Windows 2008 R2 64位启用远程桌面详细设置

Windows2008R264位启用远程桌面详细设置安装Windows2008终端服务先说明一下：安装终端服务最好在域中的计算机上进行，一是可以方便的添加用于访问该服务的用户；二是可以方便的发布RemoteApp程序；三是可以减少用户的认证次数。但不要在域控制器上安装终端服务，这会造成很大的安全隐患，终端服务会打开服务器的3389端口，这个黑客最喜欢的端口会给你的域控制器带来很大的麻烦。微软的测试环境搭设：一台windows2008域控制器，一台windows2008终端服务器，一台windows7客户端。关于windows2008的终端服务的解释，就不说了，微软的Technet上说的很详细。/zh-cn/library/dd640164(WS.10).aspx。Windows2008微软的终端服务比windows2003强了很多。Windows2008终端服务的角色服务有：Windows2008R264位的终端服务现在已改为远程桌面服务，其实功能还是差不多，只是换了个名称而已。远程桌面会话主机（必选，用户使用该功能访问服务器资源）远程桌面虚拟化主机（RemoteApp功能）远程桌面授权（终端服务访问许可证，不申请最多可以使用120天）远程桌面连接代理 （负载平衡）远程桌面网关（可以通过Internet访问RemoteApp程序）远程桌面Web访问（用户使用IE浏览器通过内网或外网访问RemoteApp程序）主要的改变在两点，多了RemoteApp和远程桌面Web访问。其实还有远程桌面网关，不过远程桌面网关也是为远程桌面Web访问服务的。远程桌面网关支持从Internet访问，我没有申请的域名，因此就不测试了。使用域管理员帐号登录，开始安装安装windows2008终端服务服务管理器—添加角色，下一步。选择“远程桌面服务”，下一步。出现“远程桌面简介”，不用管它，继续下一步。选择“远程桌面服务”，下一步。选择：远程桌面会话主机、远程桌面虚拟化主机、远程桌面授权、远程桌面Web访问，下一步。这个界面提示：如果你要规划一台服务器做远程桌面主机（即终端服务器），安装完系统后，什么程序也不要安装，首先安装“远程桌面服务”，然后再安装应用程序。否则，在安装“远程桌面服务”以前安装的程序有可能不能使用，解决办法就是卸载重新安装。身份验证方法，选择“不需要使用网络级别身份验证”。下一步。注意：如果选择了“需要使用网络级别身份验证”，则XP和Windows2003不能使用RemoteApp程序，为了兼容性，还是选择“不需要使用网络级别身份验证”。如果选择了第一项，安装完成后，也可以通过 远程桌面会话主机配置—RDP_Tcp，右键，属性。常规，取消“仅允许运行使用网络级别身份验证的远程桌面的计算机连接”。若要使用网络级别身份验证，必须满足以下要求：在客户端计算机上，必须至少使用RemoteDesktopConnection

6.0。在客户端计算机上，必须使用支持凭据安全支持提供程序(CredSSP)协议的操作系统（例如Windows(R)

7或Windows

Vista(R)）。RD

会话主机必须使用WindowsServer

2008

R2或WindowsServer

2008。而XP和Windows2003不满足上述要求。如果客户端有XP和Windows2003，而选择使用网络级别身份验证，就不能运行“RemoteApp程序”。指定授权模式：选择“以后配置”，这个选择允许免费使用120天。关于激活终端服务后面再讲。下一步。选择允许访问此RD会话主机服务器的用户组，其实就是把要访问的用户组加入到本地的RemoteDesktopUsers组中。现在添加也行，以后添加也可以。我的这台计算机已加入域，我点“添加”，选择域中的组“Domainusers”。点“确定”。输入域管理员帐号和密码，把这个组加入进来。下一步。配置客户体验：只选择“桌面元素”，至于使用服务器的声音没有什么用处，下一步。为RD极权配置搜索范围：这里什么都不要选，以后再配置，点一下。Web服务器（IIS）：下一步。选择角色服务：默认选择就可以，一下步。确认安装选择：我这里有1条警告消息，提示“可能需要重新安装现在应用程序”。如果你在安装“远程桌面服务”之前没有安装应用程序，就不会有这个警告，我为了制作这个安装说明文件，装了Office和isee等一些常用软件。点“安装”。安装完成后，重新启动，以域管理员帐号登录。继续执行配置：等待完成。再现几条警告，不要紧，记下警告信息，以后处理。点“关闭”。在警告信息上点右键，复制，把警告信息复制下来，下面是复制的警告信息：远程桌面服务:安装成功，但有警告警告:此许可证服务器未注册为ActiveDirectory域服务(ADDS)中的服务连接点(SCP)。它将不显示在“远程桌面会话主机配置”工具的已知许可证服务器列表中。若要将该许可证服务器注册为ADDS中的SCP，请使用“远程桌面授权管理器”工具中的“复查配置”。警告:RDWeb访问需要附加配置。在RDWeb访问网站的“配置”页面上，您需要指定将提供向用户显示的RemoteApp程序和桌面的源。有关详细信息，请参阅<ahref="ts_remoteprograms.chm::/html/e1e047ce-d080-4568-b987-378fef46bea2.htm">配置RDWeb访问服务器</a>。已安装以下角色服务:远程桌面会话主机远程桌面虚拟化主机远程桌面授权远程桌面Web访问警告:请确保将RD会话主机服务器正确配置为使用此授权服务器。有关详细信息，请参阅<ahref="ts_license.chm::/html/7cd57119-808e-4777-ab21-1f75a718c1ad.htm">在RD会话主机服务器上配置许可证设置</a>。信息:<ahref="ts_admin.chm::/html/21ea97a1-a75d-4ff6-87b1-faab342050a4.htm">使用桌面体验，启用此RD会话主机服务器上的Windows7功能。</a>警告:使用“远程桌面会话主机配置”工具指定此RD会话主机服务器使用的远程桌面授权服务器。有关详细信息，请参阅<ahref="tscc.chm::/html/fed1c160-dde3-49d5-a54f-a4e7a39f1695.htm">为RD会话主机服务器配置许可证设置</a>。配置远程桌面授权微软的终端服务客户端访问许可证(TSCAL)有下面两种：TS每设备CALTS每用户CAL如果使用每设备授权模式，并且客户端计算机或设备初次连接到终端服务器，默认情况下，向该客户端计算机或设备颁发一个临时证书。在客户端计算机或设备第二次连接到终端服务器时，如果许可证服务器已激活，并且有足够的TS每设备CAL可用，许可证服务器将向该客户端计算机或设备颁发一个永久TS每设备CAL。TS每用户CAL为一个用户授予通过无限数目的客户端计算机或设备访问终端服务器的权限。TS授权不强制使用TS每用户CAL。因此，无论许可证服务器上安装了多少个TS每用户CAL，均可以建立客户端连接。但这并未使管理员免于考虑Microsoft软件许可条款对每个用户都需要有效的TS每用户CAL的要求。如果使用每用户授权模式，并且不是每个用户都有TS每用户CAL，则违反了许可条款。 我们将使用TS每用户CAL来配置。首先，检查RemoteDesktopUsers组和TSWebAcessComputers的成员，如果没有“DomainUsers”,则添加。把DomainAdmins组添加到TSWebAdministrators组中。注意：TSWebAcessComputers的成员就是组，而微软的帮助文件和官方网站的说明中都是加入计算机，显然是错误的。（2）开始—运行，输入controlsystem，选择“远程控制”。选择“仅允许运行使用网络级别身份验证的远程桌面的计算机连接（更安全）”。“应用”。（3）开始—管理工具—远程桌面服务—远程桌面会话主机配置在“远程桌面授权模式”上右键，属性。属性：选择“每用户”，点“应用”，“确定”。（4）激活服务器（这一步很关键，否则，远程桌面服务只能使用120天）在MYPC上点右键，选择“激活服务器”。下一步连接方法：“自动连接”，下一步公司信息：随便填写吧下一步下一步许可证计划：选择“企业协议”，下一步输入协议号码：4954438，下一步产品版本和许可证类型：产品版本，选择“WindowsServer2008或WindowsServer2008R2”；许可证类型，选择“每用户CAL(TS或RDS)”；数量，输入“300”。下一步（5）数字签名设置开始—管理工具—远程桌面服务—RemoteApp管理器—数字签名设置，更改。勾选“使用数字证书签名”，再点“更改”点“确定”，再点下面的“确定”。（6）远程桌面Web访问配置开始—管理工具—远程桌面服务—远程桌面Web访问配置我这里选择“这是一台专用计算机”，输入域帐号和密码，点“登录”。把源名称更改为远程桌面服务器的名称，我的是“”。点确定。（7）配置网络身份验证，让XP和Windows2003使用RemoteApp程序在安装远程桌面服务器时，我选择了“需要网络级别身份验证”。这个选项规定了只能在Vista以后的系统才能使用RemoteApp程序，而XP和Windows2003就不能使用RemoteApp程序，因此我们把这个选项去掉，让XP和Windows2003也能使用RemoteApp程序。开始—管理工具—远程桌面服务—远程桌面主机会话配置取消选择“仅允许运行使用网络级别身份验证的远程桌面的计算机连接”。（8）配置RDP-Tcp会话切换到“会话”选项卡，勾选“改写用户设置”和“改写用户设置”。结束已断开的会话：1分钟；活动会话限制：从不；空闲会话限制：30分钟。这个设置主要是为了有些基于C/S架构的软件，有客户端连接限制。比如ERP，公司购买了50站点，这样就需要控制一下会话了。至此，远程桌面服务器基本安装完毕。下面的任务是配置RemoteApp程序。配置RemoteApp程序（1）安装程序在安装了远程桌面服务的计算机安装软件，与普通的计算机是不同的。在远程桌面服务器上安装程序有两种方法：方法一、开始—控制面板—程序，选择“在远程桌面服务器上安装应用程序”。点这个按钮后，出现下面的界面下一步，选择一个程序安装，我这里选择一个WinRAR进行测试。下一步安装完成。安装完成后，一定要点这个“完成”按钮，这一点非常重要。方法二：程序安装前运行命令：changeuser/install 程序安装完成后运行命令：changeuser/execute例如：安装office2007在“命令提示符”上，右键，“以管理员方式运行”（如果已关闭了UAC，用户帐号控制并把当前用户加入到本地管理员组中的，可以直接运行“命令提示符”）。输入命令：changeuser/install安装Office2007，安装过程略。安装完成后，运行命令：changeuser/execute这两种方法的比较：方法一比较直观，适合安装比较小型的软件，不需要重新启动计算机就可安装完成的软件。方法二适合安装大型软件，需要重新启动才能完成安装的软件。添加RemoteApp程序开始—管理工具—远程桌面服务—RemoteApp管理器，添加RemoteApp程序。下一步。选择“Excel”和“Word”，下一步。点“完成”。制作RemoteApp程序添加的RemoteApp程序已经默认可以通过RDWeb访问。制作RemoteApp程序有两种方法:方法一：在RemoteApp程序上右键，选择“创建.rdp文件”。方法二：在RemoteApp程序上右键，选择“创建WindowsInstaller安装包”。通过以上两种方法创建的文件，默认存放在C:\ProgramFiles\PackagedPrograms目录中。下面重点介绍一下，第二种制作RemoteApp的方法。在ExcelRemoteApp程序上右键，选择“创建WindowsInstaller安装包”。下一步，下一步。在这界面一定要注意。在“桌面”上打勾，创建的程序包安装后，会在桌面上生成程序图标。在选择“将此程序的客户端扩展与RemoteApp程序相关联”这个选项时一定要慎重，勾选后，生成的安装包在客户计算机安装后，会改变客户计算机的文件关联，默认使用RemoteApp程序来打开文件。如果客户计算机安装了这个RemoteApp程序，且无法连接远程桌面服务器，本地的相关文件将无法打开。所以，这个选项最好别选为好。发布RemoteApp程序方法1：共享C:\ProgramFiles\PackagedPrograms目录，让用户从这个文件夹中拷贝RemoteApp程序，运行即可。方法2：使用U盘等移动设备拷贝给用户即可。方法3：打开IE浏览器，输入https://远程桌面服务器计算机名或IP/RDWeb方法4：使用组策略来发布.msi安装包。这个方法可以批量部署程序。RemoteeApp的配置基本结束，以后再介绍如何来运行RemoteApp程序。运行RemoteApp程序客户端计算机能正确运行RemoteApp程序，必须具备以下两个条件：RemoteDesktopConnection必须在6.0以上，如果需要访问RDWeb服务器上的程序，则RemoteDesktopConnection必须在6.1以上。而Windows2003的RemoteDesktopConnection最高版本只有6.0。WindowsXP和Vista的RemoteDesktopConnection的最高版本为7.0。RemoteDesktopConnection可以从微软下载中心找到。XP KB969084 7.0Vista KB969084 7.0Vista64 KB969084 7.0RemoteDesktopConnection7.0下载网址：/downloads/results.aspx?pocId=&freetext=KB969084&DisplayLang=zh-cnWin2003 KB925876 6.0RemoteDesktopConnection6.0forwin2003下载网址：/downloads/details.aspx?FamilyID=cc148041-577f-4201-b62c-d71adc98adb1&DisplayLang=zh-cn.NETFrameWork必须在3.0SP1以上。目前.NETFrameWork的最高版本为3.5SP1。其实这个并不是必须的，我写在这里，主要是因为这个软件包非常重要，如果使用RemtoeApp的打印功能，就必须安装这个软件包，如果不安装此软件包，就会导致RemoteApp异常终止。.NETFrameWork3.5SP1下载网址：/downloads/details.aspx?FamilyID=d0e5dea7-ac26-4ad7-b68c-fe5076bba986&DisplayLang=zh-cn如果以前已经安装了.NETFramework的其它版本，先卸载再安装新版本。在XP上运行RemoteApp程序这台XP计算机我已加入域RYBB。先安装RemoteDesktopConnection7.0和.NETFrameWork3.5SP1通过RDWeb访问，这个访问是通过安全端口445进行访问的，相对比较安全。打开IE浏览器，输入53/RDWeb/选择“是”输入域帐号和密码，选择“这是一台专用计算机”，点“登录”鼠标单击“MicrosoftOfficeExcel2007”点“连接”再次输入域帐号和密码，点“确定”点“查看证书”点“安装证书”点“下一步”选择“将所有的证书放入下无存储区”，点“浏览”选择“受信任的根证书颁发机构”，点确定点“下一步”点“完成”点“是”点“是”，再点“确定”，再点“是”，启动RemoteAppExcel2007。看起来很麻烦，导入证书做一次就可以了，下次再登录就方便多了。这里一共导入了两个MYPC的证书，自己可以看一下。Internet选项—内容—证书—受信任的根证书颁发机构，可以找到MYPC的两个证书。使用远程桌面配置文件rdp来运行RemoteApp程序使用远程桌面配置文件rdp来运行RemoteApp程序，因为使用了3389端口，因此安全隐患大大增加，不过只在局域网中使用，安全性基本上可以保证。第一次，执行Excel.rdp，需要输入帐号和密码，以后双击这个文件就可以直接运行，不需要再输入帐号和密码了，使用很方便。因为操作比较简单，就不啰嗦了。使用MSI安装包来运行RemoteApp程序使用MSI安装包来运行RemoteApp程序，也使用了3389端口。双击Excel.msi文件安装，以后就可以用“开始—所有程序—远程程序—MicrosoftOfficeExcel2007”来运行。这种方法会在添加/删除程序中出现Excel2007的项，如果以后不用了，可以在“控制面板—添加/删除程序”中卸载。这种方法的优点最突出，使用域帐号登录的用户直接就可以使用，不需要再次输入凭证。MSI安装包还有一个特点，如果在制作安装包时，选择了“将此程序的客户端扩展与RemoteApp相关联”，则客户端的相应的文件会和RemoteApp程序关联。这个特点说不上是优点，但应该也算是一个比较有用的特点，就看怎么来使用了。三种运行RemoteApp程序的对比安全性易用性组策略发布文件关联使用范围RDWeb高比较繁杂否否广域网、局域网Rdp文件低比较简便否否局域网Msi安装包低最简单能能局域网RemoteApp程序的输入法设置RemoteApp程序的输入法只能使用服务器上已安装的输入法，而不能使用本地的输入法。在语言栏上右键，设置，可以添加自己所需的输入法。RemoteApp程序的文件保存首先来看一下通用的RDP设置，开始—管理工具—远程桌面服务—RemoteApp管理器，RDP设置，点“更改”。如果不勾选设备和资源中的选项，将不能被RemoteApp程序使用。例如：如果不勾选“磁盘驱动器”，RemoteApp程序Excel保存时，只能保存在服务器中，而不能保存在本地磁盘。除非特殊的原因，我们不想让用户把文件都保存到服务器，这样用不了多久，我们就会为服务器的磁盘空间不足而苦恼了。如果你用RDWeb方式运行RemoteApp，你会发现，“驱动器”、“端口”、“其它支持的PnP设备”，不会勾选。每次都必须手动来选择。 这可以看出，微软总是假设我们使用互联网方式来使用RDWeb的RemoteApp。互联网的速度有时太慢，映射本地的驱动器和端口可能会因网络延时太大而失败。连接时，要注意选择“驱动器”，以保证保存时能保存到本地磁盘。在RemoteApp程序Excel中点保存，默认会保存在“我的文档”中，当然这个我的文档是在服务器，这不是我们希望的。我们希望文档保存在本地计算机的磁盘中。 在左边点“计算机”，右边选择本地磁盘“MYPC1上的C”，选择一个文件夹保存。远程桌面服务器的安全性：我们发现，在保存时，可以在远程桌面服务器的D盘、E盘的根目录中存放文件，在C盘的根目录及Windows系统自建的文件夹不能写入文件。因此，我们应该修改磁盘和目录的NTFS权限，以避免用户写入文件和文件夹。如上面图所示，修改远程桌面服务器的磁盘和文件夹上的NTFS权限。策略设置如下：C盘以外的盘符 删除除administrators组和system组的所有权限。C盘 只设置Users组读取和执行权限。

具体设置方法：C盘NTFS权限设置C盘，右键，属性。“安全”选项卡。点“高级”点“更改权限”删除Usersr的“创建文件夹、附加数据”和“特殊”这两个权限。读取和执行的权限不修改也基本能保证用户不会把文件存入到远程桌面服务器自己帐号以外的文件夹中。用户自己创建的文件能够删除。如果想让用户对所有的文件夹、子文件夹和文件只有读取的权限，就修改Users的读取和执行权限，只留下读取权限即可。用户自己创建的文件不能删除。不过，这样设置以后，我担心有的软件可能无法正常运行，没有经过详细的测试，发现有RemoteApp程序运行异常时，再修改权限也可以。在其它盘上设置NTFS权限在其它盘上设置NTFS权限就很简单，删除除了administrators组和system组以外所有组的权限。 安装程序最好安装在C:\Programfiles文件夹中。因为系统默认会对这个文件夹进行写保护。经过以上设置，我们再来看文件保存。在C盘根目录及其它目录都不能保存。无法访问D:\。试验表明，经过NTFS权限设置，完全能对Users组进行控制，不过对Administrators组不能控制，当然必须要保证管理员用户能访问所有磁盘及文件夹，否则，就会出大问题了。RemoteApp程序的打印在Windows

Server®

2008中，已经通过添加“终端服务轻松打印”打印机驱动程序和一个只能重定向默认客户端打印机的组策略设置改善终端服务打印。终端服务轻松打印驱动程序是WindowsServer

2008中的一项功能，用户可以使用它从终端服务RemoteApp(TM)程序或从终端服务器桌面会话可靠地打印到客户端计算机上的正确打印机。还能够使用户在本地和远程会话之间获得更一致的打印体验。“终端服务轻松打印”驱动程序提供以下功能：提高了针对RemoteApp和远程桌面会话的终端服务打印的可靠性。支持旧版和新版的打印机驱动程序，而无需在终端服务器上安装这些驱动程序。在打印机枚举性能方面，对特定于WindowsServer2003的可伸缩性的改进。在Winlogon进程期间，后台处理程序只枚举用户可在特定会话中使用的打印机，而不枚举所有重定向的打印机。因此，在每个会话的基础上枚举打印机，而不是在每个用户的基础上枚举打印机。改善了可用的打印机功能。“终端服务轻松打印”驱动程序在远程会话中提供丰富和完整的打印机功能。当用户查看打印首选项时，可以使用物理打印机驱动程序的所有功能。远程桌面服务器设置必须安装.NETFrameWork3.0SP1以上的版本，在Windows2008中已集成该组件。服务器管理器—功能—添加功能，勾选“.NETFrameWork3.5功能”，安装即可。远程桌面服务器组策略设置“终端服务打印”开始—运行，输入“gpedit.msc”，打开本地组策略计算机配置\管理模板\Windows组件\远程桌面服务\远程桌面会话主机\打印机重定向不允许客户端打印机重定向启用 不允许客户端可以使用本地的打印机禁用 允许客户端可以使用本地的打印机我们这里选择“禁用”首先使用远程桌面轻松打印打印机驱动程序启用 RD会话主机服务器首先尝试使用远程桌面轻松打印打印机驱动程序安装所有客户端打印机。如果出于任何原因，远程桌面轻松打印打印机驱动程序无法使用，则使用RD会话主机服务器上与所用客户端打印机相匹配的打印机驱动程序。如果RD会话主机服务器上没有与客户端打印机匹配的打印机驱动程序，则客户端打印机不可用于远程桌面会话。禁用 RD会话主机服务器将尝试查找合适的打印机驱动程序来安装客户端打印机。如果RD会话主机服务器没有与客户端打印机匹配的打印机驱动程序，则服务器将尝试使用远程桌面轻松打印驱动程序安装客户端打印机。如果出于任何原因，远程桌面轻松打印打印机驱动程序无法使用，则客户端打印机不可用于远程桌面服务会话。我们这里选择“启用”RemoteApp程序的打印必须保证在客户端中安装了.NETFrameWork3.0SP1。现在最新的版本是.NETFrameWork3.5SP1。否则，打印时会出现RemoteApp程序无响应。打印时，远程桌面服务器上安装的打印机会全部出现，而本地计算机安装的打印机则加上（已重定向X）。使用CanonLBP3500（已重定向2）测试打印，没有问题。MicrosoftXPSDocumentWrite（已重定向2）测试打印，没有问题。AdobePDF测试打印，没有问题。MicrosoftXPSDocumentWrite测试打印，没有问题。打印的问题比较简单，只要注意别忘了装.NETFrameWork3.5SP1就没有问题。下一篇文章主要讲一个远程桌面服务器的安全设置。远程桌面服务器安全设置开始—运行，输入tsconfig.msc，打开远程桌面主机会话配置。右键RDP-Tcp，属性。“常规”选项卡，安全性，安全层更改为“SSL(TLS1.0)”,加密级别设为“高”。开始—运行，输入“gpedit.msc”，打开本地组策略编辑器。计算机配置\管理模板\Windows组件\远程桌面服务\远程桌面会话主机\远程会话环境从“关机”对话框删除“断开连接”选项启用 在“关机”对话框中删除“关机”和重新启动。以防止不熟悉的管理员意外把远程桌面服务器关机或重启。禁用 “关机”对话框无改变这个功能非常有用，特别是公司的域管理员比较多时，你负责远程桌面服务器的管理，你不想别的管理员因为不小心把这台服务器关闭时，可以启用此选项。不过这并不影响你使用命令来关机和重启。重启服务器命令：shutdown–r-f–t0(强制计算机立即重启)关闭服务器命令：shutdown–s-f–t0(强制计算机立即关机)更改控制面板类文件的权限取得c:\windows\system32\*.msc文件的所有权为administrats组。在目录c:\windows\system32\*.msc默认的文件所有者为TrustedInstaller。takeown/Fc:\windows\system32\*.msc/A(MSE类)注意：运行这个命令必须以本地计算机的administrator帐号运行才能成功。如果以域管理员运行，即使加入了本地管理员组，执行命令显示成功，也不能取得文件所有者。删除c:\windows\system32\*.msc文件的的所有权限。我使用Xcacls.vbs脚本来删除Users组对c:\windows\system32\*.msc文件的所有权限，使用方法及下载，请看我的博客文章：/longx5/blog/item/9ba3ce57c9970eceb645ae4b.html批处理命令：for/Rc:\windows\system32%iin(*.msc)docscriptd:\xcacls.vbs%i/E/R"BUILTIN\users"出现下面的错误提示:StartingXCACLS.VBS(Version:5.2)Scriptat2009/12/3113:57:19*************************************************Scriptno