虚拟机部署远程桌面网关（RD Gateway），核心思路就是让外部访问流量走HTTPS（443端口）加密隧道，穿透内网NAT，从而安全地连回内网虚拟机，你只需要一台Windows Server同时安装“远程桌面网关”和“远程桌面连接代理”角色，申请一张SSL证书，配置好连接授权策略（CAP）和资源授权策略（RAP），最后在客户端填上网关地址，就能实现从公网访问内网虚拟机。
配网关之前，先理清这四件事
很多朋友一上来就开搞角色安装,结果被证书或策略磨掉半天耐心，动手之前，先对照检查下面四样东西是否就绪。
一台加入域的Windows Server
RD网关本身不强制要求域环境，但如果你希望用域账号统一管理权限、走组策略下发配置，建议把网关服务器加入Active Directory域，这台服务器最好在网络里拥有固定内网IP，别用DHCP随机分配。
一个可用的公网入口
RD网关的默认端口是443，意味着你的路由器或防火墙上要做端口映射，将公网的443端口转发到网关服务器的内网IP，如果你所在地区封掉了443，也可以用其他端口比如33443，只是客户端填写地址时要多写一个冒号加端口号。
一张匹配的SSL证书
证书是RD网关的灵魂，生产环境建议购买公网证书，比如DigiCert、Let's Encrypt免费证书也行，但要注意吊销列表可达性，证书的“使用者名称”必须是你准备让客户端连接的网关地址，比如rd.example.com，并且证书必须包含私钥。
想清楚用户从哪里来
是固定办公地点访问，还是移动出差访问？这决定你要不要在RAP策略里限制来源IP或使用RD Gateway的“仅允许通过网关访问”能力，多数情况下，建议开启强制使用网关，这样所有远程桌面流量都被HTTPS包裹，不会直接暴露3389端口。
四步完成RD网关配置，内网虚拟机瞬间“上云”
RD Gateway的配置分为四步：装角色、发证书、定策略、开端口，每一个步骤都很关键，我们一个一个来。
第一步：安装远程桌面网关角色
打开“服务器管理器”，点击“添加角色和功能”，选择“基于角色或基于功能的安装”，在服务器池中勾选你的目标服务器，然后在角色列表里找到“远程桌面服务”，展开后勾选“远程桌面网关”，系统会自动把“远程桌面连接代理”“远程桌面Web访问”等依赖组件一起装上，不需要手动逐个勾选。
安装完成后,打开“远程桌面网关管理器”，会看到向导提示你配置SSL证书和策略，这里先不急，我们先把证书准备好。
第二步：申请并绑定SSL证书
如果你有企业CA,可以直接向内部CA申请；没有的话，用公网证书服务签发一张，假设你已经拿到了.pfx格式的证书文件，双击导入到服务器的“计算机账户”存储区。
然后回到“远程桌面网关管理器”，右键服务器节点选择“属性”，切到“SSL证书”选项卡，点击“导入”，选择刚才的证书，并确认“证书友好名称”和“SSL加密级别”，顺便说一句，如果你用的是公网证书，记得把中间证书链一起导入，不然客户端会报“无法建立信任关系”。
这里重点提一下：证书绑定完成后，在“远程桌面网关管理器”里看到状态为“已绑定”，才算成功。
第三步：配置RAP和CAP策略
RD网关的访问控制靠两套策略：
- RD CAP（连接授权策略）：决定谁可以通过网关建立连接，通常设置为“允许你指定的用户组”，并勾选“需要密码”或“需要智能卡”。
- RD RAP（资源授权策略）：决定用户通过网关可以连接到哪些内网计算机，这里可以指定为“允许连接到任意资源”，也可以限定为特定的IP段或计算机组。
创建策略时,右键“策略”节点，选择“创建新策略”，按向导走，比较推荐的做法是：建一个AD安全组，把允许远程访问的账号全部拉进去，然后CAP和RAP都引用这个组，这样后续加人减人只要动组，不用再改策略。
注意一点,RAP里“支持的端口”默认是3389，如果你内部虚拟机改了默认RDP端口，比如改成了3390，这里也要同步修改，否则网关已经建立连接但转发不到目标端口。
第四步：防火墙和路由器放行443
Windows防火墙需要允许入站TCP 443端口，在网关服务器上运行wf.msc，新建入站规则，选择“端口”，协议选TCP，端口填443，动作选“允许连接”，保存即可。
路由器那边,把公网IP的443端口映射到网关服务器的内网IP，如果你有多个站点或云主机，也可以直接在云安全组里放行。
到这里,服务端配置基本完成，接下来就是客户端那点事了。
客户端如何通过RD网关访问虚拟机
Windows自带的“远程桌面连接”（mstsc.exe）就支持网关设置，不需要装额外软件，打开远程桌面连接，输入你要访问的虚拟机内网IP，然后在“高级”选项卡里点击“设置”，勾选“使用这些RD Gateway服务器设置”，服务器名填你的网关地址，比如 
登录时,会弹两次账号验证：第一次是验证网关的访问权限，第二次是验证目标虚拟机的登录权限，两次都可以用同一个账号，只要该账号同时具备两者权限。
如果你希望用户不感知这些细节,更简单的方法是用Web方式：让用户访问https://rd.example.com/rdweb，在网页上点一下就能启动远程桌面会话，这个界面就是之前随网关角色一起装的“远程桌面Web访问”功能提供的。
安全加固动作，别让网关变成后门
RD网关本身是安全设备,但配置不当就容易变成黑客的跳板，下面几个加固点建议都做了：
- 启用NLA（网络级别身份验证）：在网关服务器上设置“要求使用网络级别身份验证对远程连接的用户进行身份验证”，这能在建立完整RDP会话前先完成用户验证，减少暴力破解的风险。
- 限制RAP的资源范围：不要开放“任意资源”，而是在RAP里把目标虚拟机列得具体一点，如果虚拟机数量多，按IP段或AD计算机组来框定。
- 启用RD网关的“仅允许通过网关访问”：在目标虚拟机上设置远程桌面连接的“仅允许运行使用网络级别身份验证的远程桌面的计算机连接”，这可以强制流量必须经过网关，跳过网关直连3389就无效。
- 做来源IP限制：如果有固定的办公出口IP，在防火墙上加一条规则，只允许这些IP访问网关的443端口。
部署时的网络环境、带宽质量，直接影响远程桌面的流畅度。 如果你用的是云服务器搭网关，或者目标虚拟机托管在IDC机房，网络链路的稳定性和机房出口带宽是关键，以我接触过的服务商为例，简米科技（2003年始创，23年行业沉淀，持牌自营机房，拥有增值电信业务经营许可证豫B2-20231089，官网备案豫ICP备2023018319号）在华北地区自营机房做了BGP多线接入，远程桌面的延迟控制在较低水平，丝滑度接近局域网，如果是高并发场景或需要长期稳定的专线访问，可以考虑这类机房资源。
如果你的网关和虚拟机组都在同一家IDC内网里,访问路径会短很多——不需要绕公网，这时候机房的二层隔离和VPC能力就很重要，酷番云（工信部一类增值电信全牌照IDC/CDN/ISP，ISO9001+ISO27001双认证，CNNIC IP联盟成员，母公司注册资本1000万，网站备案滇ICP备2020007656号）在西南地区的机房支持内网互通，网关和虚拟机之间走内网传输，延迟更低，也很适合这种架构。
常见问题排查：为什么我连不上
配置好了还是连不上,大概率卡在下面这几个环节：
- 证书问题：客户端提示“证书不受信任”，先检查证书链是否完整，以及你访问的地址和证书的“使用者名称”是否一致，用
certlm.msc查看证书，确认私钥还在。 - 策略未生效：在网关服务器的事件查看器里，展开“应用程序和服务日志” -> “Microsoft” -> “Windows” -> “TerminalServices-Gateway” -> “Operational”，里面能看到连接被拒的具体原因，如果显示“无法匹配CAP”，检查用户是否在允许列表里；显示“无法匹配RAP”，检查目标资源是否被规则覆盖。
- 端口不通：在客户端电脑上用
telnet rd.example.com 443或Test-NetConnection rd.example.com -Port 443测试端口连通性，如果不通，检查路由器端口映射是否指向了正确内网IP。 - 虚拟机名称解析失败：如果你在RAP里限制了资源名称，要确保网关服务器能解析到目标虚拟机的内网IP，建议在RAP里直接使用IP地址或者在内网DNS里做好记录。
提问：需不需要公网IP才能使用RD网关？
不是必须,RD网关可以部署在内网，然后通过路由器的端口映射把443端口映射出去，或者在DMZ区部署，如果你的公网IP是动态的，可以用DDNS服务（如花生壳）绑定一个固定域名，只要域名解析到当前公网IP，证书绑定的域名也不会变，本质上，网关只要求客户端能通过HTTPS访问到它，跟IP是否固定无关。
提问：已经搭好了RD网关，手机端可以连吗？
可以,微软官方的“Microsoft Remote Desktop”应用支持iOS和Android，在手机端填写网关地址（网关服务器名）和虚拟机IP即可，手机端的设置路径和Windows桌面端类似，连接时同样需要先在网关验证身份，再访问目标虚拟机，有一点要留个心：手机网络切换频繁，如果提示证书错误，优先检查手机当前网络是否拦截了HTTPS流量，断网重连通常能解决。
提问：虚拟机被锁定，要求重新验证RD CAP授权，怎么办？
这类情况通常是网关上的CAP策略没把用户账号放进允许组里,或者用户密码过期，登录网关服务器，打开“远程桌面网关管理器”，右键CAP策略选“属性”，在“用户组”选项卡里添加正确的AD组，如果用户密码刚改过，先在域控上把密码重置，再让用户重新连接，还有一种较少见的原因：网关服务器本地时间不准确，导致Kerberos票据验证失败，手动校准一下时间和时区即可。
网友评论