Частая просьба безопасников и бухгалтерии: сотрудники работают на терминальном сервере, а копировать данные из сессии к себе на компьютер (и обратно) не должны. Нужно выключить общий буфер обмена между RDP-сессией и локальным ПК, а иногда — только для части пользователей или только в одну сторону.
Коротко: на сервере включите политику Do not allow Clipboard redirection («Не разрешать перенаправление буфера обмена») в разделе «Перенаправление устройств и ресурсов» и перезагрузите сервер. На Windows Server 2022 (с обновлениями 2024 года) и Windows Server 2025 есть более тонкие политики — можно запретить передачу только с сервера на клиент или только с клиента на сервер, в том числе для отдельных пользователей.
Как работает буфер обмена в RDP
Общий буфер — это одно из «перенаправлений» протокола RDP, такое же, как диски, принтеры или смарт-карты. В сессии за него отвечает процесс rdpclip.exe, который синхронизирует содержимое буфера между сервером и клиентом. Разрешить или запретить перенаправление можно в трёх местах:
- групповой политикой на сервере — это главный и надёжный способ;
- в настройках коллекции сеансов RDS (если у вас развёрнута полноценная роль с брокером подключений и RemoteApp);
- в RDP-файле или окне «Подключение к удалённому рабочему столу» на стороне клиента.
Действует самое строгое из этих значений: если сервер запретил буфер, никакая галочка в клиенте его не вернёт. А вот обратное неверно — запрет только на клиенте пользователь может снять сам, поэтому для задач безопасности годится лишь серверная настройка.
Способ 1. Групповая политика для всего сервера
Подходит для Windows Server 2019, 2022 и 2025. На отдельном сервере используйте локальный редактор gpedit.msc, в домене — объект групповой политики, привязанный к OU с терминальными серверами.
- Откройте Конфигурация компьютера → Административные шаблоны → Компоненты Windows → Службы удаленных рабочих столов → Узел сеансов удаленных рабочих столов → Перенаправление устройств и ресурсов (Computer Configuration → Administrative Templates → Windows Components → Remote Desktop Services → Remote Desktop Session Host → Device and Resource Redirection).
- Откройте параметр Не разрешать перенаправление буфера обмена (Do not allow Clipboard redirection) и выберите «Включено».
- Выполните
gpupdate /forceи перезагрузите сервер — Microsoft прямо указывает, что после применения политики сервер, к которому подключаются, нужно перезапустить.
Если редактора политик под рукой нет (например, Server Core), тот же параметр задаётся в реестре. Политика пишет значение fDisableClip в ветку политик служб удалённых рабочих столов:
reg add "HKLMSOFTWAREPoliciesMicrosoftWindows NTTerminal Services" /v fDisableClip /t REG_DWORD /d 1 /fЗначение 1 запрещает буфер, удаление параметра возвращает поведение по умолчанию. Учтите: эта политика есть только в конфигурации компьютера, поэтому она действует на всех, кто входит на сервер, включая администраторов.
Отдельный момент — копирование файлов. Вставка файлов через буфер обмена в RDP связана с перенаправлением дисков: по описанию политики Do not allow drive redirection («Не разрешать перенаправление дисков»), при её включении копирование файлов через буфер тоже запрещается. Если задача — «текст копировать можно, файлы нельзя», начните с запрета дисков, а буфер оставьте.
Способ 2. Ограничение по направлению и по пользователям (Server 2022/2025)
В 2024 году Microsoft добавила две политики в тот же раздел «Перенаправление устройств и ресурсов»:
- Restrict clipboard transfer from server to client — что можно копировать из сессии на локальный ПК;
- Restrict clipboard transfer from client to server — что можно вставлять с локального ПК в сессию.
По документации они поддерживаются в Windows Server 2022 (сборка 20348.2523 и новее, то есть с накопительными обновлениями середины 2024 года), Windows Server 2025 и Windows 11; в Windows Server 2019 их нет. В каждой можно выбрать уровень: полностью запретить передачу, разрешить только простой текст, текст и изображения, добавить RTF или HTML.
Главное отличие от старой политики — эти параметры есть и в Конфигурации компьютера, и в Конфигурации пользователя. Если заданы оба, применяется более строгий. Это и есть нормальный способ запретить буфер «по пользователям»: создаёте GPO с пользовательскими настройками, включаете в обеих политиках «Disable clipboard transfers», фильтруете объект по группе безопасности (например, «Бухгалтерия — без буфера»). Если учётные записи пользователей лежат не в той OU, где сервер, включите на сервере режим замыкания (loopback processing), чтобы пользовательская часть политики применялась именно на этом сервере.
Пример типовой схемы, которую я обычно делаю:
| Задача | Что включить | Где работает |
|---|---|---|
| Полностью отключить буфер для всех | Do not allow Clipboard redirection | Server 2019, 2022, 2025 |
| Запретить выносить данные из сессии, но разрешить вставлять текст в сессию | Restrict clipboard transfer from server to client = запрет; client to server — только текст | Server 2022 с обновлениями, 2025 |
| Запретить буфер только группе пользователей | Обе Restrict-политики в конфигурации пользователя + фильтр GPO по группе | Server 2022 с обновлениями, 2025 |
| Разрешить текст, но не файлы | Do not allow drive redirection | Server 2019, 2022, 2025 |
После изменения пользовательских политик достаточно, чтобы пользователь вышел из сессии и вошёл заново; для компьютерных — перезагрузка сервера.
Способ 3. Коллекция RDS и RemoteApp
Если на сервере развёрнута роль Remote Desktop Services с коллекциями и опубликованными RemoteApp-приложениями (например, 1С), перенаправления настраиваются ещё и на уровне коллекции. В «Диспетчере серверов» откройте Службы удалённых рабочих столов → Коллекции → свойства коллекции → Параметры клиента и снимите галочку «Буфер обмена». То же самое через PowerShell на брокере подключений — параметр -ClientDeviceRedirectionOptions принимает список разрешённых устройств, и всё, что в него не попало, запрещается:
Set-RDSessionCollectionConfiguration -CollectionName "1C" `
-ClientDeviceRedirectionOptions "AudioVideoPlayBack, SmartCard, TimeZone" `
-ConnectionBroker "rdcb.domain.local"Здесь оставлены звук, смарт-карты и часовой пояс, а буфер (Clipboard) и диски (Drive) не указаны — значит, выключены. Удобно, что разные коллекции могут иметь разные правила: одна группа пользователей с буфером, другая без. Но для гарантии я всё равно дублирую запрет групповой политикой на серверах той коллекции, где буфер запрещён.
Чего делать не стоит
В старых инструкциях (в том числе в прежней версии этой статьи) предлагали два приёма. Первый — вручную создавать параметр в пользовательской ветке реестра. Официально документирован только параметр политики, описанный выше; самодельные ключи в профиле не переживают пересоздание профиля и плохо поддаются контролю. Второй — запрещать запуск rdpclip.exe через AppLocker. Это работает, но как костыль: стандартные правила AppLocker разрешают администраторам запуск любых файлов, поэтому на админов запрет не распространяется, а сопровождать отдельное правило ради одной функции неудобно. Сейчас для этого есть нормальные политики.
Ещё одна ловушка — запрет «на клиенте»: снять галочку «Буфер обмена» во вкладке «Локальные ресурсы» окна mstsc или прописать redirectclipboard:i:0 в выданном пользователю RDP-файле. Пользователь отредактирует файл за минуту, так что это удобство, а не защита.
И помните, что запрет буфера не делает сервер «закрытым» от утечек: остаются печать, перенаправление дисков, снимки экрана. Если задача серьёзная, смотрите на сервер целиком — я собрал базовые правила в памятке о безопасной работе на терминальном сервере. Похожим образом, кстати, ограничивается и печать — об этом в статье про режим Easy Print.
Как проверить результат
- Подключитесь к серверу под тестовым пользователем новой сессией (не переподключением к старой).
- Скопируйте текст в «Блокноте» внутри сессии и попробуйте вставить локально, затем наоборот.
- Если поведение не изменилось, выполните на сервере
gpresult /h C:tempgp.htmlпод этим пользователем и проверьте, какие политики из раздела «Перенаправление устройств и ресурсов» реально применились и из какого GPO.
Подробное описание политик и порядка их приоритета есть в документации Microsoft: RemoteDesktopServices Policy CSP (там же перечислены поддерживаемые сборки для новых политик).
Частые вопросы
Можно ли запретить буфер одному пользователю на Windows Server 2019?
Штатной пользовательской политики для буфера в 2019 нет: Do not allow Clipboard redirection действует на весь сервер. Варианты — вынести таких пользователей на отдельный сервер или в отдельную коллекцию RDS с выключенным буфером либо обновиться до Windows Server 2022/2025, где есть пользовательские Restrict-политики.
Нужно ли перезагружать сервер после включения политики?
Для политики в конфигурации компьютера Microsoft рекомендует перезагрузку сервера. Для пользовательских политик обычно хватает выхода из сессии и нового входа. В любом случае проверяйте на новой сессии, а не на переподключении к старой.
Буфер отключён, а файлы всё равно копируются. Почему?
Скорее всего, пользователь перетаскивает файлы через перенаправленный локальный диск («C на ИМЯ-ПК» в проводнике сессии). Это отдельный канал — запретите его политикой Do not allow drive redirection.
Действует ли запрет на администраторов?
Да, политики из конфигурации компьютера действуют на всех, включая администраторов. Если администраторам буфер нужен, используйте пользовательские политики на Server 2022/2025 и фильтрацию GPO по группам.