1. 基础链路RDP到底连的是什么为什么乱改配置会翻车很多人一听到Windows RDP远程桌面连接第一反应是不就是那个圆球图标吗双击输入IP、用户名、密码点一下连接就完事了。真到出问题的时候才发现这台机器背后还有一堆细节——端口、服务、协议版本、用户权限、防火墙规则哪一环断了都连不上。我见过不少同事排查RDP问题上来就改注册表、关防火墙结果越搞越乱最后只能重装系统收场。所以这篇先把基础链路讲透后面排错心里才有底。1.1 一条连接的真实流程端口、协议与认证远程桌面使用RDPRemote Desktop Protocol协议默认情况侦听TCP 3389端口。你从客户端发起连接数据包先到达目标机的3389端口Windows的TermService远程桌面服务收到请求后会走一遍安全认证流程如果开启了网络级身份验证NLANetwork Level Authentication客户端会先完成一次用户身份验证通过后才建立完整的RDP会话。这个机制能大幅减少资源消耗也能挡住大量未认证的扫描流量。如果没开启NLA则先建立会话、显示登录界面再在登录界面里输入用户名密码。这种方式在旧系统或某些特殊客户端里才会遇到。现在主流的Windows 10/11和Server 2016以上系统默认都是启用NLA的。这也是为什么很多连接问题会指向CredSSP凭据安全支持提供者相关的报错因为NLA依赖它做身份验证的加密协商。1.2 决定能不能连上的三类前置条件RDP连不上绝大多数情况逃不出以下三个层面层面关键点常见坑系统配置目标系统必须是专业版/企业版/教育版/Server版且允许远程桌面连接处于开启状态家庭版默认没有RDP服务端安装精简版系统时远程桌面组件可能被移除网络层面源到目标的3389端口可达防火墙有入站放行规则第三方安全软件静默拦截多网卡时侦听地址不对账户层面登录用户在目标机有远程登录权限且密码有效使用微软账户邮箱登录、PIN码登录造成误解Guest被禁用Administrator被改名这三个层面我后面会逐一展开。每一条我都见过真实案例先说一个最容易被忽略的账户层面。有些人连接时输入的密码是自己电脑的开机密码但目标机的用户名密码完全是另一套。尤其当两台电脑用同一个微软账号时本地账户和微软账户的密码不一样很容易混淆。还有人不理解为什么RDP不能使用PIN码登录——PIN码只属于本机物理登录时的安全便捷机制RDP走的是网络密码认证必须输入账户的真实密码。2. 从零开通图形面板和命令行两条路径全记录如果你目标机还没开远程桌面那后面什么都白搭。开通方式有图形界面和命令行两种日常一两台机器用图形界面更快但如果你经常要批量配置服务器或者面对的是没有桌面的Server Core系统命令行就是救命稻草。我把两条路径都完整记录一遍该给的命令一个不少。2.1 图形界面开启远程桌面这是最基础的操作我在Win10、Win11和Windows Server上分别试过位置大同小异打开设置选择系统左侧点远程桌面。打开启用远程桌面开关弹出的确认窗口点确认。建议顺手把要求使用网络级别身份验证连接保持打开状态安全性更好。记下当前电脑的名称客户端连接时可以直接用计算机名在内网DNS正常的情况下比IP更稳。如果是Server系统右键此电脑→属性→远程设置在远程桌面区域勾选允许远程连接到此计算机。老控制面板路径在Server系统上依然实用甚至比设置面板更快。图形界面开启后系统会自动创建一条名为远程桌面的防火墙入站规则放行3389端口。如果防火墙规则被第三方软件重置过你可能需要回到防火墙界面手动确认。2.2 命令行快速开启适合批量部署的场景面对多台服务器时我习惯直接用PowerShell或命令提示符操作省得一台一台点鼠标。以管理员身份打开PowerShell执行以下命令# 开启远程桌面将 fDenyTSConnections 设为0 Set-ItemProperty -Path HKLM:\System\CurrentControlSet\Control\Terminal Server -Name fDenyTSConnections -Value 0 # 开启防火墙放行3389端口 New-NetFirewallRule -DisplayName Allow RDP -Direction Inbound -LocalPort 3389 -Protocol TCP -Action Allow如果你看到的是Server Core或Nano Server没有图形界面时这套命令就是唯一方法。有些精简系统可能缺少TermService服务本身命令执行不报错但端口就是不监听这种情况基本只能重装完整版系统不值得折腾。注册表里fDenyTSConnections这个键就是系统判断是否允许远程桌面连接的开关0表示允许1表示拒绝。理解了这一点后面排查一些问题时会轻松很多。2.3 给用户授权的两种姿势系统开通了远程桌面不代表随便一个账户都能远程登录。只有管理员组成员和远程桌面用户Remote Desktop Users组的成员才有权限。管理员组用户默认可以远程登录而普通用户必须加入后一个组。# 将用户 testuser 加入远程桌面用户组 net localgroup Remote Desktop Users testuser /add也可以打开lusrmgr.msc找到Remote Desktop Users组双击后添加成员。两者效果一样命令行更适合脚本化。要注意的一点如果你用Administrator账户远程登录默认Windows会以远程管理模式工作需要使用标准用户时记得通过组策略或账户设置给普通用户授权否则会提示用户账户没有远程登录的权限。2.4 验证端口是否真正在监听配置做完别急着连先用一条命令确认目标机的3389端口确实在监听netstat -ano | findstr :3389如果看到TCP 0.0.0.0:3389 0.0.0.0:0 LISTENING说明服务正常正在等待连接。如果只有127.0.0.1:3389说明服务只侦听了本机回环地址外部流量根本进不来这种通常和网络配置或系统服务异常有关。如果用findstr没结果优先检查TermService服务状态Get-Service TermService正常情况下状态应该是Running启动类型是Automatic。如果你发现刚开始是Stopped可以先Start-Service TermService试试。有些优化工具会把这个服务禁掉导致端口永远不出现。3. 高频故障排查密码正确没反应、内部错误、3389无响应这一章是全文的精华我把这些年遇到的高频问题按照完整排查链路展开。如果你在搜索引擎上搜过远程桌面连接失败大概率就是下面这几种情况之一。3.1 用户密码都正确点连接却一直没反应这是我在Win10和Win11上见到最多的一类问题。明明密码没错用户名也没输错但点完连接后要么一直转圈要么闪一下又回到登录框。排查顺序应该是这样的。第一步排除微软账户与PIN码的干扰。如果目标机用的是微软账户登录RDP连接时输入的应该是微软账户的完整邮箱地址和密码不是本机开机PIN。如果密码确实正确但仍然转圈看下一步。第二步确认NLA是否导致握手失败。目标机开启仅允许运行使用网络级别身份验证的远程桌面连接时客户端与服务器必须都支持NLA。老版本客户端或部分精简系统客户端不支持时就会卡在认证阶段。可以临时到目标机关闭这个选项再试。不过我更推荐直接升级客户端不要长期关闭NLA。第三步检查CredSSP加密Oracle修正。这个坑在Server 2016时代特别出名连接时直接报发生身份验证错误。这可能是由于CredSSP加密Oracle修正。原因是客户端系统安全策略要求更新的加密级别而服务器端没有同步更新。修复方式有两种要么把两端Windows更新都打全要么在客户端组策略里降低对加密Oracle的校验要求。# 在客户端机器上以管理员执行将AllowEncryptionOracle设为2易受攻击 reg add HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\CredSSP\Parameters /v AllowEncryptionOracle /t REG_DWORD /d 2 /f但这里要强调这个值设成2会降低安全性只适合临时解决问题。根因还是要打补丁让两端系统保持一致。还有一个小概率情况目标机的远程桌面服务僵死虽然端口还在监听但认证过程一直无响应。这种用Get-Service TermService看不出异常我建议直接重启服务通常立竿见影Restart-Service TermService -Force3.2 内部错误到底在说什么Windows Server 2016上的RDP有个很经典的报错——连接时提示由于协议错误会话将被中断。请重新连接到远程计算机或者干脆是内部错误。我记得第一次遇到时还以为目标机网络断了结果ping通了3389端口也在监听但连接就是会断。后来排查下来问题多出在这几个层面客户端与服务器之间的网络路径中有中间设备防火墙、路由器过滤了RDP协议的特征字段导致协议层数据丢失服务器端RemoteFX或显卡驱动异常在初始化图形通道时报错本机安全软件拦截了部分网络数据包。我的排查顺序是先重启TermService再看Windows更新最后关掉RemoteFX如果需要的话。关RemoteFX的做法是组策略计算机配置→管理模板→Windows组件→远程桌面服务→远程桌面会话主机→远程会话环境把所有启用RemoteFX的选项都设为未配置或禁用。如果以上都不管用再检查网卡驱动。我在某台老服务器上遇到过网卡驱动老旧导致RDP大数据包重传失败的情况更新网卡驱动后彻底解决。这个问题比较隐蔽因为它不表现为断网只表现为RDP协议异常。3.3 3389端口无响应从服务、防火墙到多网卡顺序捋远程桌面服务正在侦听所以可以连接这句话只对了一半。如果netstat看不到3389在监听或者能ping通但端口测试不通问题集中在几个方向。TermService服务没起来。前面给过命令先确认服务状态。有些优化软件会把TermService禁用手动启动后还要注意启动类型要改回自动。防火墙规则被覆盖。有些杀毒软件会接管防火墙管理把Windows防火墙入站规则禁用。解决办法是到高级安全Windows Defender防火墙里检查入站规则中的远程桌面规则是否已启用如果没有就手动新建一条和2.2节一样的规则。目标机有多块网卡服务侦听了错误的IP。比如服务器有内网和外网两块网卡3389服务只侦听了内网网卡的IP你从外网IP连接当然不通。这种情况可以查看netstat -ano | findstr 3389中监听的地址是0.0.0.0还是特定IP。如果是特定IP需要确认是不是配置了终端服务侦听器等特殊设置。端口被占。如果3389端口被其他程序占用不常见但发生过TermService无法正常绑定也会表现为端口无响应。用netstat -ano | findstr :3389看到占用进程不是TermServicesvchost进程时排查一下对应进程。3.4 常见故障速查表现象最可能原因处理方向密码正确连接转圈NLA握手失败 / CredSSP加密不匹配更新系统补丁临时调低加密Oracle校验提示内部错误协议数据中途被过滤 / 显卡驱动异常重启TermService关RemoteFX更新网卡驱动提示已登录的用户太多超过了系统允许的最大会话数断开或注销旧会话调高连接数上限提示用户账户没有远程登录的权限用户不在管理员组或远程桌面用户组用net localgroup添加授权连上后闪退客户端或服务器端RDP组件不兼容更新两端Windows和RDP版本RDP端口不监听TermService被禁用 / 防火墙拦截启动服务并设为自动检查防火墙规则4. 已登录的用户太多和连接数上限原理与处理这个报错大概是Server系统运维中碰到最频繁的。明明自己刚连上结果提示已登录的用户太多只能眼睁睁看着别人占着会话。4.1 为什么Windows会限制并发远程桌面数量Windows默认只允许最多2个并发远程桌面会话这个限制不是凭空设计的它和远程桌面服务两种工作模式有关Remote Administration模式Windows Server默认的管理方式允许最多2个并发会话目的是让管理员能做远程管理但避免把服务器当成多用户工作站的负载。Session Host模式需要安装远程桌面会话主机角色需要对应的授权许可。此时能支持更多会话但要购买相应数量的RDS CAL授权。普通Windows专业版/工作站版默认也遵循这个思路虽然微软文档里不太强调但实际测试中专业版也能通过组策略调高并发连接数。不过频繁的多个管理会话会明显增加服务器负载尤其是内存占用小内存服务器很容易被撑爆。这个限制还有一个隐藏细节如果某个用户断开连接而不是注销他的会话进程会一直挂在服务器上占用一个会话名额。于是你会发现明明没几个人在用但连接数已经满了。这就是已登录的用户太多最常见的成因。4.2 查看当前会话query user和强制清理命令要处理被占用的会话先要知道当前服务器上有哪些会话。在目标机的命令行或PowerShell里执行query user输出大致是用户名 会话名 ID 状态 空闲时间 登录时间 administrator rdp-tcp#3 2 运行中 . 08:10 user1 rdp-tcp#5 4 已断开 1:30 07:55看到已断开状态的会话就是占名额的大户。要强制踢掉某个会话用logoff命令加会话IDlogoff 4这里特别提醒logoff会直接杀掉该用户的所有未保存工作。操作前最好先确认这个会话确实不需要了或者先和用户打个招呼。如果是自己的会话直接断开连接就行不需要在服务器上踢自己因为断开连接后只要用户那边真正退出连接会话最终会转为已断开状态一样占名额过一段时间才会被系统注销。这也是很多连接数满问题的根源。如果是Server系统你还可以通过服务器管理器→工具→远程桌面服务→远程桌面会话管理器来图形化查看和断开会话但命令行更适合批量处理。4.3 修改连接数上限让多用户能同时连如果你确实需要超过2个并发会话可以在组策略里修改连接数限制。在目标机上按WinR输入gpedit.msc打开本地组策略编辑器。依次展开计算机配置→管理模板→Windows组件→远程桌面服务→远程桌面会话主机→连接。双击限制连接数量选择已启用在允许的RD最大连接数里填上你需要的数量。注意这一策略对Session Host模式生效在纯管理模式下Windows Server版本仍可能继续按最大2个管理会话运行。如果你跑的是Server系统且需要更多会话正确的做法是安装远程桌面会话主机角色并购买授权这是合规前提。普通专业版就没有这个顾虑设置几个一般都能生效。改完策略后不用重启新连接立即生效。要是数值改得太高导致同一时间大量会话占用资源服务器内存和CPU很容易飙高建议根据实际内存评估单会话占用通常在500MB到2GB之间看用户跑什么程序。4.4 Windows家庭版的特殊情况和RDP Wrapper的客观讨论Windows 10/11家庭版官方不支持作为RDP服务端也就是说你没法用另一台电脑远程连接到家庭版系统。有人会觉得奇怪我明明在家用版系统的远程桌面设置里看到了开关为什么连不上那个开关在家庭版里实际上是灰的或缺失的因为微软没开放服务端组件。社区里有一个名叫RDP Wrapper的开源工具据说可以让家庭版系统绕过这个限制。它的工作原理是通过一个库文件拦截部分系统API让TermService以为系统是企业版或服务器版从而开放远程桌面服务。我需要客观说明几点如果系统版本和工具版本严格匹配确实能跑通但如果Windows更新后工具未及时适配可能出现rdp wrapper not supported之类的错误。这是对系统授权机制的绕过方案存在一定的安全风险和稳定性隐患第三方工具会注入系统进程敏感环境里不要用。我不反对在自己可控的个人电脑上实验但生产环境、服务器环境请走官方路径升级系统版本或使用Windows Server。要是你真想在家庭版上用RDP更稳妥的做法是直接重装系统或升级到专业版。网上流传的激活码之类的东西我建议别乱用激活信息来路不明很容易给自己埋雷。5. 安全加固从安全日志里看暴力破解到防火墙白名单远程桌面一旦暴露到公网几乎可以断定会被扫描器盯上。我在安全日志里见过一天几万次RDP暴力破解尝试的机器这种情况下光靠密码强度根本挡不住。这一章把日志审计和防火墙加固的思路完整讲一遍。5.1 安全日志事件ID 4625失败的根源在这里Windows把每次登录尝试都记录在安全日志中成功登录是事件ID 4624失败是4625。当有人通过RDP暴力破解你的密码时你会看到大量4625。查看方法目标机上打开事件查看器定位到Windows日志→安全右侧点筛选当前日志事件ID填4625勾选记录。如果日志量太大用PowerShell提取更高效Get-WinEvent -FilterHashtable {LogNameSecurity; ID4625; StartTime(Get-Date).AddDays(-1)} | Select-Object TimeCreated, {n客户端IP; e{$_.Properties[18].Value}}, {n用户名; e{$_.Properties[5].Value}} | Sort-Object TimeCreated -Descending | Format-Table -AutoSize这段脚本会列出最近一天所有失败的RDP登录以及来源IP和尝试的用户名。如果某个IP反复出现基本可以确认是被盯上了。5.2 提取攻击者IP快速判断风险面日志量达到几万条时人工翻没意义。我用的是下面这段PowerShell脚本按来源IP聚合统计失败次数$events Get-WinEvent -FilterHashtable {LogNameSecurity; ID4625; StartTime(Get-Date).AddDays(-7)} -ErrorAction SilentlyContinue $events | ForEach-Object { [PSCustomObject]{ Time $_.TimeCreated IP $_.Properties[18].Value User $_.Properties[5].Value } } | Group-Object IP | Sort-Object Count -Descending | Select-Object Count, Name -First 20跑出来之后你会直观看到攻击源集中在哪些IP。如果目标机在公网像10.x.x.x这种保留网段也出现在结果里那可能是经过某种网关转发过来的。之后就是决定要不要封禁这些IP。封IP最直接的方式是Windows防火墙的高级规则。以管理员身份打开PowerShellNew-NetFirewallRule -DisplayName Block RDP Attack IP -Direction Inbound -Protocol TCP -LocalPort 3389 -RemoteAddress 111.222.33.44 -Action Block这个规则会优先于允许规则拦截指定IP对3389的访问。攻击来源IP经常变化最好写一个脚本定时拉取日志里高频IP自动添加封禁规则。不过更推荐的做法是搭配一台硬件或软件防火墙或者把RDP放在内网访问的入口之后。5.3 实用加固清单每一行都是经验换来的不要直接把RDP端口暴露到公网。如果远程办公场景用企业内网网关、跳板机、堡垒机来做第一层入口。很多安全事件都是因为3389裸奔公网被爆破。修改默认端口3389。修改方法regedit打开HKLM\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp右侧找到PortNumber选择十进制改成比如9339然后重启系统或在防火墙放行新端口。这能防住绝大多数按默认端口扫描的自动化脚本。启用NLA。组策略路径计算机配置→管理模板→Windows组件→远程桌面服务→远程桌面会话主机→安全开启要求使用网络级别的身份验证进行远程连接。限制远程桌面来源IP。如果访问者固定直接在防火墙规则里限定来源IP段New-NetFirewallRule -DisplayName RDP Allow From Trusted Subnet -Direction Inbound -LocalPort 3389 -Protocol TCP -RemoteAddress 192.168.1.0/24 -Action Allow注意配合先限制入站规则只允许可信IP再考虑禁止其他来源。Windows防火墙规则默认是显式允许优先于阻止所以如果要做到白名单效果需要把默认入站行为改成阻止或额外添加一条针对所有IP的阻止规则。账户策略设定。用secpol.msc打开本地安全策略找到账户策略→账户锁定策略把账户锁定阈值设为10次、账户锁定时间设为15分钟。这样爆破就变成无意义行为。但也要注意别设太小自己手滑输错密码也会被锁。另外这个策略只影响本地账户域账户的锁定策略由AD控制。使用独立远程账号。不要开放Administrator作为日常远程账户。新建一个普通管理员账号用于远程并设置高强度密码。示例net user remoteadmin YourStrongPass123! /add net localgroup Administrators remoteadmin /add定期导出安全日志。我会用计划任务每周跑一次脚本把过去7天的4624登录日志导出为CSV归档到特定目录同时标记出非工作时间段的成功登录。RDP被入侵的特征不只是爆破失败还有从不常见IP成功登录——这一类靠4624日志来发现。5.4 别忘了防火墙自身的默认行为检查很多加固配置做完后连接反而断了。多数原因是防火墙规则冲突。我的建议是在修改端口或限制来源IP之前先导出当前防火墙策略作为备份netsh advfirewall export C:\backup\firewall.wfw出问题随时可以导回。这也是我踩过坑之后才养成的习惯。Windows防火墙规则优先级比较讲究添加到防火墙的所有规则中Block规则和Allow规则冲突时实际结果要看具体是哪个设置。最稳妥的方式是把RDP允许规则建在入站规则里并保持默认的作用域然后再利用系统自带的作用域标签页限制远程地址。6. 跨设备细节剪贴板、文件传输与扩展玩法聊完连接和排错再说几个日常最常用的RDP进阶玩法。很多人连上远程桌面第一件事就是想传文件但发现本地和远程之间复制粘贴完全无效——这是因为没开启本地资源重定向。6.1 本地资源重定向剪贴板、磁盘驱动器一次配齐打开远程桌面连接工具mstsc在输入IP的界面上点击左下角显示选项切到本地资源标签页在剪贴板勾选需要的重定向方式一般默认已勾选剪贴板点详细信息按钮勾选驱动器。这样本地硬盘盘符会出现在远程会话的此电脑中可以直接跨机器复制文件还能映射打印机、串口、智能卡等设备。我在远程运维时一定会勾上驱动器。比如本地电脑是Windows目标机是Windows Server直接打开远程的此电脑找到C on yourcomputer这样的盘符就可以把文件拖过去比FTP、网盘都方便速度还快。但注意重定向驱动器时远程系统能直接读写你本地磁盘的内容如果目标机中了病毒本地文件也存在被加密或读取的风险。所以重要环境里建议只开剪贴板不开驱动器。6.2 从Windows复制文件到Linux的几种路径如果你在Windows上目标机是LinuxRDP本身就不是为这种组合设计的。常见的选择有SFTP/SCP。Windows 10 1803以上版本自带OpenSSH客户端可以直接在PowerShell里执行scp d:\project\app.zip userlinux-host:/home/user/WinSCP或类似图形化SFTP工具路径直观适合习惯图形界面的用户。如果你远程连接到的是Windows而最终目的是Linux可以分两步走先把文件从本地传到Windows用RDP驱动器映射再从Windows上用scp推到目标Linux。我在混合环境运维时常这么干不用额外搭建服务。6.3 xftp连接Windows启用OpenSSH Server很多人不熟悉xftp怎么连接Windows。xftp走的是SFTP协议默认情况下Windows没有SSH服务端所以连接失败。正确做法是在Windows目标机上安装OpenSSH Server功能。以管理员身份打开PowerShell# 查看OpenSSH Server功能是否存在 Get-WindowsCapability -Online | Where-Object Name -like OpenSSH.Server* # 安装 Add-WindowsCapability -Online -Name OpenSSH.Server~~~~0.0.1.0 # 启动服务并设为自动 Start-Service sshd Set-Service -Name sshd -StartupType Automatic装好后Windows防火墙可能会自动放行22端口如果没有手动添加一条规则。然后在xftp里选择SFTP协议端口22用户名密码填Windows的账号就能连上了。Windows的OpenSSH Server默认使用C:\Users\用户名作为用户主目录通过xftp能看到对应文件结构。这种方式比RDP的驱动器映射更适合脚本化传输备份和部署方便很多。不过Windows防火墙对22端口的管理有时和RDP有些冲突操作前记得确认。6.4 剪贴板失灵、分辨率和会话断开的经典问题RDP里剪贴板偶尔失灵哪怕是正在使用的会话也会出现。最经典的修复方法是重启rdpclip.exe进程远程会话里打开任务管理器在详细信息里找到rdpclip.exe右键结束任务。按WinR输入rdpclip.exe回车重启剪贴板进程。这招能解决90%的RDP剪贴板同步问题。我目前保持的习惯是每次远程连接后第一件事先试一次复制粘贴如果不行就直接重启rdpclip免得做到一半发现复制不了。分辨率问题默认连接时会自适应屏幕大小但有时候远程会话的分辨率不符合预期。可以在mstsc的显示选项卡里手动配置也可以用命令行参数直接指定窗口大小mstsc /v:192.168.1.10 /w:1920 /h:1080/admin参数老版本叫/console可以强制连接到控制台会话在终端服务器场景下如果普通会话连不上可以试试用这个参数跳过会话调度。会话频繁断开时我一般会检查两个地方一是客户端和服务器之间的网络稳定性RDP对网络抖动非常敏感Wi-Fi下尤其明显二是服务器端的空闲会话限制组策略里会话时间限制和到达时间限制设置不当会让会话在空闲后被自动断开。在远程桌面会话主机→会话时间限制里把设置已断开会话的时间限制设成从不能避免用户一离开就被注销。还有一个我摸索出来的小技巧如果你经常需要以不同的分辨率参数连接同一台机器把mstsc的连接信息保存为.rdp文件存到桌面下次双击直接按这个配置连接省去每次重新设置的麻烦。远程桌面本身不算新技术但真正能稳稳把它用起来需要理解的细节比想象中多。我在实际运维中最强烈的体会是八成问题都不是协议设计的问题而是环境配置、网络路径、账户权限这些基础环节出了问题。所以无论哪个环境出故障先别急着怀疑远程桌面软件按服务状态→端口监听→防火墙→账户权限→协议协商这个顺序去排查基本都能定位到根因。最后再啰嗦一句RDP的安全配置永远要在方便之前搞定否则你省下来的那点时间早晚会以别的方式还回去。