什么是远程桌面网关服务器？

今天在博文上看到有一【MS朋友http://bisheng.blog.51cto.com/409831/131644】写得这么一句话：

 

我很自信，只要能看网页地方，咱就能上服务器。。嚯嚯，这可是MS自己的技术喔。

 

引导我继续往下看，这里实际说的是MS 的远程桌面服务--里面的 远程桌面网关，虽然自己没部署过，但大概了解，因为有些企业出于安全的考虑，把访问内外网的3389端口给屏蔽，只有一些常用的网络端口保留，如何：HTTP:80, HTTPS:443,而这时，如果你恰好部署了WIN2008 TS，那就好办事了

 

 

 

 

----------------------------Win7帮助文件---------------------------------------

http://technet.microsoft.com/zh-cn/library/cc731150(WS.10).aspx

远程桌面网关概述

应用到: Windows Server 2008

什么是远程桌面网关？

远程桌面网关（RD 网关）是一个角色服务，使授权远程用户可以从任何连接到 Internet 并且可以运行远程桌面连接 (RDC) 客户端的设备连接到内部企业网络或专用网络上的资源。网络资源可以是远程桌面会话主机（RD 会话主机）服务器、运行 RemoteApp 程序的RD 会话主机服务器或启用了远程桌面的计算机。

RD 网关使用 HTTPS 上的远程桌面协议 (RDP) 在 Internet 上的远程用户与运行其生产力应用程序的内部网络资源之间建立安全的加密连接。

为什么使用远程桌面网关？

RD 网关有许多优点，其中包括：

• 通过 RD 网关，远程用户可以使用加密连接，通过 Internet 连接到内部网络资源，而不必配置虚拟专用网络 (***) 连接。
• RD 网关提供全面的安全配置模型，使您可以控制对特定内部网络资源的访问。RD 网关提供点对点的 RDP 连接，而不是允许远程用户访问所有内部网络资源。
• 通过 RD 网关，大多数远程用户可以连接到在专用网络中的防火墙后面或跨网络地址转换程序 (NAT) 托管的内部网络资源。在此方案中，通过 RD 网关，不必对 RD 网关服务器或客户端执行其他配置。
  在此版本的 Windows Server 之前，采用安全措施来阻止远程用户跨防火墙和 NAT 连接到内部网络资源。这是由于出于网络安全考虑，通常阻止端口 3389（用于 RDP 连接的端口）。RD 网关使用 HTTP 安全套接字层/传输层安全 (SSL/TLS) 隧道将 RDP 通信传输到端口 443。由于大多数公司打开端口 443 来支持 Internet 连接，所以，RD 网关利用此网络设计提供跨多个防火墙的远程访问连接。
• 通过远程桌面网关管理器可以配置授权策略，以定义远程用户要连接到内部网络资源必须满足的条件。例如，可以指定：
  • 可以连接到内部网络资源的用户（即，可以连接的用户组）。
  • 用户可以连接到的网络资源（计算机组）。
  • 客户端计算机是否必须是 Active Directory 安全组的成员。
  • 是否允许设备的重定向。
  • 客户端需要使用智能卡身份验证还是密码身份验证，还是可以使用任一方法。
• 可以将 RD 网关服务器和远程桌面服务客户端配置为使用网络访问保护 (NAP) 来进一步增强安全性。NAP 是 Windows Server? 2008 R2、Windows Server? 2008、Windows? 7、Windows Vista? 和 Windows(R) XP Service Pack 3 中包含的运行状况策略创建、强制和补救技术。通过 NAP，系统管理员可以强制运行状况要求，可以包括软件要求、安全更新要求、所需的计算机配置以及其他设置。

  备注

  如果 RD 网关强制 NAP，则运行 Windows Server 2008 R2 或 Windows Server 2008 的计算机不能作为 NAP 客户端使用。如果 RD 网关强制 NAP，则仅运行 Windows 7、Windows Vista 或 Windows XP SP3 的计算机可以作为 NAP 客户端使用。

  有关如何将 RD 网关配置为使用 NAP 对连接到 RD 网关服务器的远程桌面服务客户端强制运行状况策略的信息，请参阅 Windows Server 2008 R2 技术中心上的“远程桌面服务”页 [http://go.microsoft.com/fwlink/?linkid=140433（可能为英文网页）]。

• 可以将 RD 网关服务器与 Microsoft Internet Security and Acceleration (ISA) 服务器一起使用来提高安全性。在此方案中，可以在专用网络中（而不是在外围网络中）托管 RD 网关服务器，且可以在外围网络中托管 ISA 服务器。远程桌面服务客户端与 ISA 服务器之间的安全套接字层 (SSL) 连接可以在连接到 Internet 的 ISA 服务器上终止。
  有关如何将 ISA 服务器配置为 RD 网关服务器方案的 SSL 终结设备的信息，请参阅 Windows Server 2008 R2 技术中心上的“远程桌面服务”页 [http://go.microsoft.com/fwlink/?linkid=140433（可能为英文网页）]。
• 远程桌面网关管理器提供的工具帮助您监视 RD 网关服务器状态和事件。通过使用远程桌面网关管理器，可以指定为了进行审核要监视的事件（例如尝试连接到 RD 网关服务器不成功）。

----------------

部署文档  

 

http://technet.microsoft.com/zh-cn/library/cc770690(WS.10).aspx

 

安装远程桌面网关角色服务

应用到: Windows Server 2008

在您要配置的 RD 网关服务器上具有本地“管理员”组成员身份（或同等身份），是完成此过程的最低要求。 查看有关使用适当帐户和组成员关系的详细信息，请访问 http://go.microsoft.com/fwlink/?LinkId=83477（可能为英文链接）。

安装远程桌面网关角色服务

1. 打开服务器管理器。 要打开“服务器管理器”，请单击“开始”，指向“管理工具”，然后单击“服务器管理器”。

2. 如果未安装远程桌面服务角色，请执行下列操作：

   1. 在服务器管理器中的“角色摘要”下，单击“添加角色”。
   2. 在“添加角色向导”中，如果出现“开始之前”页，单击“下一步”。如果已安装了其他角色并且选中了“默认情况下将跳过此页”复选框，则不会出现此页。
   3. 在“选择服务器角色”页上的“角色”下，选择“远程桌面服务”，然后单击“下一步”。
   4. 在“远程桌面服务”页上，单击“下一步”。
   5. 在“选择角色服务”页上，选中“远程桌面网关”复选框。
   6. 如果系统提示您指定是否要安装远程桌面网关必需的其他角色服务，请单击“添加必需的角色服务”。
   7. 在“选择角色服务”页上，单击“下一步”。

   如果已安装远程桌面服务角色，请执行下列操作：

   1. 在“角色摘要”下，单击“远程桌面服务”。
   2. 在“角色服务”下，单击“添加角色服务”。
   3. 在“选择角色服务”页上，选中“远程桌面网关”复选框，然后单击“下一步”。
   4. 如果系统提示您指定是否要安装远程桌面网关必需的其他角色服务，请单击“添加必需的角色服务”。
   5. 在“选择角色服务”页上，单击“下一步”。

3. 在“选择 SSL 加密的服务器身份验证证书”页上，指定为 SSL 加密选择现有证书（推荐），为 SSL 加密创建自签名证书，还是以后再为 SSL 加密选择证书。如果要完成没有证书的新服务器的安装，有关证书要求以及如何获取并安装证书的信息，请参阅获取远程桌面网关服务器的证书。

   在“为 SSL 加密选择现有证书(推荐)”选项下，只有适合 RD 网关角色服务并且具有特定用途（服务器身份验证）和增强型密钥用法 (EKU) [服务器身份验证 (1.3.6.1.5.5.7.3.1)] 的证书将出现在证书列表中。如果选中此选项，请单击“导入”，然后导入新证书。未满足这些要求的证书不会显示在该列表中。

4. 在“为 RD 网关创建授权策略”页上，指定是在安装远程桌面网关角色服务过程中还是在安装之后创建授权策略（RD CAP和RD RAP）。如果选择“以后”，则按照创建 RD CAP 中的过程创建此策略。如果选择“现在”，则执行下列操作：

   1. 在“选择可以通过 RD 网关连接的用户组”页上，单击“添加”指定其他用户组。在“选择组”对话框中，指定用户组的位置和名称，然后根据需要单击“确定”，以检查名称和关闭“选择组”对话框。
      若要指定多个用户组，请执行下列任一操作：键入每个用户组的名称，使用分号分隔每个组的名称；或通过对每个组重复此步骤，添加不同域中的其他组。
   2. 完成其他用户组的指定之后，在“选择可以通过 RD 网关连接的用户组”页上，单击“下一步”。
   3. 在“为 RD 网关创建 RD CAP”页上，接受 RD CAP 的默认名称 (RD_CAP_01) 或指定新名称，选择一个或多个受支持的 Windows 身份验证方法，然后单击“下一步”。
   4. 在“为 RD 网关创建 RD RAP”页上，接受 RD RAP 的默认名称 (RD_RAP_01) 或指定新名称，然后执行下列任一操作：指定是只允许用户连接到一个或多个计算机组中的计算机，然后指定计算机组；还是指定用户可以连接到网络上的任意计算机。单击“下一步”。

5. 在“网络策略和访问服务”页上（如果尚未安装此角色服务，则出现该页），查看摘要信息，然后单击“下一步”。

6. 在“选择角色服务”页上，验证是否已选中“网络策略服务器”，然后单击“下一步”。

7. 在“Web 服务器(IIS)”页上（如果尚未安装此角色服务，则出现该页），查看摘要信息，然后单击“下一步”。

8. 在“选择角色服务”页上，接受“Web 服务器(IIS)”的默认选择，然后单击“下一步”。

9. 在“确认安装选择”页上，验证是否将安装下列角色服务：

   • 远程桌面服务\RD 网关
   • 网络策略和访问服务\网络策略服务器
   • Web 服务器(IIS)
   • HTTP 代理上的 RPC

10. 单击“安装”。

11. 在“安装进度”页上，将注明安装进度。

    如果其中任何角色、角色服务或功能已安装，将只注明正在安装的新角色、角色服务或功能的安装进度。

12. 在“安装结果”页上，确认这些角色、角色服务和功能的安装已成功，然后单击“关闭”

 

----------

WIN7 MSTSC客户端图