Настройка RDP-сервера Windows 2016

Обновлено: 30.06.2024

Узнайте, как включить сеансы протокола удаленного рабочего стола (RDP) в Windows Server 2016 для администрирования серверных ПК из любого места.

Протокол удаленного рабочего стола (RDP) — это собственный протокол удаленного доступа Microsoft, который используется системными администраторами Windows для удаленного управления системами Windows Server. Что отличает RDP, скажем, от удаленного взаимодействия Windows PowerShell или Secure Shell (SSH), так это наличие полного графического рабочего стола, как показано на рис. 1.

По умолчанию серверный компонент RDP прослушивает входящие подключения через TCP-порт 3389 по умолчанию, хотя это может быть изменено администратором из соображений безопасности.

Несомненно, Microsoft в настоящее время настаивает на том, чтобы администраторы уменьшили свою зависимость от RDP и вместо этого (а) развернули серверы Windows в режиме Server Core или Nano; и (б) использовать удаленное администрирование Windows PowerShell из командной строки вместо RDP.

Microsoft обосновывает этот совет двояко:

Уровень GUI потребляет ненужные системные ресурсы.
Уровень графического интерфейса расширяет поверхность атаки ваших серверов

Несмотря на это, многие администраторы привыкли к удаленному администрированию на основе RDP и стремятся сделать это даже в недавно выпущенной операционной системе Windows Server 2016. Давайте узнаем, как включить RDP в Server 2016 (tl;dr: процесс идентичен Windows Server 2012 R2).

Диспетчер серверов

Откройте консоль диспетчера серверов, перейдите к узлу «Локальный сервер» и щелкните гиперссылку «Удаленный рабочий стол», как показано на рис. 2.

Гиперссылка на удаленный рабочий стол — это просто ярлык для страницы «Свойства системы» из элемента «Панель управления системой». Выберите Разрешить удаленные подключения к этому компьютеру и при необходимости включите параметр Разрешить подключения только с компьютеров, на которых работает Remote Destkop с проверкой подлинности на уровне сети (рекомендуется).

Проверка подлинности на уровне сети (NLA) защищает Windows Server от атак типа "отказ в обслуживании" (DoS), требуя проверки подлинности до того, как сервер установит какой-либо графический сеанс. NLA также экономит системные ресурсы сервера.

Windows PowerShell

С точки зрения более низкого уровня входящие RDP-подключения на сервере разрешены с помощью двух параметров реестра и правила брандмауэра Windows.
Откройте сеанс Windows PowerShell с повышенными привилегиями и выполните следующие команды. Первый создает значение fDenyTSConnections и устанавливает для него значение 0 (выключено). Это имеет смысл, потому что мы не хотим запрещать подключения служб терминалов (TS).

New-ItemProperty -Path 'HKLM:SystemCurrentControlSetControlTerminal Server' -Name 'fDenyTSConnections' -Value 0 -PropertyType dword -Force

Следующая команда создает и включает значение UserAuthentication (аутентификация сетевого уровня); NLA — это хорошая идея, и вам следует подумать о том, чтобы включить его по умолчанию на своих серверах.

New-ItemProperty -Path 'HKLM:SystemCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp' -Name 'UserAuthentication' -Value 1 -PropertyType dword -Force

Следующая команда включает предопределенное правило брандмауэра Windows «Удаленный рабочий стол». Затем мы можем вызвать командлет PowerShell Get-NetFirewallRule для проверки, как показано на рис. 3.
Enable-NetFirewallRule -DisplayGroup 'Remote Desktop'

Групповая политика

Скорее всего, вы хотите стандартизировать поведение RDP на всех серверах вашей инфраструктуры. Поэтому для достижения этой цели мы обращаемся к групповой политике.

Начните с создания, связывания и определения области действия нового объекта групповой политики (GPO), нацеленного на серверы, которые должны совместно использовать настройки сервера RDP.

Затем перейдите к следующему пути групповой политики и добавьте новую запись «Группы с ограниченным доступом» (показана на рис. 4):
Конфигурация компьютераПолитикиНастройки WindowsНастройки безопасностиГруппы с ограниченным доступом

Вы можете настроить членство во встроенной на серверах группе пользователей удаленного рабочего стола; члены этой группы могут устанавливать сеансы RDP с сервером. Обратите внимание, что локальная группа «Администраторы» (и, соответственно, глобальная группа «Администраторы домена») автоматически получает эту привилегию в Active Directory.

Управляют следующие три параметра групповой политики:

Исключения RDP для входящих запросов брандмауэра Windows
Право пользователя на создание сеансов RDP
Требование NLA

Конфигурация компьютераАдминистративные шаблоныСетьСетевые подключенияБрандмауэр WindowsПрофиль доменаБрандмауэр Windows: Разрешить входящие исключения для удаленного рабочего стола

Конфигурация компьютераАдминистративные шаблоныКомпоненты WindowsСлужбы удаленных рабочих столовУзел сеансов удаленных рабочих столовПодключенияРазрешить пользователю удаленное подключение с помощью служб удаленных рабочих столов

Конфигурация компьютераАдминистративные шаблоныКомпоненты WindowsСлужбы удаленных рабочих столовУзел сеансов удаленных рабочих столовБезопасность узлаТребовать аутентификацию пользователя для удаленных подключений с помощью NLA

Создание клиентского подключения

Клиент Windows и Windows Server включают клиент Microsoft RDP, называемый подключением к удаленному рабочему столу. Мой любимый способ вызвать этот инструмент:

Нажмите КЛАВИШИ WINDOWS+R

Введите mstsc (что означает «Клиент служб терминалов Microsoft»)

На рис. 5 показан пользовательский интерфейс подключения к удаленному рабочему столу.

Что хорошо в клиентах RDP, так это то, что они доступны практически для любой настольной или мобильной операционной системы. Вот репрезентативный список:

Android: удаленный рабочий стол Microsoft
iOS: удаленный рабочий стол Microsoft
Linux: rdesktop
macOS: удаленный рабочий стол Microsoft
Windows Phone: удаленный рабочий стол Microsoft

Обратите внимание, что Windows Server поддерживает только два одновременных сеанса RDP одновременно. Если вам нужно больше, вам придется установить роль сервера узла сеансов служб удаленных рабочих столов (RDS) и приобрести дополнительные лицензии на подключение RDS у Microsoft.

Заключительные мысли

Если вы настроили RDP в предыдущих версиях Windows Server, вы обнаружите, что Windows Server 2016 ведет себя точно так же. Имейте в виду, однако, что постоянно расширяющееся использование Microsoft концепции безопасности «предположим нарушение» и гибридного облачного сценария и сопровождающей его философии «управляйте стадами, а не домашними животными» означает, что акцент делается на автоматизации командной строки, а не на включении-выключении RDP. Сеансы графического интерфейса.

Для включения служб удаленных рабочих столов (служб терминалов) рекомендуется использовать диспетчер серверов. Вы должны войти в систему как администратор.

Следующие шаги объясняют, как установить службы удаленных рабочих столов (службы терминалов) на компьютер с Windows Server, а затем установить iFIX.

Чтобы установить службу удаленного рабочего стола на компьютер с Windows Server:

Запустите диспетчер Windows Server. Появится панель управления диспетчером серверов.
Выберите «Управление» на панели инструментов в правом верхнем углу экрана. Появится раскрывающееся меню.
В этом меню выберите "Добавить роли и функции".
Если появится экран «Перед началом работы», прочтите информацию и нажмите «Далее».

ПРИМЕЧАНИЕ. Вы можете подтвердить целевой сервер в любое время, проверив имя целевого сервера в правом верхнем углу мастера.

Выберите сервер из пула серверов. Используйте эту опцию, чтобы выбрать сервер из пула серверов на вашем локальном компьютере. Подтвердите назначение, указав целевой сервер в правом верхнем углу мастера.
Выберите виртуальный жесткий диск. Используйте этот параметр, чтобы выбрать локальный или удаленный файл виртуального жесткого диска Windows Server. Допустимыми местами назначения являются только виртуальные жесткие диски, содержащие операционную систему Windows Server 2016 или 2019. Пустые виртуальные жесткие диски или жесткие диски, содержащие операционную систему, отличную от Windows Server 2016 или 2019, не будут работать.

На экране «Выбор ролей сервера» установите флажок «Службы удаленных рабочих столов» и нажмите «Далее». Когда вы выбираете роль, ее описание появляется на правой панели.
На экране "Выбор компонентов" выберите один или несколько компонентов для установки на выбранный сервер. Затем нажмите Далее. Это устанавливает функции, определенные Windows, с целевого сервера. Появится экран Службы удаленных рабочих столов.
Прочитайте описание служб удаленных рабочих столов и нажмите "Далее".
На экране "Выбор служб ролей" выберите следующие пять служб и нажмите "Далее":

Посредник подключения к удаленному рабочему столу
Шлюз удаленных рабочих столов
Лицензирование удаленного рабочего стола
Узел сеанса удаленного рабочего стола
Веб-доступ к удаленному рабочему столу

ПРИМЕЧАНИЕ. При установке вышеуказанных функций появляется окно, в котором добавляются некоторые функции, связанные с вышеуказанными службами.

Нажмите «Добавить», чтобы добавить функции. Отобразится экран «Сетевая политика и служба доступа».
Прочитайте описание на этой странице, прежде чем нажимать "Далее". Появится экран "Выбор ролевых служб".
Примите выбор по умолчанию, Сервер политики сети, а затем нажмите кнопку Далее. Появится экран подтверждения выбора установки.
Нажмите «Установить». На этом экране отображаются ранее выбранные роли и функции, предназначенные для добавления с целевого сервера. Дополнительные параметры доступны на панели подтверждения. Для установки этой функции появится индикатор выполнения.
После завершения установки нажмите "Закрыть".
Перезагрузите компьютер.

Чтобы установить iFIX на удаленный рабочий стол:

Войдите на удаленный рабочий стол (сервер терминалов) в качестве члена группы администраторов локального компьютера.
Вставьте установочный DVD iFIX.

ПРИМЕЧАНИЕ. Выполните шаги 3–4 или просто вставьте DVD. Установка iFIX выбирает правильный режим установки.

В Панели управления Windows > Все элементы панели управления выберите Установить приложение на удаленный рабочий стол. Появится экран «Установка программы с дискеты или компакт-диска».
Нажмите «Далее». Появится начальный экран iFIX.
Нажмите «Установить iFIX».

ВАЖНО: НЕ нажимайте кнопку "Готово" или "Отмена" до завершения установки.

Когда при установке продукта будет предложено выбрать тип установки, выберите "Полная".
Выполните оставшуюся часть установки.
После завершения установки на экране "Завершить установку администратора" нажмите "Готово".
Перезагрузите компьютер.

Как мне.

У вас не последняя версия iFIX! Вы упускаете новейшие возможности и повышенную безопасность.

Информацию обо всех новейших функциях см. на странице продукта iFIX.

Для получения дополнительной информации об обновлениях обратитесь к торговому агенту GE Digital или напишите по электронной почте [email protected] .

Самую актуальную документацию можно найти здесь.

iFIX 6.1. © 2020, Компания Дженерал Электрик. Все права защищены. GE, GE Monogram и Predix являются либо зарегистрированными товарными знаками, либо товарными знаками General Electric Company. Все остальные товарные знаки являются собственностью соответствующих владельцев.

Руководства, учебные пособия, обзоры и новости для системных администраторов.

Как включить удаленный рабочий стол в Windows Server 2016

По умолчанию в Windows Server 2016 удаленный рабочий стол отключен.

Здесь мы расскажем, как включить и активировать протокол удаленного рабочего стола (RDP).

Примечание. В выпуске Windows Server 2016 Essentials удаленный рабочий стол уже включен по умолчанию, поэтому вам не нужно делать это вручную.

Удаленный рабочий стол можно включить через графический интерфейс пользователя (GUI), выполнив следующие простые действия.

Разрешение удаленного рабочего стола

Откройте диспетчер серверов. По умолчанию диспетчер сервера открывается при входе в графический интерфейс, в противном случае его можно выбрать на панели задач.
В окне диспетчера серверов выберите Локальный сервер с левой стороны. Возможно, вам придется немного подождать, пока он обнаружит текущее состояние вашей системы. Вы должны увидеть, что удаленный рабочий стол указан как отключен, как показано ниже.

Все, теперь удаленный рабочий стол готов к использованию!

Обзор

По умолчанию Windows Server 2016 отключает доступ к внешнему удаленному рабочему столу в качестве меры безопасности, мы можем легко включить его из консоли сервера для всех или определенного набора пользователей или групп.

Связанные

27 комментариев.

Это относится и к лицензии на версию Essentials?
Спасибо,
Франческа

Я только что установил Essentials на виртуальную машину, чтобы проверить это для вас. По умолчанию удаленный рабочий стол уже включен, поэтому нет необходимости включать его вручную.

Как включить RDP для систем Windows 7 в Windows Server 2016. Я могу успешно использовать RDP из Windows 10

Что происходит, когда вы пытаетесь сделать это в Windows 7? В настоящее время он не запущен, поэтому я не могу проверить, но я могу создать виртуальную машину для дальнейшего изучения, если вы предоставите дополнительную информацию.

У меня также есть эта проблема, я просто получаю сообщение об ошибке, что rdp может быть отключен

Вы можете предоставить сообщение об ошибке?

Вы выяснили, как подключить системы Windows 7 к RDP в Windows Server 2016?

Спасибо за этот урок. Кстати, как я могу включить диспетчер задач для пользователей rds? Только введя пароль администратора, они могут получить доступ к диспетчеру задач. Я должен включить этот ресурс, как это было на ws2012. Пользователи должны иметь разрешение на управление только своими процессами.

Вы включили RDP на виртуальной машине Windows Server 2016? Проверьте правила брандмауэра Windows и убедитесь, что это разрешает входящий доступ к порту 3389, если вы не уверены, что можете временно отключить брандмауэр, чтобы увидеть, имеет ли это значение или нет. Вы также можете попробовать отключить NLA в параметрах RDP на сервере. Вы можете увидеть событие, когда это происходит в журналах на сервере? Посмотрите в средстве просмотра событий.

включил это правило, и оно заработало, спасибо.

Кроме того, вы можете использовать такие инструменты, как logmein, серверы удаленной поддержки R-HUB и т. д., для удаленного доступа к серверу Windows 2016. Они хорошо работают.

«Как включить удаленный рабочий стол в Windows Server 2016» — это то, что я хотел не знать, а не «Как подключиться через удаленный рабочий стол к серверу»… что и объясняется в этой статье!! Хммм!!

Он даже не показывает, как подключиться, только как включить его через диспетчер серверов.

Спасибо, мне очень помогло

В дополнение к вышесказанному (в Windows Server 2016) мне пришлось добавить пользователя в:

«Локальная политика безопасности» -> «Параметры безопасности» -> «Локальные политики» -> «Назначение прав пользователя» -> «Разрешить вход через службы удаленных рабочих столов»

win7 (в рабочей группе) необходимо подключиться через RDP к серверу win2016 -> пользователь является учетной записью администратора домена — подключение отклонено

Открыт ли порт и можно ли получить к нему доступ с компьютера под управлением Windows 7? Вам вообще предлагают ввести учетные данные?

Доступ к моим локальным клиентским дискам и буферу обмена недоступен при подключении к виртуальной машине Windows 2016. Для этого были включены параметры клиента. Любая помощь приветствуется

Здравствуйте! Вам нужна клиентская лицензия для доступа к удаленному рабочему столу? Спасибо

Я думаю, что по умолчанию вы получаете одновременно 2 пользователя, которые входят в систему, тогда вы, вероятно, так и сделаете, на самом деле не изучив особенности лицензирования для 2016 года.

Привет всем! почему server 2016 не требует перезагрузки после включения удаленного рабочего стола. Не могли бы вы помочь мне, пожалуйста?

Это просто не требуется.

Если вы находитесь в среде активного каталога (контроллер домена), перейдите на компьютер, к которому вы пытаетесь получить удаленный доступ, в Панель управления > Система и безопасность > Система > Дополнительные параметры системы > Удаленный >
На удаленном рабочем столе выберите «Разрешить подключение с компьютеров, на которых запущена любая версия удаленного рабочего стола (менее безопасная) — эта опция менее безопасна, но работает. Убедитесь, что на удаленном рабочем столе больше ничего не выбрано, снимите все остальные флажки .

Также проверьте, запущены ли службы удаленного рабочего стола, если они не запускают службу. Если он уже запущен, попробуйте обновить его, перезапустив .

В мастере на странице "Перед началом" нажмите "Далее".

На странице "Выбор типа установки" выберите "Установка служб удаленных рабочих столов" и нажмите "Далее".

На странице "Выбор типа развертывания" выберите "Быстрый старт" и нажмите "Далее".

На странице "Выбор сценария развертывания" выберите "Развертывание рабочего стола на основе сеанса" и нажмите "Далее".

Поскольку мы сделали выбор быстрого запуска, роли посредника соединений, веб-доступа и узла сеансов будут установлены на одном сервере. Нажмите "Далее".

На странице подтверждения установите флажок Автоматический перезапуск целевого сервера, если требуется, и нажмите Развернуть

Когда вы нажмете кнопку Развернуть, появится окно прогресса. После перезагрузки системы убедитесь, что все службы настроены успешно, и нажмите «Закрыть».

Вот и все. Мы можем получить доступ к службам удаленных рабочих столов через диспетчер серверов, если щелкнем ссылку службы удаленных рабочих столов на левой панели.

Нажав на нее, вы окажетесь перед «Диспетчером RDS».

При выборе типа быстрого развертывания коллекция (QuickSessionCollection) и программы удаленных приложений уже настроены.

Коллекции разделяют узлы сеансов удаленных рабочих столов на отдельные фермы и позволяют администраторам организовывать ресурсы. (Подробнее о коллекциях и свойствах коллекций я расскажу в своем посте «Цель коллекций RD»).

Как видите, в развертывании отсутствуют сервер шлюза удаленных рабочих столов и сервер лицензирования удаленных рабочих столов.

Нажмите зеленую кнопку "Добавить сервер лицензирования удаленных рабочих столов".

Выбрать сервер, Далее

Подтвердите выбор и нажмите «Добавить». Подождите, пока служба роли не будет развернута, и нажмите "Закрыть".

Далее нам нужно добавить шлюз удаленных рабочих столов. Нажмите зеленую кнопку Добавить сервер шлюза удаленных рабочих столов.

Выбрать сервер, Далее

Когда мы пройдем через мастер, он создаст самозаверяющий SSL-сертификат. Чуть позже я заменю этот сертификат на Trusted. На странице имени SSL-сертификата я введу полное доменное имя моего RDS-сервера rds01.mehic.se

Нажмите "Далее" и "Добавить". Подождите, пока служба роли не будет развернута, и нажмите «Настроить сертификат», чтобы просмотреть параметры сертификата

(OBS. Я расскажу больше о свойствах развертывания в серии статей "Изучение свойств развертывания")

Обратите внимание, что уровень сертификата в настоящее время имеет статус «Не настроен». Сертификат шлюза удаленных рабочих столов используется для связи между клиентом и шлюзом, и клиенты должны доверять ему. Либо установите самозаверяющий сертификат на всех клиентах, либо используйте сертификат, для которого все клиенты уже доверяют всей цепочке сертификатов. Как сказано в мастере, внешнее полное доменное имя должно быть в сертификате.

Прежде чем мы создадим новый сертификат, нам нужно настроить DNS, чтобы внешние пользователи могли преобразовать имя шлюза удаленных рабочих столов в правильный IP-адрес. Вы настроите его на своем внешнем DNS (размещенном DNS или DNS у вашего интернет-провайдера), над которым мы не имеем контроля, но который доступен из Интернета.

В этом случае мой «внешний DNS» (МАРШРУТИЗАТОР - машина в моей внешней сети) будет обрабатывать DNS для внешней сети.

Если я попытаюсь проверить связь со своим шлюзом с внешнего компьютера с Windows 10, проверка связи завершится ошибкой.

Все работает внутри

Откройте Диспетчер DNS и перейдите к Зонам прямого просмотра. Щелкните правой кнопкой мыши Зоны прямого просмотра и выберите Новая зона

На странице "Добро пожаловать на страницу мастера создания новой зоны" нажмите "Далее". На странице «Тип зоны» примите значения по умолчанию и нажмите «Далее».

На странице «Имя зоны» введите имя зоны, в моем случае mehic.se, и нажмите «Далее».

На странице "Файл зоны" на странице "Динамическое обновление" примите значения по умолчанию и нажмите "Готово".

После завершения щелкните правой кнопкой мыши новую зону и выберите "Новый хост" (A или AAAA)

В реальной жизни вы должны ввести внешний IP-адрес вашего NAT-маршрутизатора или брандмауэра, общедоступный IP-адрес, ближайший к шлюзу. В моем случае я не использую NAT и не использую брандмауэры, поэтому я укажу его внутренний IP-адрес

Я также добавлю свой IP-адрес ЦС.

Теперь, если я попытаюсь проверить связь с моей «внешней машины», проверка связи будет работать.

Попробуем подключиться к RDCB с помощью RDP. Просто откройте «Выполнить» (кнопка Windows + R) и введите mstsc. Введите имя RDCB и нажмите вкладку «Дополнительно»

Дополнительно –> Настройки, укажите Шлюз удаленных рабочих столов и нажмите ОК и Подключиться.

Появится всплывающее окно "Безопасность Windows".Введите учетные данные и нажмите OK, и вы столкнетесь с этой ошибкой.

Мы получили это сообщение об ошибке, потому что мы не настроили сертификат, который является нашей второй предпосылкой.

В реальной жизни вы бы приобрели этот сертификат в публичном центре сертификации (GoDaddy, VeriSign и т. д.). Этот сертификат должен содержать полное доменное имя, которое вы будете использовать в качестве URL-адреса веб-доступа к удаленным рабочим столам (у меня это rds01.mehic.se). Он должен быть в формате .pfx, и в нем должен быть закрытый ключ. В моем случае я буду использовать свой частный ЦС. (Если вы не знакомы или у вас нет частного центра сертификации, ознакомьтесь с моей серией статей Mastering Windows Server 2016, чтобы узнать, как установить центр сертификации)

Откройте Диспетчер серверов –> Инструменты –> Центр сертификации

В оснастке ЦС щелкните правой кнопкой мыши Шаблон сертификата и выберите Управление

Откроется оснастка шаблона сертификата. Что нам нужно сделать, так это выбрать один из этих шаблонов и скопировать его, чтобы мы могли настроить его для наших целей. С удаленными рабочими столами большинство сертификатов, которые нам нужны, предназначены для SSL. Щелкните правой кнопкой мыши шаблон веб-сервера и выберите Дублировать шаблон

Откроется окно нового шаблона. Первое, что я собираюсь сделать, это изменить имя сертификата на MEHIC SSL на вкладке «Общие».

Затем нажмите вкладку "Обработка запросов" и установите флажок "Разрешить экспорт закрытого ключа".

Мы можем многое сделать, но самое главное — это разрешение. Поэтому нажмите на вкладку «Безопасность» и дайте прошедшим проверку пользователям право на регистрацию и автоматическую регистрацию. ( OBS . В реальной жизни вы можете захотеть заблокировать этот сертификат для определенных людей, но в данном случае это не важно. ) Я также собираюсь добавить компьютеры в домен и дать им разрешение на чтение, регистрацию и автоматическую регистрацию. Нажмите OK, когда это будет сделано.

Теперь нам нужно взять этот шаблон и опубликовать его в ЦС. Для этого щелкните правой кнопкой мыши Шаблоны сертификатов –> Создать –> Шаблон сертификата для выдачи

Выберите наш только что созданный сертификат и нажмите OK. Когда вы нажмете OK, вы сможете увидеть его в списке сертификатов, которые были опубликованы в ЦС.

Последний шаг — зарегистрировать сертификат. Переключитесь на RDS01 и откройте MMC (кнопка Windows + R и введите mmc). Щелкните правой кнопкой мыши Личные -> Все задачи -> Запросить новый сертификат

На странице Прежде чем начать и выберите политику регистрации сертификатов нажмите Далее. На странице запроса сертификата выберите MEHIC SSL и щелкните ссылку Требуется дополнительная информация…. (Для SSL мы должны предоставить другую информацию)

Измените Тип имени субъекта на Обычное имя и добавьте точное имя сервера или веб-сайта, который вы используете. Сначала я добавлю одно имя ярлыка rds01, а затем полное доменное имя rds01.mehic.se, нажмите OK

Это позволяет мне зарегистрироваться, и тогда вы увидите, что я преуспел. Нажмите Готово

Теперь в разделе «Личное» я могу подняться и щелкнуть «Сертификаты», и там будет сертификат, который я запросил. Далее нам нужно экспортировать сертификат с закрытым ключом и настроить его для использования в gateway, rdwa, rdcb.

Щелкните правой кнопкой мыши –> Все задачи –>Экспорт