在家庭或小型企业的网络中，特别是在带有域控制器的环境下，实现多用户同时远程桌面访问同一台终端应用服务器（RDS服务器）可以极大提高资源利用率。例如，多个工作成员或多个虚拟用户可以同时从外网登录到一台Windows服务器进行独立的桌面操作。

为实现这一功能，需要配置 远程桌面会话主机（Remote Desktop Session Host，RDSH）和 远程桌面许可（Remote Desktop Licensing）角色。本文将详细讲述如何在家庭网络中的域环境内配置远程桌面服务许可，以允许多用户同时远程访问同一台服务器。

本文涉及的场景：利用 Windows Server 的远程桌面服务（RDS）实现多用户同时远程访问的终端应用服务器（TS01），可以为多个用户提供独立的桌面环境。本文将逐步讲解如何配置 RDS 服务，从域控制器的部署、许可服务器的设置到多用户会话主机的配置。该场景非常适合允许朋友或同事远程登录服务器访问应用，如 ChatGPT 等服务。

我们都知道，消费级桌面通常远程桌面不允许多用户同时登录，多用户同时登录桌面会话需要在服务器环境。微软在域环境中的远程桌面许可（Remote Desktop Licensing）遵循严格的政策，以确保多用户或多设备环境下的合规性。下面是微软RDS许可政策解读，但我们也是可以跳过它。

微软远程桌面服务许可政策概述

1. 远程桌面客户端访问许可（CALs），远程桌面服务（RDS）在域环境中需要客户端访问许可（Client Access Licenses, CALs），有两种主要类型：

• 用户 CAL：与用户关联，每个用户都可以使用任意设备来访问 RDS 服务器。适用于单一用户需要从多个设备访问服务器的情况。

• 设备 CAL：与设备关联，每台设备可以由多个用户使用来访问 RDS 服务器。适用于多用户通过少数设备连接的情况。

​

2. 许可模式，在域环境中，微软允许两种许可模式来选择：

• 按用户：为每个用户分配一个用户 CAL，用户可以从任何设备进行远程连接。这种方式适用于每个用户需要从多个设备远程访问服务器的场景。

• 按设备：为每台设备分配一个设备 CAL，不管有多少用户使用该设备远程连接到服务器。这种方式适用于共享设备或有限的访问场景。

这些许可需要通过 远程桌面许可服务器（Remote Desktop Licensing Server）管理。RDS 会定期检查每个连接用户或设备的 CAL 状态，并确保许可证的合法分配。

3. 远程桌面服务角色

在域环境中，远程桌面服务的部署通常涉及以下角色：

• 远程桌面会话主机（RDSH）：允许多个用户并发地连接到同一台服务器。

• 远程桌面许可（RD Licensing）：管理并发布 CAL，确保合规。

• 远程桌面连接代理（RD Connection Broker）：管理用户的会话，并将他们分配到最合适的 RDSH 服务器上（特别是当有多个 RDSH 服务器时）。

• 远程桌面网关（RD Gateway）：通过安全的 HTTPS 连接，允许用户从外部网络访问内部的 RDSH 服务器。

4. 许可服务器的部署和激活

• 激活：远程桌面许可服务器必须通过微软激活，才能开始颁发 CALs。

• 管理 CALs：激活后的许可服务器会根据组织的需要来颁发用户或设备 CALs。许可证必须合法购买并正确安装在许可服务器上。

5. 许可的管理与监控

微软要求定期监控和管理 RDS 许可的使用情况，以确保组织内所有远程桌面连接都是符合许可的。例如，CAL 是按用户或按设备分配的，管理员应确保许可证分配与使用保持一致。

管理员可以使用以下工具来监控和管理 RDS 许可：

• 远程桌面许可管理器：查看和管理已分配的 CALs。

• 组策略：通过组策略设置，管理员可以指定是否按用户或按设备许可模式来管理整个域内的 RDS。

6. 许可期限

在某些情况下，如果没有足够的 CALs，用户或设备仍然可以在有限的时间内（即 宽限期）连接到远程桌面服务主机。但宽限期结束后，必须安装合法的 CALs，否则用户将无法继续连接。

本文落笔前遇到的问题：宽限期政策（Grace Period)，也就是120天宽限期已过，就会报错，无法再次连接。

当首次设置 RDS 会话主机时，系统会有一个临时的宽限期，允许在没有许可服务器的情况下进行连接（通常为 120 天）。在此宽限期结束后，必须安装并激活远程桌面许可服务器，并确保 CALs 正确安装，才能继续为用户提供远程桌面服务。下面是为了彻底解决许可受限的问题，重新部署许可和远程会话主机的过程。

环境准备

在开始配置之前，确保以下环境已经就绪：

1. 域控制器（DC）：域控已正常运行并加入域，域名为 hansonhome.local。

2. Unifi 网关：已经配置防火墙规则，允许域控制器跨 VLAN 访问其他设备。

3. 终端应用服务器（TS01）：已安装 Windows Server，激活完毕，且已加入 hansonhome.local 域。DNS解析工作正常，外网端口转发已经设置好。

配置步骤

1. 在域控制器（DC）上部署远程桌面许可服务

由于家庭网络资源有限，将 RDS 许可服务安装到域控制器上是节省资源的合理做法。

1. 打开服务器管理器：

• 在域控制器（DC）上，点击 开始，选择 服务器管理器。

2. 添加角色和功能：

• 在服务器管理器中，点击左上角的 管理 菜单，然后选择 添加角色和功能。

• 在 添加角色和功能向导 中，选择 基于角色或基于功能的安装，点击 下一步。

• 在服务器角色列表中，勾选 远程桌面服务。

• 点击 下一步，确保勾选 远程桌面授权（Remote Desktop Licensing），这是用于分发远程桌面许可证的必要服务。

3. 安装远程桌面授权服务：

• 点击 安装，等待安装完成。安装过程结束后，域控制器将具备远程桌面许可服务的功能。

2. 激活远程桌面许可服务器并分配用户许可

完成许可服务的安装后，需要激活许可服务器，并通过合法途径获取和分配远程桌面用户许可。

1. 打开远程桌面许可管理器：

• 在 DC 上，打开 开始菜单，搜索并运行 远程桌面授权管理器。

2. 激活 RDS 许可服务器：

• 在远程桌面授权管理器中，右键点击服务器名称，选择 激活服务器。

• 选择 通过互联网连接 的方式激活（也可以选择电话激活，取决于网络环境）。

• 按照激活向导的指示完成服务器激活。

3. 分配用户许可：

• 右键点击激活后的服务器，选择 安装许可证。

• 在弹出的窗口中选择许可计划类型，选择 服务提供商许可协议 (Services Provider License Agreement, SPLA)。

• 输入你的协议号（例如：1234567），选择产品版本为 Windows Server 2022，并输入要分配的用户许可数量（如 1000 个用户）。

• 点击完成安装并分配许可证，确保服务器能够正常分发许可。

3. 配置组策略指定许可服务器和模式

接下来，通过组策略为网络中的终端服务器指定许可服务器，并设置许可模式为 Per User（按用户）。

1. 打开组策略管理工具：

• 在 DC 上，打开 组策略管理工具，可以通过 开始 > 管理工具 > 组策略管理 来访问。

2. 创建或编辑组策略对象：

• 在组策略管理工具中，找到 Default Domain Policy 或创建一个新的策略对象（GPO）。

• 右键点击 Default Domain Policy，选择 编辑。

3. 设置远程桌面授权服务器：

• 在组策略编辑器中，导航到 计算机配置 > 策略 > 管理模板 > Windows 组件 > 远程桌面服务 > 远程桌面会话主机 > 授权。

• 双击 使用指定的远程桌面授权服务器 策略，选择 启用，并输入你域控制器的 FQDN 地址（如：dc.hansonhome.local）。

4. 设置远程桌面授权模式：

• 返回上一级，在 授权 下找到 设置远程桌面授权模式 策略，双击并启用它。

• 在模式下选择 按用户，点击 确定 保存更改。

5. 刷新组策略：

• 完成设置后，在终端服务器和域控制器上运行命令 gpupdate /force 刷新组策略。

4. 在终端应用服务器 TS01 上配置远程桌面会话主机

接下来在终端应用服务器 TS01 上安装远程桌面会话主机角色，允许多用户登录到该服务器。

1. 打开服务器管理器：

• 在 TS01 上，点击 开始，打开 服务器管理器。

2. 添加远程桌面会话主机角色：

• 点击 管理 > 添加角色和功能，在 基于角色的安装 中继续操作。

• 在角色选项中勾选 远程桌面会话主机（Remote Desktop Session Host, RDSH）。

• 点击 下一步，然后 安装 完成角色安装。

3. 启用远程桌面功能：

• 在 TS01 上，右键点击 此电脑，选择 属性。

• 点击 远程设置，在 远程桌面 选项卡中启用远程桌面，允许用户远程访问此服务器。

4. 配置外网访问：

• 在路由器或防火墙中，将远程桌面默认端口 3389 转发到 TS01 的内部 IP 地址，确保外网用户能够通过远程桌面客户端访问该服务器。

5. 在 DC 上完成远程桌面服务的部署

在终端服务器 TS01 上配置完会话主机后，回到 DC 上完成远程桌面服务的整体部署，确保所有组件正常工作。

1. 打开远程桌面服务部署界面：

• 在 DC 的 服务器管理器 中，选择 远程桌面服务。

2. 配置远程桌面服务角色：

• 在部署界面中，选择 部署基于角色的远程桌面服务，并配置 RD Licensing 和 RD Gateway 等服务。

3. 验证终端服务器设置：

• 确认 TS01 被正确识别为 远程桌面会话主机，并且已配置好远程桌面服务许可模式。   

6. 测试远程桌面多用户登录

完成所有设置后，测试多个用户是否能够同时通过远程桌面登录 TS01 服务器，并且每个用户都能获得独立的桌面会话。

1. 创建域用户：

• 在 DC 上创建多个域用户账户，分配合适的权限。

2. 通过外网访问 TS01：

• 使用外网 IP 地址和配置好的端口，使用远程桌面客户端进行连接。

3. 测试并验证：

• 测试多个用户能否同时登录，并检查会话是否独立。

这样，如果后续我们又新增了一台终端应用服务器（如 TS02），在我们前面已经设置好的 RDS 许可服务器和组策略配置下，它将会自动接收和分发许可，而无需干预（组策略会完成这一切）。下面我们来理解一下它是怎么工作的。

后续：新增终端应用服务器的流程和自动分发许可的机制

自动分发许可的前提：

• 域环境已经有一台配置了远程桌面授权服务的域控制器，并且这个域控制器已经激活了 RDS 许可服务。

• 在组策略中，已经指定了许可服务器和许可模式（如 "Per User" 模式），并且该策略作用于整个域。

1. 新增终端应用服务器 TS02 的步骤：

• 将 TS02 加入域：新的终端应用服务器需要加入 hansonhome.local 域，以确保它能够从域控制器获取相关的 RDS 许可。

• 安装远程桌面会话主机角色：在 TS02 上，按照之前 TS01 的方式，安装 远程桌面会话主机（Remote Desktop Session Host, RDSH） 角色。

• 启用远程桌面：同样地，确保在 TS02 上启用了远程桌面功能，并且配置好端口转发等网络设置。

2. 自动分发许可的原理：

• 组策略的作用：由于已经在组策略中指定了远程桌面许可服务器（DC）以及许可模式（Per User），任何加入域的新终端应用服务器都会自动从这个许可服务器获取许可证分发配置。

• 自动分发许可证：当用户通过远程桌面登录到 TS02 时，TS02 会自动向指定的 RDS 许可服务器（DC）请求用户许可。如果服务器上有可用的 "Per User" 许可证，它将自动分发给当前登录的用户。

3. 确保许可证正常分发：

• 验证组策略生效：在 TS02 上运行 gpupdate /force 命令，确保组策略设置（特别是关于 RDS 许可的策略）已成功应用。

• 检查 RDS 许可管理器：在 DC 上的 远程桌面授权管理器 中，可以查看许可证的使用情况，确认 TS02 是否能够正确分发许可。

总结

在域环境中，配置好远程桌面授权服务后，新增的终端应用服务器（如 TS02）会自动继承组策略的设置，向 RDS 许可服务器请求并分发用户许可证。这使得整个网络环境中的 RDS 许可证管理变得自动化、统一化。当有新用户或新终端应用服务器加入时，无需额外的手动配置。