Кто и когда заходил на терминальный cервер

Информацию о том, с каких IP адресов осуществлялся вход на сервере через удаленный рабочий стол можно получить только в журнале самой ОС Windows:

1. Нажмите кнопку "Пуск" -> "Администрирование" -> "Просмотр событий":

2. Последовательно выберите в списке журналов слева: "Журналы приложений и служб" ("Applications and Services Logs") -> "Microsoft" -> "Windows"

затем найдите в списке "TerminalServices-LocalSessionManager" -> "Operational"

3. Справа, в разделе "Действия" нажмите "Фильтр текущего журнала":

4. Введите код события 21, 25 в соответствующее поле в появившейся форме и нажмите кнопку ОК:

5. В списке останутся только интересующие вас записи. Каждя запись - это вход через удаленный рабочий стол (RDP), с указанием времени входа, имени пользователя и IP с которого он был произведен.