Настраиваем RDP (remote desktop protocol)

Приветствую читателей блога mixprise.ru в данной статье которая посвящена рублике Server 2012 мы рассмотрим одну очень интересную тему под названием: Настройка службы удаленных рабочих столов в server 2012.

Установка СКЗИ КриптоПро CSP

Для реализации шифрования по алгоритмам ГОСТ требуется установить СКЗИ КриптоПро CSP на сервер, на котором разворачивается контроллер домена, на сервер Центра сертификации (в случае, если служба ЦС располагается на отдельном сервере), на сервер или сервера, где разворачиваются службы удалённых рабочих столов и на компьютеры пользователей которые будут осуществлять доступ по RDP в соответствии с документацией по установке СКЗИ КриптоПро CSP. При этом на серверных машинах должна применяться серверная лицензия на КриптоПро CSP, на клиентских – клиентская.

Особенности [ править | править код]

Впервые данный компонент был выпущен как «Сервер терминалов» в «Windows NT Server 4.0 Terminal Server Edition», которая являлась отдельной операционной системой и включала встроенный Service Pack 3 и дополнительные исправления. Начиная с Windows 2000 данные компонент является частью операционных систем семейства Windows NT[1] и улучшается в каждой версии Windows[2]. В Windows Server 2008 R2 был переименован в «Службы удалённого рабочего стола» (RDS)[3].

В свою очередь RDS используется следующими компонентами:

  • Удалённый помощник
  • Подключение к удалённому рабочему столу
  • Быстрое переключение пользователей

Первые два являются отдельными утилитами, которые позволяют пользователю контролировать удалённые компьютеры. В случае удалённого помощника удалённый пользователь получает приглашение и управление осуществляется в кооперативном режиме. Во втором случае удалённый пользователь открывает новую сессию на удалённом компьютере с правами и ограничениями своего аккаунта. Быстрое переключение пользователей позволяет переключать физическую консоль между аккаунтами без выхода/входа в эти аккаунты[4].

Несмотря на то, что RDS поставляется с большинством версий Windows NT начиная с Windows 2000, его возможности различаются в разных версиях Windows. Например, Windows XP Home Edition не принимает удалённые подключения к рабочему столу, за исключением удалённого помощника. Другие версии Windows для рабочих станция принимают только одно удалённое подключение, блокируя при этом физическую консоль. Windows Server позволяет подключаться двум пользователям в одно и тоже время. Для большего количества пользователей необходимо докупать дополнительные лицензии[5].

Установка роли службы удаленных рабочих столов в Microsoft Server 2012

Для начала запустите «Диспетчер серверов»

Затем кликаем «Добавить роли и компоненты»

Переходим на вкладку «Роли сервера» и находим необходимую роль под названием «Службы удаленных рабочих столов» ставим галочку затем жмем «Далее»

Переходим в раздел «Службы ролей» так же кнопкой «Далее» на данной вкладке необходимо поставить галочку напротив «Лицензирование удаленных рабочих столов»

В открывшимся окне нажимаем «Добавить компоненты» затем нам понадобится «Узел сеансов удаленных рабочих столов» так же добавляем и эти компоненты и жмем «Далее»

Ставим галочку напротив пункта автоматического перезапуска и нажимаем «Установить»

После перезагрузки сервер терминалов будет работать, нам останется произвести необходимые настройки, связанные с лицензированием сервера терминалов.

Открываем «Диспетчер серверов» затем в верхнем меню ищем вкладку «Средства» затем «Terminal Services» и в завершении «Диспетчер лицензирования удаленных рабочих столов»

Как мы видим он у нас не активирован, после покупки лицензии кликаем правой кнопкой мыши и выбираем функцию «Активировать сервер»

В мастере активации сервера жмем «Далее»

В методе подключения оставляем «Авто (реком.)» затем «Далее»

В сведениях об организации заполняем обязательные поля, а именно на кого куплена лицензия и нажмите «Далее»

В новом окне заполняем дополнительные данные и жмем «Далее»

Для продолжения установки лицензии жмите «Далее»

После чего снова «Далее»

На данном этапе нужно выбрать версию лицензии, которую вы приобретали в раскрывающимся списке, в качестве примера будет рассмотрена версия «Соглашение Enterprise Agreement» затем снова «Далее»

Вводим номер соглашения и кликаем «Далее»

В «Версии продукта» указываем Windows Server 2012 затем во вкладке «Количество лицензий» укажем значение 50 в разделе «Тип лицензии» выбираем клиентская лицензия на пользователя, после ввода параметров переходим к следующему шагу кнопкой «Далее»

После установки лицензий жмем «Готово»

Теперь мы видим, что сертификат активирован

Для того что бы завершить установку службы удаленных рабочих столов в Server 2012 нам необходимо зайти в групповую политику, нажимаем сочетание клавиш WIN + R и вводит команду:

В появившимся окне ищем «Административные шаблоны» затем открываем ветку «Компоненты Windows» ищем «Службы удаленных рабочих столов» затем «Узел сеансов удаленных рабочих столов» и в правом окне находим папку «Лицензирование»

Перед вами открывается состояние лицензирования, выбираем раздел «Использовать указанные серверы лицензирования удаленных рабочих столов» затем в открывшийся вкладке ставим чекбокс на «Включено» и вписываем ip адрес сервера лицензирования в соответствующую вкладку и сохраняем изменения

Затем следующим этапом нужно «Задать режим лицензирования удаленных рабочих столов» так же ставим чекбокс на «Включено» и выбираем режим «На пользователя» ну и собственно говоря сохраняем настройки

На данном этапе лицензирование сервера терминалов завершено.

Иногда Server 2012 не видит некоторые устройства в локальной сети, для того что бы исправить данную проблему откройте «Диспетчер серверов» затем кликните по вкладке «Средства» и перейдите в пункт «Службы»

Нужно запустить 4 службы и проверить их работоспособность, если нет, то нужно их запустить

Первая служба это «DNS клиент» — она как видим выполняется

Вторая служба «Обнаружение SSDP» — тоже нужно активировать и поставить автоматическое выполнение

Следующая служба — это «Публикация ресурсов обнаружения функции» — так же проверяем работоспособность

Последняя служба «Узел универсальных PNP — устройств» — данная служба так же должна выполняться

Ну и собственно говоря для того что бы подключиться к удаленному рабочему столу, нажмите сочетание клавиш WIN + R затем и введите команду mstsc В появившимся окне впишите ip адрес компьютера к которому вы подключаетесь и нажмите «Подключить»

Ну собственно говоря настройка службы удаленных рабочих столов в Server 2012 завершена, если у вас остались вопросы относительно данной темы, пишите мне в комментарии и не забываем подписываться на рассылку, всем спасибо и удачи!

Отмена публикации приложений RemoteApp

В случае, когда удалённое приложение больше не используется, целесообразно отменить его публикацию. Рассмотрим выполнение этой операции на примере приложения Калькулятор.

Для того, чтобы вызвать мастер отмены публикации удалённых приложений RemoteApp нужно выбрать пункт Отменить публикацию удалённых приложений RemoteApp в меню Задачи на панели Удалённые приложения RemoteApp.

На первом шаге мастера выбираем из списка опубликованных приложений RemoteApp приложение, публикацию которого необходимо отменить. Можно выбрать все приложения и в таком случае после отмены их публикации станет возможен доступ к удалённому рабочему столу полностью.

В окне с подтверждением выбора предлагается проверить правильность выбранных приложений и нажать кнопку Отменить публикацию.

После успешного выполнения операции отмены публикации отобразится окно, сообщающее об этом.

Использование программы RemoteApp Tool

Создание RemoteApp подключения с помощью этой программы происходит гораздо проще и быстрее.

  • После установки и запуска программы в стартовом окне нажимаем на «+» в левом нижнем углу
  • В следующем окне указываем путь до исполняемого файла exe файла нужной нам программы и нажимаем «Открыть» в правом нижнем углу.
  • После этого в стартовом пространстве появится ярлык выбранного нами файла, выделим его и нажмем «Create Client Connection» для начала создания протокола подключения RemoteApp
  • Далее откроется окно создания RDP файла, здесь можно изменить настройки подключения или оставить по умолчанию, далее нажимаем «Create» в правом нижнем углу окна.
  • Выберем директорию, где будет сохранен файл и укажем для него название и нажмём «Сохранить» в правом нижнем углу

После создания файла подключения любым из способов его нужно передать удобным способом на клиентские компьютеры, с которых будут происходить подключения.

  • Запускаем файл и вводим учётные данные пользователя удаленной машины для подключения, нажимаем «Ок»
  • после чего запустится указанное приложение, в нашем случае: Microinvest Склад Про

Процесс использования приложений через RemoteApp создает впечатление того, что пользователь работает на своём пк, а не на удаленной машине. Таким образом мы обезопасим сервер от человеческих факторов, приводящих к повреждению системы и неработоспособности машины.

Борьба с “крестиком” терминального сеанса.

Вот он вредитель (на панели подключений при работе на полном экране) – сисадмины поймут всю боль

Проблема в том, что “крестик” только закрывает “Удаленный рабочий стол” на ПК пользователя, но оставляет на сервере открытую терминальную сессию. Если пользователей много – то все их сессии остаются на сервере открытыми и занимают память.

Варианты решений.

  1. Вообще убрать панель от пользователя – в настройках при создании удаленного рабочего стола (выход только через завершение сеанса)

2. Убрать сам “крестик” (выход только через завершение сеанса)

Есть специальная программа, которая крестик убирает. Смотреть здесь.

Борьба с “крестиком” терминального сеанса.

И будет вот так :)

3. Ограничить время сессии (пункты 1 и 2 могут не помочь, т.к. пользователь вообще может просто выключить свой ПК и пойти домой).

Вот мечта всех админов – при закрытии (нажатии на крестик) происходит и закрытие рабочего стола и закрытие терминальной сессии на сервере. Смотреть на support Miscosoft (в новом окне)

Включаем Require secure RPC communication для RDP

Данный параметр действует аналогично настройкам для Secure RPC, которые есть в разделе Security групповой политики и действуют на всю систему, только настраивается проще. Включив этот параметр Вы сделаете обязательным для всех клиентских RPC-запросов шифрование (в зависимости от настроек системы “нижняя планка” шифрования будет разной – RC4/DES или, в случае включения FIPS-140 – 3DES/AES) и использование как минимум NTLMv2 для аутентификации удалённого вызова процедур. Всегда включайте этот параметр. Есть миф про то, что он не работает во внедоменной среде. Это не так, и усиление защиты RPC никому не помешает.

Это – серверная настройка. Откройте в нужном объекте групповой политики Computer Configuration -> Policies -> Administrative Templates -> Windows Components -> Remote Desktop Services -> Remote Desktop Session Host -> Security, выберите там параметр Require secure RPC communication и включите его. Заключение

Так как все уже давно вытащили сервера на внешние площадки за бугром, то этот материал является Я надеюсь, что данный материал будет Вам полезен для оптимизации и защиты RDP. Если я что-то пропустил – прошу в комментарии.

1 Звезда2 Звезды3 Звезды4 Звезды5 Звезд (Пока оценок нет)
Загрузка...
Понравилась статья? Поделиться с друзьями:
Adblock
detector