У нас win 2019, без домена. на нем настроили RemoteApp 1C, по вот этой сценарии : КЛАЦ
Все было хорошо. там у нас версия 1С платформы 8_3_17.х, обновили на сервере платформу на 8.3.18.1289, но после этого remoteapp поломался. идет подключение и после «создание защищенного соединания» выкидывает сообщение такое:
Если пробовать через классический RDP , то все нормально подключается к серверу, и там с рабочего стола запускается 1С.
Так очень не удобно, клиенты жалются, что надо переключится вечно между экранами.
Как исправить ? проверил все все пути, все нормально, но почему то не хочет работать.
Сообщения: 2044 Благодарности: 472
Конфигурация компьютера
Материнская плата: MSI MPG B550 GAMING EDGE WIFI
HDD: 500Gb SSD Samsung 970 EVO Plus NVMe M.2
Звук: «Realtek ALC1200» with «Edifier R1700BTs»
Монитор: 27″ AOC U2777PQU
ОС: Microsoft Windows 10 Pro x64
проверил все все пути, все нормально, но почему то не хочет работать. »
С такими диагностическими данными Вам вряд ли кто сможет помочь на данном форуме. чай здесь экстрасенсов ведь не водится?
Вот если бы. ну хотя бы экспорт журналов событий Windows?
Если же вы забыли свой пароль на форуме, то воспользуйтесь данной ссылкой для восстановления пароля.
С такими диагностическими данными Вам вряд ли кто сможет помочь на данном форуме. чай здесь экстрасенсов ведь не водится? »
Мне казалась проблема не такая уж серьезная, чтоб поддатся в журналы события. думал может уже у кого то была т.п. проблема?
Вот если бы. ну хотя бы экспорт журналов событий Windows? »
Как исправить ? проверил все все пути, все нормально, но почему то не хочет работать. »
покажите скрин пути, что прописан в APP »
Сообщения: 2044 Благодарности: 472
Конфигурация компьютера
Материнская плата: MSI MPG B550 GAMING EDGE WIFI
HDD: 500Gb SSD Samsung 970 EVO Plus NVMe M.2
Звук: «Realtek ALC1200» with «Edifier R1700BTs»
Монитор: 27″ AOC U2777PQU
ОС: Microsoft Windows 10 Pro x64
думал может уже у кого то была т.п. проблема? »
все настройки сделано в reg файле и экспортирован в реестр, так как терминальный сервер требует наличия контролера домена, а у нас его нет, по этому приходится кастылями все делать. »
Мне казалась проблема не такая уж серьезная »
Ну может в x64 системе путь после установки 1с8 оказался не %programfiles%, а %programfiles(x86)% ? »
Сообщения: 27458 Благодарности: 8022
1 — это просто Program Files, а PROGRA
2 — Program Files (x86) (потому как Program Files создаётся первым).
Как сделать что-то подобное https://docs.microsoft.com/ru-ru/windows/configuration/lock-down-windows-10-to-specific-apps, но с помощью групповых политик на сервере 2019 и для пользователей, которые имеют доступ к определенным программам, которые настроены в RemoteApp. Чтобы именно программы, которые настроены в RemoteApp, и больше ничего, — отображались при удаленном подключении пользователей определенной группы к серверу.
У меня уже настроены RemoteApp. Но подключится к ним я могу только через страницу браузера https:\\server.domain.com\rdweb
А я хочу, чтобы можно было как kiosk mode windows 10, но через rdp.
Пример: Пользователь подключается к удаленному серверу через mstsc на котором настроены RemoteApp и видит только 5 программ (условно) к которым у него есть доступ. Все остальное заблокировано и у пользователя нет доступа ни к чему кроме 5 программ.
С Уважением, Евгений!
Ответы
1 устанавливаете сервер на котором нет ничего
2 настраиваете сервер терминалов
3 включаете applocker для блокировки всего кроме internet explorer (edge) и rdp
4 настройте дефолт шел на запуск ie, и в ie настройте дефолтную страницу вашего remote app сервера
5 всех кому необходим обрезанный интерфейс форвардите на этот сервер. Remote App сами по себе не сделают магию, их где-то нужно использовать и гдето это не на локальных серверах а на удаленных (не зря же они Remote App)
Если же вам нужно ограничить пользюков на локальных серверах по группам то п.3 из предыдущей инструкции для вас (без 1, 2, 4 и 5), только оставлять нужно будет не 2 приложения а тот список который вам необходим
The opinion expressed by me is not an official position of Microsoft
Источник
Remoteapp windows server 2019 настройка без домена
Настройка RemoteApp
Приложения RemoteApp представляют собой программы, удалённый доступ к которым предоставляется с помощью служб удалённых рабочих столов, но выглядят они так, будто это локальные приложения. Проще говоря, приложение RemoteApp представляет собой доступ к удалённому рабочему столу, ограниченному одним приложением. Однако, несмотря на формулировку выше, пользователь может запускать несколько приложений или несколько экземпляров одного и того же приложения в одном сеансе.
Для того, чтобы опубликовать какое-либо приложение RemoteApp нужно открыть Диспетчер задач, перейти в Службы удалённых рабочих столов и там перейти по ссылке с именем коллекции сеансов. В окне коллекции сеансов нажимаем на ссылку Публикация удалённых приложений RemoteApp. В том случае, если уже имеются опубликованные приложения, необходимо нажать на кнопку Задачи и в открывшемся меню выбрать Опубликовать удалённые приложения RemoteApp.
Следует помнить, что публикация хотя-бы одного приложения приведет к отмене публикации удалённого рабочего стола. Это означает, что в одной коллекции могут быть либо удалённый рабочий стол полностью либо некий набор отдельных приложений RemoteApp.
Публиковать можно как предустановленные приложения так и свои собственные. Попробуем опубликовать одно предустановленное (Калькулятор) Для этого необходимо отметить его и нажать кнопку Далее.
В следующем окне подтверждаем свой выбор нажав кнопку Опубликовать.
После публикации приложений RemoteApp, будет отображено окно в котором показано состояние приложений и ошибки, возникшие при установке. Если же ошибок не возникло, то нажимаем кнопку Закрыть, для завершения процесса публикации.
Проверка публикации программ RemoteApp
После успешной публикации удалённых приложений RemoteApp, проверим корректность их работы. Для этого осуществим веб-доступ к RDS с одной из рабочих станций домена. Напомню, что для того чтобы получить веб-доступ к службам удалённых рабочих столов необходимо перейти по специальной ссылке вида https:// /rdweb
Как мы видим, приложения успешно опубликовались и можно попробовать получить к ним доступ.
Изменение параметров приложения RemoteApp
Каждое приложение RemoteApp имеет ряд ключевых опций, которые можно изменить в соответствии с требованиями. Для того, чтобы зайти в меню настроек приложения достаточно в окне коллекции сеансов (в данном случае в окне Коллекция сеансов RDS) на панели Удалённые приложения RemoteApp вызвать контекстное меню приложения, параметры которого необходимо изменить, и там выбрать единственный пункт Изменить свойства.
На вкладке Общие окна свойств приложения доступны следующие настройки:
Кроме настроек, в данном окне отображается информация о пути размещения приложения, его псевдониме и иконке.
Папку удалённого приложения RemoteApp можно либо задать вручную, написав в соответствующем поле желаемое имя папки, либо выбрав из существующего списка, если папки были созданы ранее.На вкладке Параметры можно задать параметры командной строки для приложения. Именно здесь можно разрешить использовать любые параметры командной строки или вообще запретить их использование. Помимо этого можно задать принудительное использование заранее заданных параметров.
Свойства вкладки Назначение пользователей позволяют настроить видимость приложения в системе веб-доступа для заданных пользователей или групп пользователей. Поскольку по умолчанию все пользователи коллекции сеансов имеют доступ ко всем опубликованным в ней приложениям, данная вкладка позволяет гибко настроить доступ пользователей к приложениям RemoteApp внутри самой коллекции.
На вкладке Сопоставление типов файлов можно задать типы файлов, которые автоматически будут открываться с помощью выбранного приложения RemoteApp.
Следует помнить об одном очень важном ограничении — данная опция не работает в случае веб-доступа к приложениям.
Отмена публикации приложений RemoteApp
В случае, когда удалённое приложение больше не используется, целесообразно отменить его публикацию. Рассмотрим выполнение этой операции на примере приложения Калькулятор.
Для того, чтобы вызвать мастер отмены публикации удалённых приложений RemoteApp нужно выбрать пункт Отменить публикацию удалённых приложений RemoteApp в меню Задачи на панели Удалённые приложения RemoteApp.
На первом шаге мастера выбираем из списка опубликованных приложений RemoteApp приложение, публикацию которого необходимо отменить. Можно выбрать все приложения и в таком случае после отмены их публикации станет возможен доступ к удалённому рабочему столу полностью.
В окне с подтверждением выбора предлагается проверить правильность выбранных приложений и нажать кнопку Отменить публикацию.
После успешного выполнения операции отмены публикации отобразится окно, сообщающее об этом.
jameszero.net
Установка RemoteApp через RD Gateway без домена
Это не совсем случай из практики, а небольшая шпаргалка, которую я сделал для себя и решил поделиться. Если, конечно, есть еще такие же фрики, как я.
Сразу замечу, я не пропагандирую использование RDP и Сертификатов без доменов, просто часто попадаются маленькие клиенты с разнесенной географически инфраструктурой. Например офис на 3 компьютера и 10 точек- магазинов, 4 склада, где просто нужен доступ к складской 1С, и пока нет домена (или он не нужен). Картинки можно увеличивать щелчком мыши.
установки и настройки RemoteApp через RD Gateway
без домена AD и внешнего доменного имени
*Предполагается, что в сети имеется больше одного сервера, хотя все возможно реализовать и на одном сервере.
1. Установка и настройка роли RDS со службами RD Licensing, RDSH, RD Gateway.
2. Если подключение к интернету осуществляется через роутер — настроить проброс порта 443 на внутренний адрес RD Gateway.
3. Предварительная настройка RDSH. Предварительная настройка RemoteApp. Добавление приложения в список RemoteApp.
4. Настройка RD Gateway. Создание правил RD CAP и RD RAP.
5. Установка роли AD CS для создания сертификата на подключения к RD Gateway. При создании сертификата указываем внешний IP-адрес и внутренний IP-адрес сервера RD Gateway, чтобы сертификат проходил проверку подлинности, и мы могли бы подключиться к серверу шлюза терминалов по внешнему статическому адресу снаружи, и по внутреннему NetBIOS имени изнутри.
5.1 Установки роли AD CS в режиме Standalone на другом сервере (который будет центром сертификации, имя сервера после этого изменить будет нельзя).
5.2 Создание на сервере RD Gateway пользовательского запроса на сертификат:
то самое окошко, ради которого и устанавливалась роль AD CS
выбираем, как мы будем использовать ключ:
не забываем эту галочку, чтобы вместе с сертификатом экспортировался и личный ключ:
По окончании настройки запроса сохраняем запрос с расширением *.req.
5.3 Переходим на сервер с Центром сертификации. Для начала можно настроить время действия сертификата выданного Центром сертификации по умолчанию. В целях безопасности лучше оставить этот параметр равным 1 году. Я делаю это только потому, что я не буду находиться у клиента постоянно и возможны простои в работе. А через 5 лет «или падишах помрет или осел… «.
Открываем запрос в центре сертификации, и выпускаем новый сертификат (Issue).
Публикуем список отзыва (CRL).
5.4 Экспортируем сертификат в файл с расширением *.cer. Переходим в папку где хранятся сертификат Центра сертификации и список отзывов. Копируем личный сертификат и эти два файла на сервер RD Gateway (или на файловый сервер как удобнее).
5.5 Открываем личный сертификат на сервере RD Gateway и убеждаемся, что доверия к нему нет.
5.6 Устанавливаем: Сертификат центра сертификации в доверенные корневые центры сертификации, устанавливаем список отзывов. Устанавливаем личный сертификат. Открываем его и убеждаемся что цепочка доверия работает.
5.7 Изменяем само подписанный сертификат на вновь выпущенный в настройках RD Gateway, RD Web Access, ну и если надо в настройках RDSH, у него отдельный сертификат, который будет использоваться для внутренних подключений, имейте в виду, когда срок действия само подписанного сертификата закончится сервер в этом случае сам пере выпустит сертификат, если же для RDSH создать сертификат самодельный, то по истечении его срока действия зайти через удаленный рабочий стол не получится, надо отслеживать этот момент. Опять же здесь видны недостатки использования службы сертификации вне домена.
5.8 Создаем rdp-файл для пользователей.
6. Проверяем работу RemoteApp и RDC через RDGateway.
7. Нам нужно также будет создать must-have пакет для клиентов, который представляет архив с набором файлов:
— Инструкция по установке сертификатов, списка отзывов, установке обновлений (если клиент не Win7 и выше);
— Личный сертификат сервера RD Gateway;
— Сертификат Центра сертификации;
— Список отзывов (CRL);
Инструкцию конечно можно и не писать, но тогда придется либо долго объяснять клиенту все по телефону, либо ехать собственной персоной.
Будет дополняться по мере возможности.
ЗЫ. В процессе тестирования, заметил интересную штуку- несмотря на то, что подключение рабочего стола к тестируемой системе осуществлялось успешно, порт 3389 был закрыт на роутере (т.е. подключение явно происходило через порт 443) и RD Gateway manager показывал мне что соединение осуществляется через него — заветный значок подключения через шлюз, у меня не появился на полоске RDC. Я попробовал подключить через RD Gateway к другому клиенту, где значок точно появлялся- в прошлом Случае из практики есть снимок экрана в подтверждение. Но у другого клиента также не было этого значка… Возможно это просто какой то глюк.
Статья опубликована в продолжение рубрики «Записки системного администратора» или «Случай из практики», материалами для которой любезно делится мой коллега из Белоруссии. Оригинал статьи он опубликовал в своём блоге RDP dog.
Windows Server 2019 — терминальный сервер без домена
Установим роли терминального сервера на Windows Server 2019 и лицензируем. Маленькая тонкость — сервер не в домене.
Подготовка Windows Server 2019
Для начала установим сам сервер. Всё необходимое вынесено в отдельную статью:
Не забываем про настройку:
Итак, операционная система установлена и настроена. Сервер в рабочей группе WORKGROUP.
Установка роли терминального сервера
Нам понадобится установить две роли, можно выполнить установку одновременно, я предлагаю инструкцию с минимальным количеством перезагрузок.
Роль Remote Desktop Licensing
Входим в Server Manager. Справа вверху выбираем Manage > Add Roles and Features.
Попадаем в раздел Before You Begin.
Это начальная страница, пропускаем. Next.
Попадаем в раздел Installation Type. Для установки сервиса удаленных рабочих столов предусмотрен специальный мастер Remote Desktop Services installation, но нам не удастся его использовать, поскольку сервер не в домене. Выбираем Role-based or feature-based installation. Next.
Попадаем в раздел Server Selection. Выбираем текущий сервер. Next.
Попадаем в раздел Server Roles. Выделяем галкой роль Remote Desktop Services. Next.
Попадаем в раздел Features. Здесь ничего дополнительно не выбираем. Next.
Попадаем в раздел Remote Desktop Services. Ненужное нам окошко. Next.
Попадаем в раздел Role Services. Первая роль, которую нам нужно установить, это Remote Desktop Licensing. Выделяем галкой.
Нам предлагают установить дополнительные фичи, которые требуются для данной роли. Соглашаемся, Add Features.
Remote Desktop Licensing выделено галкой, Next.
Попадаем в раздел Confirmation. Install.
Начинается установка роли.
Роль Remote Desktop Licensing успешно установлена. Примечательно, что перезагрузка не требуется.
Выбираем наш сервер, правой кнопкой — активировать.
Открывается окно активации. Next.
Выбираем метод соединения Web Browser. Next.
Получаем код продукта который нам понадобится для активации (Product ID). Копируем.
Выбираем «Activate a license server». Next.
Вводим Product ID полученный ранее, организацию и любую страну или регион. Next. Next.
Если все сделано правильно, то мы получим необходимый код сервера лицензирования. Копируем его. На вопрос «Do you wish to install client access licenses now on the license server with this product ID?» отвечаем «Yes» и пока возвращаемся к терминальному серверу, к текущему окну ещё вернёмся.
Нас просят ввести license key pack ID. Возвращаемся к браузеру.
Вставляем License Server ID, в качестве программы лицензирования, по идее он уже должен сюда переместиться из предыдущего окна. License Program выбираем Enterprise agreement. Указываем компанию и страну. Next.
Выбираем тип продукта: Windows Server 2019 Remote Desktop Services Per Device client access license. Указываем количество лицензий. Обязательно соглашение Enterprise agreement, или ищем в интернете который подойдет…
Не стоит выбирать лицензии Per User, иначе потом вы получите такую ошибку:
Ну вот мы и получили нужные нам клиентские лицензии. Копируем.
Вводим ключ в мастер. Next.
Возвращаемся к Remote Desktop Licensing Manager. Сервер активирован. Лицензии получены. Кстати, они начнут тратиться после окончания триального периода.
Роль Remote Desktop Session Host
Входим в Server Manager. Справа вверху выбираем Manage > Add Roles and Features.
Попадаем в раздел Before You Begin.
Это начальная страница, пропускаем. Next.
Попадаем в раздел Installation Type. Выбираем Role-based or feature-based installation. Next.
Попадаем в раздел Server Selection. Выбираем текущий сервер. Next.
Попадаем в раздел Server Roles. Выделяем галкой роль Remote Desktop Session Host.
Нам предлагают установить дополнительные фичи, соглашаемся. Add Features.
Роль Remote Desktop Session Host выделена. Next.
Попадаем в раздел Features, ничего не выделяем. Next.
Попадаем в раздел Confirmation. Ставим галку Restart the destination server automatically if required. Отображается предупреждение, что сервер может быть перезагружен. Yes.
Начинается процесс установки роли.
В процессе устанавливаются компоненты.
После перезагрузки автоматически продолжается установка роли. Триальный период работы терминального сервера — 119 дней.
Роль Remote Desktop Session Host успешно установлена. Close.
Редактируем Use the specified Remote Desktop license servers.
Включаем — Enabled. В поле «License server to use» прописываем сервер, с которого получать лицензии, в моём случае «localhost». OK.
Редактируем Set the Remote Desktop licensing mode.
Включаем — Enabled. В поле «Specify the licensing mode for the RD Session Host server» устанавливаем значение Per Device. OK.
Снова запускаем оснастку Remote Desktop Licensing Diagnoser. Теперь всё зелёное, ошибок нет.
Практические испытания
Поскольку мы с вами системные администраторы 99 уровня, то нам нужно провести практические испытания терминального сервера.
На терминальном сервере создаём трёх локальных пользователей: user1, user2, user3.
Включаем их в группу Remote Desktop Users.
Коннектимся под этими пользователями к терминальному серверу по RDP.
Есть три активных сеанса.
Заключение
Мы с вами успешно создали терминальный сервер Windows Server 2019 в рабочей группе WORKGROUP без домена. 120 дней терминальный сервер будет работать в триальном режиме, затем начнёт использовать лицензии Per Device. Для подключения к терминальному серверу требуется создать локальную учётную запись и включить её в группу Remote Desktop Users.
jameszero.net
Это не совсем случай из практики, а небольшая шпаргалка, которую я сделал для себя и решил поделиться. Если, конечно, есть еще такие же фрики, как я.
Сразу замечу, я не пропагандирую использование RDP и Сертификатов без доменов, просто часто попадаются маленькие клиенты с разнесенной географически инфраструктурой. Например офис на 3 компьютера и 10 точек- магазинов, 4 склада, где просто нужен доступ к складской 1С, и пока нет домена (или он не нужен). Картинки можно увеличивать щелчком мыши.
установки и настройки RemoteApp через RD Gateway
без домена AD и внешнего доменного имени
*Предполагается, что в сети имеется больше одного сервера, хотя все возможно реализовать и на одном сервере.
1. Установка и настройка роли RDS со службами RD Licensing, RDSH, RD Gateway.
2. Если подключение к интернету осуществляется через роутер — настроить проброс порта 443 на внутренний адрес RD Gateway.
3. Предварительная настройка RDSH. Предварительная настройка RemoteApp. Добавление приложения в список RemoteApp.
4. Настройка RD Gateway. Создание правил RD CAP и RD RAP.
5. Установка роли AD CS для создания сертификата на подключения к RD Gateway. При создании сертификата указываем внешний IP-адрес и внутренний IP-адрес сервера RD Gateway, чтобы сертификат проходил проверку подлинности, и мы могли бы подключиться к серверу шлюза терминалов по внешнему статическому адресу снаружи, и по внутреннему NetBIOS имени изнутри.
5.1 Установки роли AD CS в режиме Standalone на другом сервере (который будет центром сертификации, имя сервера после этого изменить будет нельзя).
5.2 Создание на сервере RD Gateway пользовательского запроса на сертификат:
то самое окошко, ради которого и устанавливалась роль AD CS
выбираем, как мы будем использовать ключ:
не забываем эту галочку, чтобы вместе с сертификатом экспортировался и личный ключ:
По окончании настройки запроса сохраняем запрос с расширением *.req.
5.3 Переходим на сервер с Центром сертификации. Для начала можно настроить время действия сертификата выданного Центром сертификации по умолчанию. В целях безопасности лучше оставить этот параметр равным 1 году. Я делаю это только потому, что я не буду находиться у клиента постоянно и возможны простои в работе. А через 5 лет «или падишах помрет или осел… «.
Открываем запрос в центре сертификации, и выпускаем новый сертификат (Issue).
Публикуем список отзыва (CRL).
5.4 Экспортируем сертификат в файл с расширением *.cer. Переходим в папку где хранятся сертификат Центра сертификации и список отзывов. Копируем личный сертификат и эти два файла на сервер RD Gateway (или на файловый сервер как удобнее).
5.5 Открываем личный сертификат на сервере RD Gateway и убеждаемся, что доверия к нему нет.
5.6 Устанавливаем: Сертификат центра сертификации в доверенные корневые центры сертификации, устанавливаем список отзывов. Устанавливаем личный сертификат. Открываем его и убеждаемся что цепочка доверия работает.
5.7 Изменяем само подписанный сертификат на вновь выпущенный в настройках RD Gateway, RD Web Access, ну и если надо в настройках RDSH, у него отдельный сертификат, который будет использоваться для внутренних подключений, имейте в виду, когда срок действия само подписанного сертификата закончится сервер в этом случае сам пере выпустит сертификат, если же для RDSH создать сертификат самодельный, то по истечении его срока действия зайти через удаленный рабочий стол не получится, надо отслеживать этот момент. Опять же здесь видны недостатки использования службы сертификации вне домена.
5.8 Создаем rdp-файл для пользователей.
6. Проверяем работу RemoteApp и RDC через RDGateway.
7. Нам нужно также будет создать must-have пакет для клиентов, который представляет архив с набором файлов:
— Инструкция по установке сертификатов, списка отзывов, установке обновлений (если клиент не Win7 и выше);
— Личный сертификат сервера RD Gateway;
— Сертификат Центра сертификации;
— Список отзывов (CRL);
Инструкцию конечно можно и не писать, но тогда придется либо долго объяснять клиенту все по телефону, либо ехать собственной персоной.
Будет дополняться по мере возможности.
ЗЫ. В процессе тестирования, заметил интересную штуку- несмотря на то, что подключение рабочего стола к тестируемой системе осуществлялось успешно, порт 3389 был закрыт на роутере (т.е. подключение явно происходило через порт 443) и RD Gateway manager показывал мне что соединение осуществляется через него — заветный значок подключения через шлюз, у меня не появился на полоске RDC. Я попробовал подключить через RD Gateway к другому клиенту, где значок точно появлялся- в прошлом Случае из практики есть снимок экрана в подтверждение. Но у другого клиента также не было этого значка… Возможно это просто какой то глюк.
Статья опубликована в продолжение рубрики «Записки системного администратора» или «Случай из практики», материалами для которой любезно делится мой коллега из Белоруссии. Оригинал статьи он опубликовал в своём блоге RDP dog.
Профиль | Отправить PM | Цитировать 
