如果您希望在外部网络环境中安全访问企业内网中的远程桌面资源，但又不希望直接暴露内网服务器到公网，则需要借助远程桌面网关（RD Gateway）建立加密通道。以下是实现该目标的多种配置路径：
一、通过服务器管理器部署并配置RD网关角色
此方法适用于已部署Windows Server且具备管理员权限的环境，通过图形界面完成角色安装与基础策略设定，确保网关服务可被远程客户端识别和调用。
1、打开“服务器管理器”，点击“管理”菜单，选择“添加角色和功能”。
2、在“安装类型”页选择“基于角色或基于功能的安装”，点击“下一步”。
3、在“服务器选择”页确认目标服务器，点击“下一步”。
4、在“服务器角色”页展开“远程桌面服务”，勾选“远程桌面网关”，系统将自动添加依赖项，点击“下一步”并完成安装。
5、安装完成后，在“服务器管理器”左侧面板中点击“工具”，选择“远程桌面网关管理器”。
6、右键服务器名称，选择“属性”，切换至“SSL证书”选项卡，必须指定一个有效的服务器身份验证证书，且该证书的使用者名称（Subject Name）或主题备用名称（SAN）需与客户端实际访问的网关FQDN完全一致。
7、在“身份验证”选项卡中，选择“用户名和密码”，并勾选“需要网络级身份验证”。
8、右键“资源授权策略（RAP）”，选择“新建”，在向导中指定允许访问的内网目标，例如输入“192.168.10.50”或“HR-SERVER.corp.local”。
9、右键“连接授权策略（CAP）”，选择“新建”，设置允许登录的用户组（如“Domain\RemoteUsers”），并启用“仅允许使用强密码的用户”。
二、使用PowerShell批量配置RD网关核心策略
此方法适用于需标准化部署多个网关节点或纳入自动化运维流程的场景，绕过GUI交互，直接调用Windows内置的RemoteDesktop模块完成证书绑定、RAP/CAP创建及启用状态控制。
1、以管理员身份运行PowerShell，执行Import-Module RemoteDesktop加载模块。
2、执行Set-RDGatewayServer -ServerName "RdGw01.corp.local" -CertificateThumbprint "a1b2c3…"，其中CertificateThumbprint值须从本地计算机个人证书存储中精确提取，且证书私钥必须可导出并已导入本地计算机账户。
3、执行New-RDResourceAuthorizationPolicy -PolicyName "Internal-Desktop-Access" -UserGroups "DOMAIN\RemoteDesktopUsers" -ComputerGroup "Internal-Workstations" -Enabled $true。
4、执行New-RDConnectionAuthorizationPolicy -PolicyName "Allow-Standard-Users" -UserGroups "DOMAIN\RemoteDesktopUsers" -AuthenticationMethod "Password" -Enabled $true。
5、执行Set-RDGatewayConfiguration -LogLevel "Information" -EnableSslOffloading $false，确保日志记录开启且SSL卸载处于禁用状态以保障端到端加密。
三、在Windows客户端（含Win10/Win11）中配置RD网关连接参数
此方法面向终端用户，无需服务器操作，仅需在本地远程桌面客户端中正确填写网关地址与认证方式，即可触发RDP流量经HTTPS隧道转发至内网目标。
1、按Win+R输入mstsc，打开“远程桌面连接”窗口。
2、点击“显示选项”，切换至“高级”选项卡，点击“设置”按钮。
3、在弹出窗口中选择“使用这些RD网关服务器设置”，在“RD网关服务器”字段输入rdgw.corp.local（必须与服务器证书中声明的FQDN一致）。
4、在“用户身份验证”区域，选择“使用我登录时所用的凭据”，若网关启用了网络级身份验证（NLA），则客户端操作系统必须为Windows 7 SP1及以上版本，且远程桌面客户端版本不低于8.0。
5、点击“确定”返回主窗口，在“计算机”栏输入内网目标主机名或IP（如“APP-SERVER”），点击“连接”。
6、首次连接时，若证书不受信任，需手动确认证书警告；生产环境中务必避免使用自签名证书，否则客户端将持续弹出安全警告并可能中断连接流程。
四、在macOS版Windows应用中配置RD网关代理行为
此方法专用于Apple平台用户通过Microsoft官方Windows应用连接Windows远程资源，利用其内置网关管理模块实现跨平台一致策略应用，支持凭据复用与本地网络绕过逻辑。
1、打开macOS上的“Windows应用”，点击顶部菜单栏“Windows应用 → 设置”。
2、在左侧选择“网关”选项卡，点击右上角“+”图标添加新网关。
3、在“网关名称”中输入唯一标识（如“Corp-RDGW”），在“易记名称”中输入对外可见名称（如“公司远程网关”）。
4、在“已保存的凭据”下拉菜单中选择“使用电脑凭据”，该选项要求macOS系统已启用“钥匙串访问”并存储了对应域账户凭证，否则将提示凭据缺失。
5、点击“添加”，完成网关注册。
6、进入“设备”列表，找到目标远程PC，点击右侧“…”按钮选择“编辑”。
7、在“常规”选项卡中，于“网关”下拉菜单选择刚添加的“Corp-RDGW”，并勾选“绕过本地地址”以避免LAN内直连流量误经网关。
8、点击“保存”，后续对该设备的所有远程桌面连接将自动启用网关隧道。
评论(0)