Как настроить удалённый доступ через rdp

Управление режимом стока, через командную стоку

Как я и писал выше, есть утилита командной строки chglogon.exe. Зайдите на нужный вам узел подключений и откройте на нем от имени администратора окно cmd. Введите команду chglogon.exe. У вас откроется справка по утилите и вы увидите доступные режима стока для управления сеансами RDS фермы.

/QUERY — Опрос текущего режима входа сеанса.
/ENABLE — Включение входа пользователя из сеанса.
/DISABLE — Отключение входа пользователей из сеансов.
/DRAIN — Запрещает входить в систему новым пользователям, но разрешает повторное подключение к существующим сеансам.
/DRAINUNTILRESTART — Запрещает входить в систему новым пользователям до перезагрузки сервера, но разрешает повторное подключение к существующим сеансам.

Чтобы временно настроить сервер в режим слива, используйте параметр / DRAIN.
Чтобы временно настроить сервер в режим слива, используйте параметр / DRAINUNTILRESTART. После перезапуска пользовательские учетные записи будут автоматически перезапущены.
Чтобы вывести сервер из режима слива и восстановить подключение, используйте параметр / ENABLE

Какие плюсы и минусы в использовании протокола RDP?

Начнём с приятного – с плюсов. Плюс состоит в том, что этот инструмент, который правильней называть Клиентом RDP, доступен любому пользователю Windows как на компьютере, с которого предстоит управлять удалённым, так и тому, кто хочет к своему компьютеру удалённый доступ открыть.

Через подключение к удалённому рабочему столу возможно не только видеть удалённый рабочий стол и пользоваться ресурсами удалённого компьютера, так и подключать к нему локальные диски, принтеры, смарткарты и т.п. Конечно, если вы захотите посмотреть видео или послушать музыку через RDP – вряд ли этот процесс доставит вам удовольствие, т.к. в большинстве случаев вы увидите слайд шоу, и звук скорей всего будет прерываться. Но, не под эти задачи разрабатывалась служба RDP.

Ещё одним несомненным плюсом является то, что подключение к компьютеру осуществляется безо всяких дополнительных программок, которые в большинстве своём платные, хотя и имеют свои достоинства. Время доступа к RDP-серверу (которым и является ваш удалённый компьютер) ограничивается лишь вашим желанием.

Минусов всего два. Один существенный, другой – не очень. Первый и существенный – для работы с RDP компьютер, к которому осуществляется подключение, должен иметь белый (внешний) IP, либо на этот компьютер должна быть возможность «пробросить» порт с маршрутизатора, который опять же должен иметь внешний IP. Статическим он будет или динамическим – значения не имеет, но он должен быть.

Второй минус – не такой существенный – последние версии клиента перестали поддерживать 16-цветную цветовую схему. Минимум – 15бит. Это сильно замедляет работу по RDP, когда вы подключаетесь по чахлому-дохлому интернету со скоростью, не превышающей 64 килобита в секунду.

Пользователю не удается выполнить вход с помощью смарт-картыUser can’t sign in using a smart card

В этом разделе рассматриваются три типичных сценария, когда пользователь не может войти на удаленный рабочий стол с помощью смарт-карты.This section addresses three common scenarios where a user can’t sign in to a remote desktop using a smart card.

Эта проблема возникает в развертываниях, в которых задействован сервер RDSH на сайте филиала, где используется RODC.This issue occurs in deployments that include an RDSH server at a branch site that uses a RODC. Сервер RDSH размещен в корневом домене.The RDSH server is hosted in the root domain. Пользователи на сайте филиала относятся к дочернему домену и используют смарт-карты для проверки подлинности.Users at the branch site belong to a child domain, and use smart cards for authentication. Контроллер домена RODC настроен на кэширование паролей и принадлежит к группе с разрешением реплицировать пароли RODC.The RODC is configured to cache user passwords (the RODC belongs to the Allowed RODC Password Replication Group). Когда пользователи пытаются выполнить вход в сеанс на сервере RDSH, они получают сообщение, например: «Неудачная попытка входа в систему.When users try to sign in to sessions on the RDSH server, they receive messages such as «The attempted logon is invalid. Указано неверное имя пользователя или другие неверные личные данные.»This is either due to a bad username or authentication information.»

Эта проблема связана с тем, как корневой контроллер домена и RDOC управляют шифрованием учетных данных пользователей.This issue is caused by how the root DC and the RDOC manage user credential encryption. Корневой контроллер домена использует ключ шифрования, чтобы зашифровать учетные данные, а RODC предоставляет ключ расшифровки клиенту.The root DC uses an encryption key to encrypt the credentials and the RODC gives the client the decryption key. Если пользователь получает ошибку «Недопустимо», значит два ключа не совпадают.When a user receives the «invalid» error, that means the two keys don’t match.

Чтобы решить эту проблему, выполните одно из указанных ниже действий:To work around this issue, try one of the following things:

измените топологию контроллера домена, отключив кэширование паролей на RODC, или разверните на сайте филиала контроллер домена с доступом на запись;Change your DC topology by turning off password caching on the RODC or deploy a writeable DC to teh branch site.
переместите сервер RDSH в тот же дочерний домен, где находятся пользователи;Move the RDSH server to the same child domain as the users.
разрешите пользователям выполнять вход без смарт-карты.Allow users to sign in without smart cards.

Учтите, что эти решения предполагают наличие компромисса между производительностью и уровнем безопасности.Be advised that all of these solutions require compromises in either performance or security level.

Эта проблема возникает, когда пользователи выполняют вход в систему компьютера Windows Server 2008 с пакетом обновления 2 (SP2), на котором установлено обновление KB4093227 (2018.4B).This issue occurs when users sign in to a Windows Server 2008 SP2 computer that has been updated with KB4093227 (2018.4B). Когда пользователи пытаются выполнить вход с помощью смарт-карты, они получают отказ в доступе с сообщениями, например: «Действительные сертификаты не найдены.When users attempt to sign in using a smart card, they are denied access with messages such as «No valid certificates found. Убедитесь, что эта карта вставлена правильно и плотно сидит в разъеме».Check that the card is inserted correctly and fits tightly.» В то же время на компьютере Windows Server регистрируется событие приложения с сообщением «При получении цифрового сертификата с вставленной смарт-карты произошла ошибка:At the same time, the Windows Server computer records the Application event «An error occurred while retrieving a digital certificate from the inserted smart card. неправильная подпись.»Invalid Signature.»

Чтобы устранить эту проблему, обновите на компьютере ОС Windows Server до повторного выпуска 2018.06 B (обновление KB4093227). См. статью Description of the security update for the Windows Remote Desktop Protocol (RDP) denial of service vulnerability in Windows Server 2008: April 10, 2018 (Описание обновления системы безопасности для защиты протокола RDP в Windows от уязвимости службы в Windows Server 2008 (10 апреля 2018 г.).To resolve this issue, update the Windows Server computer with the 2018.06 B re-release of KB 4093227, Description of the security update for the Windows Remote Desktop Protocol (RDP) denial of service vulnerability in Windows Server 2008: April 10, 2018.

Разрешение для симптома 1

Чтобы устранить эту проблему, при необходимости используйте следующие методы.

Проверка включения удаленного рабочего стола

Откройте элемент System в панели управления. Чтобы запустить средство System, нажмите кнопку Начните, нажмите панель управления, щелкните System и нажмите кнопку ОК.
Под панелью управления главная щелкните удаленные параметры.
Щелкните вкладку Remote.
В удаленном рабочем столе выберите любой из доступных параметров в зависимости от требований к безопасности:
- Разрешить подключения с компьютеров с компьютеров с любой версией удаленного рабочего стола (менее безопасной)
- Разрешить подключение с компьютеров только с компьютеров с удаленным рабочим столом с проверкой подлинности на уровне сети (более безопасно)

Если вы выберите не разрешайте подключение к этому компьютеру на вкладке Remote, никакие пользователи не смогут подключаться удаленно к этому компьютеру, даже если они являются членами группы пользователей удаленных настольных компьютеров.

Проверка ограничения числа подключений служб удаленного рабочего стола

Запустите оснастку групповой политики, а затем откройте локализованную политику безопасности или соответствующую групповую политику.
Найдите следующую команду:

Локализованная компьютерная политика > Конфигурация компьютера > Административные шаблоны > Windows компоненты > удаленных настольных служб удаленных подключений к сеансам настольных компьютеров > > ограничивают количество подключений
Щелкните Разрешено.
В разрешенной поле RD Maximum Connections введите максимальное количество подключений, которое необходимо разрешить, и нажмите кнопку ОК.

Проверка свойств служб удаленного рабочего стола RDP-TCP

Следуйте этим шагам в зависимости от версии операционной системы.

Настройка с помощью конфигурации служб удаленного рабочего стола

Настройка количества одновременных удаленных подключений, разрешенных для подключения:

На хост-сервере сеанса RD откройте конфигурацию хост-сервера удаленного рабочего стола. Чтобы открыть конфигурацию хост-хозяйской сессии удаленного рабочего стола, нажмите кнопку Начните, указать на административные средства, указать на удаленные службы настольных компьютеров.
В «Подключениях» щелкните правой кнопкой мыши имя подключения и нажмите кнопку Свойства.
На вкладке Сетевой адаптер нажмите кнопку Максимальное подключение, введите количество одновременных удаленных подключений, которые необходимо разрешить для подключения, а затем нажмите кнопку ОК.
Если параметр Maximum подключений выбран и затемнеет, параметр Limit number of connections Group Policy включен и применен к серверу хост-сервера сеанса RD.

Проверка прав логотипа служб удаленного рабочего стола

Настройка группы удаленных пользователей настольных компьютеров.

Группа пользователей удаленных настольных компьютеров на хост-сервере сеансов RD предоставляет пользователям и группам разрешение на удаленное подключение к хост-серверу сеансов RD. Вы можете добавить пользователей и группы в группу удаленных пользователей настольных компьютеров с помощью следующих средств:

Привязка локальных пользователей и групп
Вкладка Remote в диалоговом окне System Properties на хост-сервере сеанса RD
Активные пользователи каталогов и компьютеры, если хост-сервер сеанса RD установлен на контроллере домена

Вы можете использовать следующую процедуру для добавления пользователей и групп в группу пользователей удаленных настольных компьютеров с помощью вкладки Remote в диалоговом окне System Properties на сервере хост-сервера сеансов RD.

Членство в локальной группе администраторов или эквивалент на сервере хост-сервера сеанса RD, который вы планируете настроить, является минимальным, необходимым для завершения этой процедуры.

Запустите средство System. Для этого нажмите кнопку Начните, нажмите панель управления, нажмите значок System и нажмите кнопку ОК.
Под панелью управления главная щелкните удаленные параметры.
На вкладке Remote в диалоговом окне System Properties щелкните Выберите пользователей. Добавьте пользователей или группы, которые должны подключиться к серверу хост-сервера сеансов RD с помощью удаленного рабочего стола.

Примечание

При выборе параметра «Не разрешай подключения к этому компьютеру» на вкладке Remote пользователи не смогут подключиться удаленно к этому компьютеру, даже если они являются членами группы пользователей удаленных настольных компьютеров.

Оценка использования пропускной способности

Протокол удаленного рабочего стола (RDP) использует различные алгоритмы сжатия для разных типов данных. В таблице ниже представлены рекомендации по оценке передачи данных.

Тип данных	Направление	Способ оценки
Удаленная графика	От узла сеанса к клиенту	См. .
Пакеты пульса	Оба направления	~ 20 байт каждые 5 секунд
Входные данные	От клиента на узел сеансов	Объем данных основывается на активности пользователей, менее 100 байт для большей части операций
Передача файлов	Оба направления	При передаче файлов используется групповое сжатие. Использование сжатия в формате .zip для аппроксимации
Печать	От узла сеанса к клиенту	Передача заданий печати зависит от драйвера и использования группового сжатия, использование сжатия в формате .zip для аппроксимации

Требования к пропускной способности могут изменяться в некоторых сценариях, например:

голосовые конференции и видеоконференции;
связь в режиме реального времени;
потоковое видео в разрешении 4К.

Дальнейшие действия

Дополнительные сведения о требованиях к пропускной способности для Виртуального рабочего стола Azure см. в статье Общие сведения о требованиях к пропускной способности протокола удаленного рабочего стола (RDP) для Виртуального рабочего стола Azure.
Дополнительные сведения о сетевых подключениях Виртуального рабочего стола Azure см. в статье Общие сведения о сетевом подключении к Виртуальному рабочему столу Azure.
Чтобы приступить к работе со службой QoS для Виртуального рабочего стола Azure, ознакомьтесь со статьей Обеспечение качества обслуживания (QoS) для Виртуального рабочего стола Azure.

Как починить rdpwrap после обновления windows

Если вы нигде не можете найти файл конфигурации rdpwrap.ini под вашу версию системы, то можно попробовать сделать следующий трюк. В некоторых случаях это помогает. По крайней мере у меня так иногда получалось.

Вам нужно найти рабочую конфигурацию под максимально близкую к вам версию. Далее просто в текстовом редакторе поменяйте указанную там версию на свою. Если разница в версиях не сильно большая, может помочь. Я видел в issues на гитхабе информацию о том, что получалось сразу же после поломки терминального доступа после очередного обновления, отредактировать конфиг под новую версию и все снова продолжало работать.

Так же в одном из обсуждений на github была предложена утилита с автоматическим обновлением rdpwrap.ini. Называется Automatic RDP Wrapper installer and updater — https://github.com/stascorp/rdpwrap/pull/859. Описание и инструкция по использованию есть внутри архива. Судя по отзывам, штука неплохая, работает. Если кратко, то пользоваться так:

Скачиваем архив
Распаковываем в Program Files\RDP Wrapper
От имени администратора запускаем Program Files\RDP Wrapper\autoupdate.bat
Проверяем конфигурацию через RDPConf.exe и пробуем подключаться.

В целом про превращение windows 10 в сервер терминалов для одновременного подключения и работы нескольких пользователей по rdp у меня все. Все очень легко и просто, можно использовать по необходимости для решения прикладных задач.

Веб-доступ к удаленным рабочим столамRemote Desktop Web Access

Веб-доступ к удаленным рабочим столам дает пользователям доступ к рабочим столам и приложениям через веб-портал, а затем запускает их через собственное клиентское приложение «Удаленный рабочий стол (Майкрософт)» на устройстве.Remote Desktop Web Access (RD Web Access) lets users access desktops and applications through a web portal and launches them through the device’s native Microsoft Remote Desktop client application. Веб-портал можно использовать для публикации рабочих столов и приложений Windows для клиентских устройств с Windows и другими системами; можно также выборочно публиковать рабочие столы или приложения для конкретных пользователей или групп.You can use the web portal to publish Windows desktops and applications to Windows and non-Windows client devices, and you can also selectively publish desktops or apps to specific users or groups.

Веб-доступ к удаленным рабочим столам нуждается в службах IIS для правильной работы.RD Web Access needs Internet Information Services (IIS) to work properly. Подключение через HTTPS предоставляет канал зашифрованной связи между клиентами и веб-сервером удаленных рабочих столов.A Hypertext Transfer Protocol Secure (HTTPS) connection provides an encrypted communications channel between the clients and the RD Web server. Виртуальная машина веб-доступа к удаленным рабочим столам должна быть доступна через общедоступный IP-адрес, который разрешает входящие TCP-подключения через порт 443, чтобы пользователи клиента могли подключаться из Интернета с помощью транспортного протокола связи HTTPS.The RD Web Access virtual machine must be accessible through a public IP address that allows inbound TCP connections to port 443 to allow the tenant’s users to connect from the internet using the HTTPS communications transport protocol.

На сервере и клиентах должны быть установлены соответствующие сертификаты.Matching digital certificates must be installed on the server and clients. При разработке и тестировании это может быть самостоятельно созданный самозаверяющий сертификат.For development and testing purposes, this can be a self-generated and self-signed certificate. При выпуске службе потребуется сертификат из доверенного корневого центра сертификации.For a released service, the digital certificate must be obtained from a trusted certification authority. Имя сертификата должно совпадать с полным доменным именем, используемым службой веб-доступа к удаленным рабочим столам.The name of the certificate must match the Fully Qualified Domain Name (FQDN) used to access RD Web Access. Возможные полные доменные имена — это внешнее DNS-имя для общедоступного IP-адреса и запись CNAME DNS, указывающая на общедоступный IP-адрес.Possible FQDNs include the externally facing DNS name for the public IP address and the CNAME DNS record pointing to the public IP address.

Для клиентов с меньшим числом пользователей можно сократить расходы, объединив рабочие нагрузки веб-доступа к удаленным рабочим столам и шлюза удаленных рабочих столов в одной виртуальной машине.For tenants with fewer users, you can reduce costs by combining the RD Web Access and Remote Desktop Gateway workloads into a single virtual machine. Также можно добавить дополнительные виртуальные машины для веб-доступа к удаленным рабочим столам в ферму веб-доступа к удаленным рабочим столам для повышения доступности служб и масштабирования до большего числа пользователей.You can also add additional RD Web virtual machines to an RD Web Access farm to increase service availability and scale out to more users. В ферме веб-доступа к удаленным рабочим столам с несколькими виртуальными машинами необходимо настроить виртуальные машины в наборе с балансировкой нагрузки.In an RD Web Access farm with multiple virtual machines, you’ll have to configure the virtual machines in a load-balanced set.

Дополнительные сведения о том, как настроить веб-доступ к удаленным рабочим столам, см. в следующих статьях:For more information about how to configure RD Web Access, see the following articles:

Настройка веб-клиента удаленного рабочего стола для пользователейSet up the Remote Desktop web client for your users
Создание и развертывание коллекции служб удаленных рабочих столовCreate and deploy a Remote Desktop Services collection
Создание коллекции служб удаленных рабочих столов для запуска рабочих столов и приложенийCreate a Remote Desktop Services collection for desktops and apps to run

Способ 4: Настройка брандмауэра

Мешать установке соединения могут и слишком строгие настройки системного или стороннего брандмауэра, в котором RDP-подключения могут быть вообще запрещены. Проблема может встречаться как на клиенте, так и на хосте, и для её решения воспользуйтесь руководствами далее, в которых детально рассмотрены все нюансы процедуры конфигурирования системного файервола.

Подробнее: Настраиваем брандмауэр Windows 7 и Windows 10

Внесистемные брандмауэры, идущие в комплекте с антивирусами, обычно нельзя настроить на пропуск RDP-соединения, поэтому в диагностических целях можете приостановить работу защитного ПО и проверить, не пропал ли сбой.

Подробнее: Как приостановить работу антивируса

Шаг 3. Установка и настройка терминального сервера

Подготовка системы

Начиная с Windows 2012 терминальный сервер должен работать в среде Active Directory.

Если в вашей IT-среде есть контроллер домена, просто присоединяем к нему наш сервер. В противном случае, устанавливаем на наш сервер роль контроллера.

Установка роли и компонентов

В панели быстрого запуска открываем Диспетчер серверов:

Кликаем Управление — Добавить роли и компоненты:

Нажимаем Далее до «Выбор типа установки». Оставляем Установка ролей и компонентов и нажимаем Далее дважды:

В окне «Выбор ролей сервера» выбираем Службы удаленных рабочих столов:

Кликаем Далее, пока не появится окно «Выбор служб ролей» и выбираем следующие:

Лицензирование удаленных рабочих столов
Узел сеансов удаленных рабочих столов

* при появлении запроса на установку дополнительных компонентов соглашаемся.

При необходимости, также выставляем остальные галочки:

Веб-доступ — возможность выбора терминальных приложений в браузере
Посредник подключений — для кластера терминальных серверов посредник контролирует нагрузку каждой ноды и распределяет ее.
Узел виртуализации — для виртуализации приложений и запуска их через терминал.
Шлюз — центральный сервер для проверки подлинности подключения и шифрования трафика. Позволяет настроить RDP внутри HTTPS.

Нажимаем Далее и в следующем окне Установить. Дожидаемся окончания процесса установки и перезагружаем сервер.

Установка служб удаленных рабочих столов

После перезагрузки открываем Диспетчер серверов и нажимаем Управление — Добавить роли и компоненты:

В окне «Выбор типа установки» выбираем Установка служб удаленных рабочих столов и нажимаем Далее:

В окне «Выбор типа развертывания» выбираем Быстрый запуск и нажимаем Далее:

В «Выбор сценария развертывания» — Развертывание рабочих столов на основе сеансов — Далее:

Еще раз Далее — при необходимости, ставим галочку «Автоматически перезапускать конечный сервер, если это потребуется» и кликаем по Развернуть.

Настройка лицензирования удаленных рабочих столов

Для корректной работы сервера, необходимо настроить службу лицензирования. Для этого открываем диспетчер серверов и кликаем по Средства — Terminal Services — Диспетчер лицензирования удаленных рабочих столов:

В открывшемся окне кликаем правой кнопкой мыши по нашему серверу и выбираем Активировать сервер:

В открывшемся окне дважды кликаем Далее — заполняем форму — Далее — Далее — Снимаем галочку «Запустить мастер установки лицензий» — Готово.

Снова открываем диспетчер серверов и переходим в «Службы удаленных рабочих столов»:

В «Обзоре развертывания» кликаем по Задачи — Изменить свойства развертывания:

В открывшемся окне переходим в Лицензирование — Выбираем тип лицензий — прописываем имя сервера лицензирования (в данном случае локальный сервер) и наживаем Добавить:

Применяем настройки, нажав OK.

Добавление лицензий

Открываем диспетчер серверов и кликаем по Средства — Terminal Services — Диспетчер лицензирования удаленных рабочих столов:

В открывшемся окне кликаем правой кнопкой мыши по нашему серверу и выбираем Установить лицензии:

В открывшемся окне нажимаем Далее — выбираем программу, по которой куплены лицензии, например, Enterprise Agreement — Далее — вводим номер соглашения и данные лицензии — выбираем версию продукта, тип лицензии и их количество — Далее — Готово.

Проверить статус лицензирования можно в диспетчере серверов: Средства — Terminal Services — Средство диагностики лицензирования удаленных рабочих столов.

Настройка приложений для узла сеансов удаленный рабочий стол

Большая часть загрузки ЦП на сервере узла сеансов удаленных рабочих столов управляется приложениями. Настольные приложения, как правило, оптимизированы для реагирования с целью минимизации времени, затрачиваемого приложением на ответ на запрос пользователя

Однако в серверной среде очень важно снизить общий объем загрузки ЦП, необходимый для выполнения действия во избежание неблагоприятного воздействия на другие сеансы

При настройке приложений, которые будут использоваться на сервере узла сеансов удаленных рабочих столов, учитывайте следующие рекомендации.

Сокращение обработки фонового цикла бездействия

Типичными примерами являются отключение грамматики в фоновом режиме и проверки орфографии, индексирование данных для поиска и сохранение в фоновом режиме.
Сократите, как часто приложение выполняет проверку или обновление состояния.

Отключение таких поведений или увеличение интервала между опросными итерациями и срабатыванием таймера значительно повышает загрузку ЦП, так как эти действия быстро задействуются для многих активных сеансов. Типичными примерами являются обновления значков состояния подключения и сведения о строке состояния.
Минимизируйте состязание за ресурсы между приложениями, уменьшая частоту синхронизации.

Примерами таких ресурсов являются разделы реестра и файлы конфигурации. Примерами компонентов и компонентов приложений являются индикаторы состояния (например, уведомления оболочки), фоновое индексирование, мониторинг изменений и автономная синхронизация.
Отключите ненужные процессы, зарегистрированные для запуска с входом пользователя или запуском сеанса.

Эти процессы могут значительно влиять на стоимость использования ЦП при создании нового сеанса пользователя, который обычно является ресурсоемким процессом и может быть очень затратным в утром. Используйте MsConfig.exe или MsInfo32.exe, чтобы получить список процессов, запускаемых при входе пользователя в систему. Для получения более подробных сведений можно использовать автозапуски для Windows.

Для использования памяти необходимо учитывать следующее.

Убедитесь, что библиотеки DLL, загруженные приложением, не перемещаются.
- Повторно расположенные библиотеки DLL можно проверить, выбрав команду обработать представление DLL, как показано на следующем рисунке, с помощью обозревателя процессов.
- Здесь можно увидеть, что y.dll был перемещен, так как x.dll уже заняты базовым адресом по умолчанию, а ASLR не включен.
  
  При перемещении библиотек DLL невозможно совместно использовать свой код в сеансах, что значительно увеличивает объем сеанса. Это одна из наиболее распространенных проблем производительности, связанных с памятью на сервере узла сеансов удаленных рабочих столов.
Для приложений среды CLR используйте генератор образов в машинном кодах (Ngen.exe), чтобы увеличить общий доступ к странице и снизить нагрузку на ЦП.

По возможности примените аналогичные методы к другим аналогичным механизмам выполнения.