是否有用于RDP连接的日志文件？

31

我通过VPN / RDP连接到我的工作PC，我想在我的工作PC上找到一个日志文件，其中包含有关我上次使用该文件的时间，连接的起源以及持续时间的信息。我希望在Windows 7的哪里找到它？

windows-7 remote-desktop

— 大流士
source

这不应该在serverfault上吗？

— 起搏器

39

如果您以管理员身份查看事件查看器，据我所知，有服务器日志，但没有用于登录/注销的日志。

请检查“应用程序和服务日志-> Windows-> TerminalServices- *”下左侧的事件查看器树，其中*是那里的所有日志。我认为您对TerminalService-LocalSessionManager操作日志最感兴趣。事件ID 21将提供传入连接的IP地址。

左侧的事件查看器树中的“应用程序和服务日志-> Windows”下还有一个“ RemoteDesktopServices-RemoteDesktopSessionManager”节点。我相信只有管理员角色才能查看文件。请确认并告知我这是否可以解决您的用例。

也许也可以尝试此操作来登录登录/注销：http : //www.microsoft.com/resources/documentation/windows/xp/all/proddocs/en-us/aptopnode.mspx? mfr=true

— 贾罗德·瓦格曼
source

3

实际上，TerminalService-LocalSessionManager Operational或TerminalService-RemoteConnectionManager Operational可以为我工作。我可以从那里看到用户名和dhcp IP。谢谢。

— Darius '04

3

在“应用程序和服务日志”>“ Microsoft”>“ Windows”>“ TerminalServices-ClientActiveXCore”>“ Microsoft-Windows-TerminalServices-RDPClient / Operation”下，

该日志将包含一些事件，这些事件包含最终用户试图将RDP连接到的服务器名称。

— 雷神N
source

如果为空，则可能很幸运，并且在TerminalServices-RemoteConnectionManager中具有条目。

— mbx

1

建立VPN时，我无法告诉您如何从工作机进行检查，因为它可能不是VPN服务器（？）。但是，如果您使用远程桌面连接来控制该工作PC，则可以从事件查看器中获取登录/注销时间。

在安全日志中查找这些内容。RDP登录是一次，Event ID 4624但是仅搜索4624无效。在事件中，您需要“登录类型”值为“ 10”，而SecurityID值为您的。不确定如何过滤这些...

— 克里斯·K
source

这也很好，但是我从Jarod的答案中得到的日志更容易理解。

— Darius '04

您可以在“过滤器”对话框中打开“ XML”选项卡，选中“手动编辑”框并输入

<QueryList>   <Query Id="0" Path="Security">     <Select Path="Security">*[System[(EventID=4624)]] and *[EventData[Data[@Name='LogonType'] and Data=10]]</Select>   </Query> </QueryList>

。

— mynetx

0

我在Windows日志/安全性下的事件查看器中找到了该信息，您将在任务类别登录和注销事件下看到该信息。

— 霍华德·米切尔
source

不能完全确定您正在寻找的位置，但是该区域无法提供我所要求的信息。

— Darius

1

RDP也可以重新连接到现有会话，在这种情况下，不会发生登录事件。

— Ben Voigt 2014年

@BenVoigt，登录注销也可能不是来自RDP，对吗？

— 起搏器

0

就您而言，您需要查看计算机TerminalServices-LocalSessionManager并TerminalServices-RemoteConnectionManager从中记录日志。

您还可以检查一个称为SysKit的出色第三方工具，以前称为Terminal Services Log。如果您想获取有关RDP连接和其他内容的所有详细信息，它将从日志中生成各种报告，并为您节省大量时间。

请注意：我隶属于上述工具的开发者Acceleratio，所以在这里我可能会有所偏见。

— MatijaB
source

1

syskit的价格有点陡：(

— sdjuan

如果您在回答中提到的工具也是开源的，我会更想要它:)

— Darius

0

使用命令 quser显示会话。

然后，您将看到类似ID 1或2或4的信息。然后键入注销4以注销该会话。

您还可以键入查询会话或qwinsta（两者都是同一件事），显示谁在打开以及正在监听的端口等。

— 北欧服务台
source