Терминальный сервер на Windows 7
Данная статья представляет собой пошаговую инструкцию по настройке Windows 7 в качестве терминального сервера с доступом по RDP.
После настройки, к одному компьютеру смогут одновременно подключаться несколько пользователей по RDP (Remote Desktop Protocol — протокол удалённого рабочего стола). Наиболее популярное применение данного решения — работа нескольких пользователей с файловой базой 1С.
Процесс настройки показан на примере Windows 7 x64, однако данное руководство актуально для ОС Windows XP SP2/SP3, Vista SP1/SP2, Windows 7, Windows Server 2008 SP1/SP2.
.
Для настройки Windows 7 в качестве терминального сервера с доступом по RDP понадобятся:
1. Компьютер с установленной операционной системой Windows 7 и правами администратора, подключённый к локальной сети;
2. Компьютер в локальной сети, с которого будет производиться подключение и который имеет RDP клиент (прим. требуется ОС Windows XP/Vista/7/8/8.1/10 и т.д.);
3. Патч: Universal Termsrv Patch.
Скачать Universal Termsrv Patch
↑ Настройка удалённого компьютера
Чтобы на удалённом компьютере возможно было подключение по RDP, в его среде Windows необходимо разрешить это дело. Жмём клавиши Win+Pause, выбираем «Настройка удалённого доступа».
Активируем галочку разрешения подключения от компьютеров с любой версией удалённого рабочего стола. Жмём «Применить».
Возможность удалённого доступа активирована. Но такая вот обычная активация открывает удалённый доступ только к учётным записям администратора. Если нужно подключаться к учётным записям обычных стандартных пользователей, таких, войдя в систему с учётки администратора, необходимо добавить дополнительно. Жмём «Выбрать пользователей», далее «Добавить» и указываем имена стандартных учёток.
Смотрим IP-адрес компьютера. Кроме IP-адреса, нам для подключения также потребуется, как упоминалось, имя учётной записи Windows и пароль.
Политика “Разрешить вход в систему через службу удаленных рабочих столов”
Чтобы разрешить доменному пользователю или группе удаленное RDP подключение к Windows, необходимо предоставить ему право SeRemoteInteractiveLogonRight. Вы можете предоставить это полномочие с помощью политики Allow log on through Remote Desktop Services (Разрешить вход в систему через службу удаленных рабочих столов).
Чтобы разрешить RDP подключение членам группы Remote Desktop Users, нужно изменить настройку этой политики на контроллере домена:
- Запустите редактор локальной политики ( gpedit.msc );
- Перейдите в раздел Computer Configuration -> Windows settings -> Security Settings -> Local policies -> User Rights Assignment;
- Найти политику с именем Allow log on through Remote Desktop Services (Разрешить вход в систему через службу удаленных рабочих столов);
После повышения роли сервера до DC в этой локальной политике остается только группа Administrators (это администраторы домена).
Обратите внимание, что группа, которые вы добавили в политику Allow log on through Remote Desktop Services, не должны присутствовать в политике “Deny log on through Remote Desktop Services”, т.к. она имеет приоритет (см статью Ограничение сетевого доступа в домене под локальными учетками). Также, если вы ограничиваете список компьютеров, на которые могут логиниться пользователи, нужно добавить имя сервера в свойствах учетной записи в AD (поле Log on to, атрибут LogonWorkstations).
Примечание. Чтобы разрешить пользователю локальный вход на DC (через консоль сервера), его учетную запись или группу, нужно добавить также в политику Allow log on locally. По умолчанию это право есть у следующих доменных групп:
- Account Operators
- Administrators
- Backup Operators
- Print Operators
- Server Operators.
Лучше всего создать в домене новую группу безопасности, например, AllowDCLogin. Затем нужно добавить в нее учетные записи пользователей, которым нужно разрешить удаленный доступ к DC. Если нужно разрешить доступ сразу на все контроллеры домена AD, вместо редактирования локальной политики на каждом DC, лучше через консоль управления доменными политиками ( GPMC.msc ) добавить группу пользователей в доменную политику Default Domain Controllers Policy (политика Allow log on through Remote Desktop Services находится в разделе Computer ConfigurationWindows SettingsSecurity SettingsLocal PoliciesUser Rights Assignment).
Важно. Если вы изменяете доменную политику, не забудьте добавить в нее группы администраторов домена/предприятия, иначе они потеряют удаленный доступ к контроллерам домена.
Теперь пользователи, которых вы добавили в политику, смогут подключаться к рабочему столу контроллеру домена по RDP.
Если вам нужно предоставить обычным пользователями права на запуск/остановку определенных служб на DC, воспользуйтесь следующей инструкцией.
II. Настройка терминального сервера с доступом по RDP
1. Нажмите на значок поиска , затем с помощью поисковой строки найдите и выберите Система (Рис.13).
2. Нажмите Настройка удалённого доступа, в открывшемся окне перейдите на вкладку Удалённый доступ, выберите пункт Разрешить удалённые подключения к этому компьютеру, затем нажмите Применить и OK (Рис.14).
3. Распакуйте (прим. с помощью WinRAR или просто открыть через Проводник) скачанную Вами ранее библиотеку RDP Wrapper Library. Откройте папку и запустите от имени администратора (прим. используя правую кнопку мыши) файл install,после чего начнётся установка (Рис.15).
4. После окончания установки нажмите любую клавишу (Рис.16).
5. Нажмите на значок поиска , затем с помощью поисковой строки найдите и выберите Выполнить (Рис.17).
6. В открывшемся окне введите gpedit.msc и нажмите OK (Рис.18).
7. Выберите: Конфигурация компьютера > Административные шаблоны > Компоненты Windows > Службы удалённых рабочих столов > Узел сеансов удалённых рабочих столов > Подключения > Ограничить количество подключений (Рис.19).
8. В открывшемся окне выберите пункт Включить, установите в параметрах разрешённое количество подключений к удалённым рабочим столам на 999999, затем нажмите Применить и OK. Перезагрузите компьютер (Рис.20).
Добавление новых пользователей на Windows Server
Выше мы разобрали ситуацию подключения к удаленному рабочему столу только одного пользователя — владельца сервиса. Однако часто нужно открыть доступ для нескольких человек. Для этого нужно добавить новых пользователей и раздать другим людям данные для авторизации.
Первым делом нужно установить и настроить DNS-сервер, Active Directory и DHCP-сервер. Подробно об этом я рассказывал в материале о первоначальной настройке Windows Server 2012 R2. В более новых версиях принципиально ничего не изменилось.
После первоначальной настройки WS добавьте новых пользователей.
Откройте «Диспетчер серверов».
Раскройте меню «Средства» и выберите в списке «Пользователи и компьютеры Active Directory».
Кликните правой кнопкой по пункту User и выберите опцию «Создать» — «Пользователь».
Укажите имя, фамилию, полное имя, имя входа пользователя.
Введите пароль и отметьте чекбокс «Требовать смены пароля при следующем входе». В таком случае пользователь получит предложение установить свой пароль при первой авторизации.
Проверьте сводную информацию и нажмите «Готово» для сохранения пользователя.
Пользователей можно объединять в группы, а группы — размещать внутри подразделений. Это актуально при настройке сервера компании, когда удаленный рабочий стол требуется большому количеству сотрудников с разными обязанностями.
Действия при динамическом IP
Каждый роутер действует, как маршрутизатор. Это значит, что он идентифицирует любое обращающееся к нему устройство (ПК, ноутбук, смартфон), присваивая ему IP из некоторого диапазона значений. Но для доступа к удаленному рабочему столу нам нужно постоянное значение этого адреса. Иначе придется каждый раз задавать новый. Чтобы преобразовать постоянно меняющийся IP на постоянный, существует технология DDNS. Она отслеживает изменения адреса и преобразует его в постоянный, закрепленный именно за этим устройством.
Технология доступна на нескольких сайтах. Расскажем об одном из них – бесплатном сервисе noip.com. Он превратит динамический адрес в домен второго или третьего уровня. Зайдите и зарегистрируйтесь. Кликните «Sign Up» и подтвердите регистрацию в письме, полученном по указанному электронному адресу.
Потом вводите свои данные для входа на ресурс. Нажмите «Add Host». Все данные во вновь открывшемся окошке будут уже проставлены по умолчанию. Все, кроме пункта Hostname. Здесь вы сами выдумываете адрес и выбираете домен. Рядом с полем «Port 80 redirect» ставим галочку. А в качестве значения порта вводим 3389. Осталось сохранить настройки.
Теперь нужно ввести доменное имя, которое мы завели, а также пару логин-пароль, которую мы вводили на сервисе, в панель настройки роутера. Поставить галочку в пункте «Включить DDNS». Вы получили доступ к удаленному рабочему столу через интернет.
Как удаленно включить RDP через групповую политику
Данный метод включения удаленного рабочего стола на нужном компьютере возможен за счет домена Active Directory, благодаря централизованному управлению рабочих станций ваших сотрудников. Откройте редактор управления групповыми политиками. Создайте новую политику и прилинкуйте ее к нужному организационному подразделению, которое содержит нужный компьютер. После чего зайдите в свойства данной политики и измените ее настройки. Перейдите по пути:
Конфигурация компьютера — Политики — Административные шаблоны — Компоненты Windows — Службы удаленных рабочих столов — Узел сеансов удаленных рабочих столов — Подключения — Разрешать удаленное подключение с использованием служб удаленных рабочих столов
Откройте эту настройку и включите ее. Не забываем после этого обновить групповую политику на нужном компьютере и не забываем там открыть порт для RDP. Так же политиками или локально.
Конфигурация компьютера — Политики — Административные шаблоны — Сеть — Сетевые подключения — Брандмауэр Windows — Профиль домена — Разрешить исключения для входящих сообщений удаленного управления рабочим столом
Включив настройку вы можете указать конкретные ip-адреса откуда можно производить подключение или же ввести *, это будет означать, для всех.
На этом у меня все, уверен, что есть еще какие-то методы позволяющие удаленно включить RDP службу удаленных рабочих столов, но мне лень гуглить и искать их, я пользуюсь вот такими. С вами был Иван Семин, автор и создатель блога Pyatilistnik.org.
