Uzak Masaüstü Ağ Geçidini Windows Sunucusuna Kurma

Uzak Masaüstü Ağ Geçidi , bir HTTPS ağ geçidi aracılığıyla İnternet'ten uzak masaüstlerine ve yayınlanan RemoteApps'e güvenli erişim sağlamak için kullanılan, Windows Server üzerindeki bir Uzak Masaüstü Hizmetleri rolüdür. RD Ağ Geçidi rolüne sahip bir sunucu, harici RDP istemcileri ile dahili RD hizmetleri arasında aracı görevi görür. RDGW kullanırken, kullanıcıların kurumsal bir ağda RDS'ye bağlanmak için bir VPN yapılandırmasına gerek yoktur. Bağlanmak için standart Uzak Masaüstü Bağlantısı istemcisi (mstsc.exe) kullanılır. Bu yazıda, Uzak Masaüstü Ağ Geçidi'nin Windows Server 2019'da nasıl dağıtılacağına bakalım (kılavuz ayrıca Windows Server 2022/2016 ve 2012 R2 için de geçerlidir).

Windows Sunucusunda RDS Ağ Geçidi Rolünü Dağıtma

Uzak Masaüstü Ağ Geçidi hizmeti, isteğe bağlı bir RDS grubu bileşenidir, bu nedenle onu ayrıca yüklemeniz gerekir. Çoğu durumda, RDGW'yi dağıtmak için ayrılmış bir sunucu kullanılması veya RD Web Erişimi ile birleştirilmesi önerilir.

Uzak Masaüstü Ağ Geçidi rolünü Sunucu Yöneticisi aracılığıyla (Rol ve Özellikler Ekle -> Sunucu Rolü -> Uzak Masaüstü Hizmetleri) veya PowerShell ile yükleyebilirsiniz.

RDGW hizmetini yüklediğinizde, IIS web sunucusu ve NPS (Ağ İlkesi Sunucusu) rolü de yüklenir.

RDS Ağ Geçidi rolünün kurulu olduğundan emin olun:

Get-WindowsFeature RDS*

Veya Install-WindowsFeature komutunu kullanarak rolü Windows Server'a kurun:

Install-WindowsFeature RDS-Gateway -IncludeAllSubFeature -IncludeManagementTools

ADUC (dsa.msc) konsolunu veya PowerShell'i kullanarak Active Directory'de erişim grupları oluşturun:

• rdgwExtUsers - RDGW'de kimlik doğrulaması yapmasına izin verilen bir grup kullanıcı;

• rdgwExternalAdmins - RDGW aracılığıyla dahili RDS ana bilgisayarlarına erişim sağlayan bir grup;

• mun-rdsfarm — Uzak Masaüstü Ağ Geçidi üzerinden bağlantılara izin vermek istediğiniz tüm RDS ana makinelerini ve RD Bağlantı Aracınızı içermelidir

Uzak Masaüstü Ağ Geçidi Yetkilendirme İlkelerini Yapılandırma

RD Ağ Geçidi Yöneticisi (

tsgateway.msc

) konsol, RDGW yetkilendirme politikalarını ve erişim kurallarını yönetmek için kullanılır, Burada iki tür politika yapılandırın:

• Bağlantı Yetkilendirme İlkeleri (RD CAP) - RDS Ağ Geçidinde kimlerin kimlik doğrulaması yapmasına izin verildiğini ayarlar;

• Kaynak Yetkilendirme İlkeleri (RD RAP)- s, dahili ağda RDGW yoluyla bağlanmasına izin verilen kullanıcıları ve kaynakları (bilgisayarlar) belirtir.

Önce RD CAP'yi oluşturun:

1. İlkeler -> Bağlantı Yetkilendirme İlkeleri'ni genişletin ve Yeni İlke Oluştur -> Sihirbaz'ı seçin;

2. Bir ilke adı girin (rdgwExtUsers);

3. Bir kimlik doğrulama türü (bir parola ve/veya bir akıllı kart) seçin ve RDGW üzerinde kimlik doğrulama yapmasına izin verilen bir kullanıcı grubu belirleyin;

   

4. Aygıt Yeniden Yönlendirmeyi Etkinleştir veya Devre Dışı Bırak penceresinde, hangi aygıtların bir RDP oturumuna (bir pano, yazıcılar, yerel sürücüler, vb.) yeniden yönlendirilmesine izin verileceğini belirtebilirsiniz;

   

5. Ardından, RDP oturumları için zaman aşımlarını yapılandırabilirsiniz;

6. İlkenin oluşturulmasını onaylayın.

PowerShell'i kullanarak bir RDGW bağlantı ilkesi de oluşturabilirsiniz:

Import-Module -Name RemoteDesktopServices
New-Item -Path 'RDS:\GatewayServer\CAP' -Name 'rdgwAllowAutht-CAP' -UserGroups rdgwExtUsers -AuthMethod '1'

Bundan sonra RD RAP politikasını oluşturun:

1. RD Ağ Geçidi Yöneticisi konsolunda, İlkeler -> Kaynak Yetkilendirme İlkeleri'ne tıklayın ve Yeni İlke Oluştur -> Sihirbaz'ı seçin;

   

2. Bir ilke adı girin: rdgwExternalAdmins;

3. Dahili RDS kaynaklarına bağlanmasına izin verilen kullanıcı grubunun adını belirtin;

   

4. Ağ Kaynakları sekmesinde, harici kullanıcılarınızın hangi RDS sunucularına bağlanmasına izin verildiğini belirtin (mun-rdsfarm);

   

5. Ardından bağlantıya izin vermek istediğiniz port numaralarını belirtin. Varsayılan olarak, yalnızca varsayılan RDP bağlantı noktası TCP/3389'un açılması önerilir. Ancak ek portlar da açabilirsiniz;

   

6. Politika hazır.

Bu RAP kuralını PowerShell kullanarak ekleyebilirsiniz:

New-Item -Path RDS:\GatewayServer\RAP -Name allowextAdminMunRDS -UserGroups rdgwExternalAdmins@a-d.site -ComputerGroupType 1 -ComputerGroup mun-rdsfarm@a-d.site

Uzak Masaüstü Ağ Geçidi için SSL Sertifikası Kurun

RDS ağ geçidi bağlantısını güvenli hale getirmek için üzerine bir SSL sertifikası yüklemeniz gerekir. Harici bir sertifika yetkilisi (CA) tarafından verilen ticari bir sertifika kullanmak daha iyidir. Ücretsiz bir Let's Encrypt SSL sertifikası (Uzak Masaüstü Ağ Geçidi için IIS'de bir Let's Encrypt sertifikası yapılandırın) veya kendinden imzalı bir Windows SSL sertifikası da kullanabilirsiniz, ancak harici istemcilerin buna güvenmesi gerektiğini unutmayın. Bir istemci bir RDGW sunucusundaki bir sertifikaya güvenmiyorsa, ağ geçidine bağlanamaz (kendinden imzalı SSL sertifikalarını istemcilere manuel olarak veya GPO kullanarak alabilirsiniz).

1. RD Ağ Geçidi konsolunda RDGW sunucu özelliklerini açın ve SSL Sertifikası sekmesine gidin;

2. Bu örnekte, kendinden imzalı bir sertifika kullanıyoruz. Kendinden imzalı bir sertifika oluştur -> Sertifika Oluştur ve İçe Aktar'ı seçin;

   

3. Sertifika adını girin (bu ad müşterileriniz tarafından RDGW'ye bağlanmak için kullanılacaktır) ve sertifikayı kaydetmek istediğiniz dizini seçin (bu sertifikayı RD istemcilerinize dağıtın).

   

Windows Server 2019'da RDGateway'e bağlanmak için aşağıdaki bağlantı noktaları kullanılır:

• HTTPPort (varsayılan) — 443 TCP

• UDPPort (varsayılan) — 3391 UDP (UDP aktarım protokolünün kullanılması isteğe bağlıdır, ancak bu, bir RDP oturumunda tünel performansını ve görüntü kalitesini önemli ölçüde iyileştirmeye olanak tanır).

Bu bağlantı noktalarını genel IP'nizden ağ donanımı üzerindeki RDGW sunucunuza açmayı (iletmeyi) unutmayın.

RDGW Yöneticisini açın ve hata olmadığından ve tüm öğelerin yeşil simgelere sahip olduğundan emin olun.

RDP İstemcisini RDS Ağ Geçidi Kullanacak Şekilde Yapılandırma

Ardından, Uzak Masaüstü Ağ Geçidi aracılığıyla dahili RDS ana bilgisayarlarınıza bağlanmak için bir Uzak Masaüstü Bağlantısı istemcisi yapılandırabilirsiniz.

1. çalıştır

   mstsc.exe

   müşteri;

2. Genel sekmesinde, bağımsız bir RDS Ana Bilgisayarının, RDS grubunun veya RDP aracılığıyla bağlanmak istediğiniz bir bilgisayarın adını girin (ayrıca bir kullanıcı adı belirtebilir ve RDP bağlantısı için kayıtlı kimlik bilgilerini kullanabilirsiniz. );

   

3. Ardından, Gelişmiş sekmesine gidin ve Her yerden bağlan (Uzaktan çalışırken Uzak Masaüstü Ağ Geçidi üzerinden bağlanmak için ayarları yapılandır) bölümünün altındaki Ayarlar'ı tıklayın. ;

4. Bu RD Ağ Geçidi sunucu ayarlarını kullan'ı seçin ve RDGW sunucunuz için harici bir DNS adı belirtin (bu adın sertifikada belirtilmesi gerektiğini unutmayın). RDGW için farklı bir bağlantı noktası kullanıyorsanız, bunu sunucu adından sonra iki nokta üst üste ile ayırarak girin, örneğin,

   gw.a-d.site:4443

   .

   

5. Bağlanırken parolanın iki kez girilmesini önlemek için Uzak bilgisayar için RD Ağ Geçidi kimlik bilgilerimi kullan seçeneğini işaretleyin;

6. Bağlan'a tıklayın ve RD Ağ Geçidi sunucusuna bağlanmak için kullanıcı kimlik bilgilerini girin;

7. İstemci, yerel ağınızdaki bir RDS/RDP ana bilgisayarıyla bağlantı kuracaktır;

8. RD Ağ Geçidi Yöneticisini açın, İzleme bölümüne gidin ve istemcinizin bağlantısının listede görüntülendiğinden emin olun.

   

Olay Görüntüleyici'de (Uygulamalar ve Hizmet Günlükleri -> Microsoft -> Microsoft-Windows-TerminalServices-Gateway -> Operasyonel) RDGW'ye yapılan başarılı veya başarısız bağlantıları izleyebilirsiniz.

Kullanıcı RDGW'ye başarıyla bağlandıysa, TerminalServices-Gateway kaynağından Olay Kimliği 205 görünecektir.

The user "a-d\maxadmin", on client computer "xx.xx.xx.xx", successfully connected to the remote server "mun-rdsgw.a-d.site" using UDP proxy. The authentication method used was: "Cookie".

RemoteApps'i RD Ağ Geçidi üzerinden çalıştırmak istiyorsanız, RemoteApp'e aşağıdaki satırları ekleyin.

*.rdp

dosya:

gatewayhostname:s:gw.a-d.site
gatewayusagemethod:i:1

Bu makalede, HTTPS üzerinden RDP kullanarak ağınıza güvenli uzaktan erişim uygulamak için Windows Server'da Uzak Masaüstü Ağ Geçidi rolünün nasıl yapılandırılacağını gösterdik.