindirizzamento degli appunti, per esempio, è comodo per copiare testo, ma può trasferire involontariamente informazioni riservate tra computer. In un ufficio amministrativo o in uno studio professionale preferisco disattivare le funzioni non indispensabili e riattivarle solo per utenti e attività specifiche.
Per server amministrativi valuterei anche strumenti come Remote Credential Guard, quando compatibili con l’infrastruttura. L’obiettivo è ridurre il rischio che le credenziali vengano riutilizzate o esposte se il sistema remoto fosse già compromesso.
Cosa controllare quando il collegamento non funziona
Un messaggio come “Impossibile connettersi al computer remoto” non identifica una sola causa. Conviene procedere dal controllo più semplice a quello più tecnico, senza modificare casualmente firewall e registro di sistema.
Verifica della rete e del nome del computer
Prima prova a raggiungere il computer remoto tramite nome host e poi tramite indirizzo IP. Se l’IP funziona ma il nome no, il problema è probabilmente legato al DNS o alla risoluzione dei nomi. Se non funziona nessuno dei due, controlla VPN, Wi-Fi, routing e disponibilità del dispositivo.
Verifica della porta e del firewall
Da PowerShell puoi testare la porta con Test-NetConnection nome-computer -Port 3389. Un risultato negativo indica che il traffico non arriva al servizio, perché il computer è irraggiungibile, il firewall blocca la richiesta o RDP ascolta su una porta diversa.
Controlla le regole di Windows Defender Firewall e assicurati che siano abilitate per il profilo di rete corretto. Una regola valida solo per reti private, ad esempio, non funzionerà se Windows considera la connessione pubblica.
Leggi anche: Threat hunting in azienda - come scoprire minacce nascoste
Verifica di servizio, autorizzazioni e sessioni
Se la rete risponde ma l’autenticazione fallisce, verifica nome utente, dominio, password e appartenenza al gruppo autorizzato. Errori NLA possono dipendere da client obsoleti, orologio di sistema non sincronizzato o criteri di sicurezza incompatibili.
Infine controlla che il servizio Remote Desktop Services sia attivo e che il computer non abbia raggiunto il limite di sessioni previsto dall’edizione o dalla configurazione del server. Riavviare il servizio può aiutare nella diagnosi, ma su un server di produzione va fatto in una finestra concordata.
La connessione RDP funziona davvero quando resta sotto controllo
Per un uso occasionale in rete locale bastano un host compatibile, un account autorizzato, NLA e un firewall configurato bene. Per il lavoro da remoto in azienda servono invece una VPN o un gateway, autenticazione multifattore, aggiornamenti puntuali e registrazione degli accessi.
La mia verifica finale è sempre questa: chi può collegarsi, da quale rete, con quali privilegi e per quale motivo? Se ogni risposta è documentata, RDP diventa uno strumento pratico per continuità operativa e assistenza IT, non una porta lasciata aperta nella rete aziendale.
