つながらないときはここをチェック

リモートデスクトップのトラブルシューティング

Windowsの「リモートデスクトップ」は遠隔地から自分のコンピュータに接続するための機能だが、セッションの確立がうまくいかないことがある。リモートデスクトップの接続や認証、暗号化に関するトラブルシューティングを紹介しよう。

公開 2008年04月24日 07時30分

更新 2012年09月06日 13時06分

著者

Brien M. Posey

[TechTarget]

印刷する

　Windows XPがリリースされて以来、筆者が最も好んで利用している機能の1つが「リモートデスクトップ」だ。よく知らない読者のために説明しておくと、これはWindowsに組み込まれている機能の1つで、RDP（Remote Desktop Protocol）というプロトコルを使ってリモートから自分のコンピュータに接続することを可能にする。例えば、あなたが自宅にいるときに会社にある自分のコンピュータに保存されたデータを参照する必要が生じた場合、リモートデスクトップセッションを確立すれば、自宅から会社のPCをリモートでコントロールすることができるのだ。リモートデスクトップはWindows Terminal Servicesと同じ技術をベースとしており、使用するプロトコルも同じだ。

　リモートデスクトップはとても便利だが、問題が起きることもある。リモートデスクトップセッションは通常は安定しているが、接続時および認証時にトラブルが発生することがあり、その原因は幾つかある。リモートデスクトップで問題が起きた場合に役立つトラブルシューティングテクニックを以下に示す。

リモートコンピュータが見つからない

　リモートデスクトップで最も多い問題は、恐らくリモートPCが見つからないというトラブルだろう。この問題を引き起こす原因は幾つかある。最も単純な原因は、リモートコンピュータ名のスペルが間違っているというものだ。リモートコンピュータに接続できないときは、まずリモートコンピュータ名のスペルが間違っていないか確認しよう。

　リモートマシン名のスペルが正しければ、次はDNSに関連した問題が考えられる。リモートデスクトップが使用するRDPプロトコルは、TCP/IPプロトコルの上に乗っている。読者もご存じだと思うが、TCP/IPがシステムを特定するメカニズムではWindowsのコンピュータ名を使用しない。コンピュータ名を指定できるのは、DNSサーバがコンピュータ名をIPアドレスに名前解決するからだ。

　名前解決に問題がある場合の対処法は2つある。1つの方法は、リモートシステムのNetBIOS名ではなく完全ドメイン名を使用することだ。これで必ずしもコネクションを確立できるとは限らないが、この方法で問題が解決する場合もある。

　もう1つの対処法は、名前ではなくリモートコンピュータのIPアドレスを指定することだ。一般に、接続にはコンピュータ名よりもIPアドレスを使用した方が、問題が起きることはずっと少ない。しかし、IPアドレスが問題の原因になることもある。

　IPアドレスを使って接続する場合に問題が生じる最大の原因は、動的IPアドレスの使用だ。サーバに接続するのであれば、これが問題になることはないだろう。ほとんどのサーバは固定IPアドレスを使用しているからだ。一方、ほとんどすべての作業用（クライアント）PCは動的IPアドレスを使用している。すなわち、あなたのPCが今日使っているIPアドレスが、明日には別のPCに割り当てられるかもしれないのだ。接続先のマシンが動的IPアドレスを使用しているのであれば、接続の際にマシンのIPアドレスではなくホスト名を指定する以外に実質的には選択肢がない。

　リモートデスクトップを利用してリモートコンピュータに接続する上で、障害となり得るもう1つの要因がファイアウォールだ。RDPは基本的に、TCPポート3389を使用する。ファイアウォールの内側に置かれたリモートマシンに接続するのであれば、ファイアウォールはトラフィックがTCPポート3389を通過するのを許可しなければならない。もちろん、ファイアウォール上でこのポートをむやみに開けるのは、重大なセキュリティリスクを招く恐れがある。それよりもポートフォワーディング機能を有効にして、インバウンドのRDPトラフィックを特定のIPアドレスに転送するという方法をお勧めする。こうすれば、外部の人間が社内ネットワークの任意のマシンにRDP接続を試みることができなくなる。

　多くのネットワークでは、RDPトラフィックに対してポートフォワーディングを使用する以外に選択肢がない。大抵のネットワークでは、ネットワーク内のマシンにはプライベートIPアドレスを使用し、ルータだけがグローバルIPアドレスを使用するようになっている。ルータはNAT（Network Address Translation）機能を使って、プライベートネットワーク上のホストとインターネットとの間のトラフィックを代理転送する。インターネット経由でNATファイアウォールの背後にあるホストとRDPコネクションを確立するには、RDPトラフィックを接続先ホストに転送するようファイアウォールを設定する必要がある。

　上記の方法は、ネットワーク境界部の外側から直接接続する場合を想定している。VPNあるいはダイヤルアップ接続を通じてプライベートネットワークに接続するのであれば、NATファイアウォールの設定を変更する必要がある。VPNやダイヤルアップ接続は、プライベートネットワークへの接続を提供するだけだからだ。VPNまたはダイヤルアップ接続を確立するために使用されるリモートアクセスサーバは通常、ファイアウォールの内側に置かれているため、RDPトラフィックがプライベートネットワークに入るのを許可するように、このファイアウォールを設定する必要がある。

　ファイアウォールに関していえば、Windows XP SP2とWindows Vistaにはファイアウォールが組み込まれている。これらのOSが動作しているマシンに対してコネクションを確立するには、RDPトラフィックを許可するようWindowsファイアウォールを設定する必要がある。

認証に関連する問題

　最初のコネクションの確立がリモートデスクトップで最も厄介な部分であるのは間違いないが、問題はほかにもある。リモートコンピュータに接続でき、認証情報を入力したのに、「このシステムのローカルポリシーは、このユーザーが対話的にログオンすることを許可していません」というエラーメッセージが表示されて驚くユーザーは多い。

　Windowsがこのエラーメッセージを表示するのは、ユーザーがRDPを使ってログインするのに必要な権限を持っていない場合だ。この問題は、リモートデスクトップユーザーグループまたはローカル管理者グループにユーザーアカウントを追加することによって解決できる。

データの暗号化

　リモートデスクトップで最も不可解な問題の1つが、「データの暗号化のエラーのため、このセッションは終了します。リモートコンピュータに接続し直してください」というメッセージが表示されることだ。

　ほとんど場合、このエラーメッセージは、旧式のリモートデスクトップ（あるいはターミナルサービス）クライアントの使用に関係している。MicrosoftがWindows 2000をリリースしたとき、同社は「管理ツールパック」（Adminpak）というアドオンを提供した。管理ツールパックには、リモートセッション確立に利用できるクライアントコンポーネントが含まれていた。このクライアントは一見、Windows XPと互換性があるように思えるが、実はそうではない。Windows XPとのリモートデスクトップセッションを確立するのにWindows 2000版の管理ツールパックを使用すると、上記のようなエラーメッセージが表示されることが多い。

　Windows XPには専用のリモートデスクトップクライアントが付属しているので、Windows XPが動作しているほかのマシンとのコネクションを確立するには、このクライアントを使用すべきだ。どうしても管理ツールパックを使いたいのであれば、Windows Server 2003版にアップグレードする必要がある。これはMicrosoftのサポートサイトからダウンロードできる。

本稿筆者のブライエン・M・ポージー氏はテクニカルライターで、これまでに3000本以上の記事を執筆した。同氏が著作あるいは寄稿した本は27冊に上る。

印刷する