Windows Terminal Server：完整设置指南、优势和最佳实践

一个Windows Terminal Server是系统管理员工具库中最强大的工具之一，它能够让多个用户同时连接到一个集中式的基于Windows的环境。无论您是在管理一个不断增长的企业、远程工作队伍，还是软件即服务平台，了解如何部署和管理Windows Terminal Server可以显著降低成本、提高安全性并简化应用程序交付。

本综合指南涵盖了您需要了解的所有内容——从核心概念和现实世界的优势到详细的分步配置演练。

1. 什么是 Windows Terminal Server？

A Windows Terminal Server 是一个建立在 Microsoft 的 Remote Desktop Services (RDS) 框架上的服务器角色。它允许多个远程用户同时连接到单个集中式 Windows Server 实例，每个用户都获得自己的隔离、个性化桌面会话——包括访问已安装的应用程序、文件和处理资源。

从最终用户的角度来看，体验与在本地计算机上工作几乎没有区别。实际上，所有计算都发生在服务器上；客户端设备只需通过 Remote Desktop Protocol (RDP) 传输输入并接收显示输出。

与标准 Windows Server 的区别

Terminal Servers 广泛部署在医疗保健、金融、法律服务和教育等行业——任何需要集中、统一应用程序访问的地方。

2. Windows Terminal Server 的主要优势

集中式应用程序管理

所有软件都在服务器上安装、更新和修补一次。无需将更新推送到各个工作站或管理整个机器群中的版本不一致问题。这大大减少了 IT 开销，并确保每个用户始终运行相同的已批准应用程序版本。

显著降低成本

由于所有处理都在服务器端进行，终端用户设备可以是瘦客户端、旧电脑甚至平板电脑。组织可以避免昂贵的工作站更新周期，并可以将现有硬件的使用寿命延长数年。

增强的数据安全性

敏感数据永远不会离开服务器环境。文件、数据库和应用程序数据集中存储，使以下操作变得更加容易：

• 执行数据丢失防护 (DLP) 策略
• 在所有会话中应用统一的安全配置
• 执行集中备份而无需接触各个端点
• 遵守 GDPR、HIPAA 或 PCI-DSS 等法规

按需扩展

在 Terminal Server 环境中添加新用户只需要一个新用户账户和一个 RDS 客户端访问许可证 (CAL) — 而不需要新硬件。随着组织的扩展，服务器基础设施可以随之增长，特别是在灵活的平台（如 VPS 主机解决方案或专用资源环境）上托管时。

简化远程工作启用

Terminal Server 专为远程访问而设计。在家工作、出差或在多个办公室工作的员工可以从任何互联网连接的设备访问完全相同的桌面环境，只需使用内置的远程桌面连接客户端。

3. 开始前的先决条件

在部署 Windows Terminal Server 之前，请确保以下组件已就位：

✅ 兼容的 Windows Server 操作系统

您需要 服务器级版本 的 Windows。支持的版本包括：

• Windows Server 2019（推荐用于稳定性）
• Windows Server 2022（推荐用于现代部署）
• Windows Server 2016（遗留支持）

标准桌面版本的 Windows（Windows 10/11）不支持多用户 RDS 部署。

✅ 远程桌面服务 (RDS) 许可证

Microsoft 要求为连接到 Terminal Server 的每个用户或设备提供 RDS 客户端访问许可证 (CALs)。有两种 CAL 模型：

• 按用户 CAL — 许可特定用户账户，无论他们使用多少台设备
• 按设备 CAL — 许可特定设备，无论有多少用户从中登录

在没有有效 CAL 的情况下运行违反 Microsoft 许可协议，将导致 RDS 宽限期过期，之后连接将被拒绝。

✅ 充足的服务器硬件

推荐的最低规格取决于您的用户数量，但作为最多 20 个并发用户的一般基准：

• CPU：8+ 核（现代 Intel Xeon 或 AMD EPYC）
• RAM：最少 32 GB（推荐 64 GB）
• 存储：基于 SSD 的存储用于 OS 和应用程序卷
• 网络：稳定、低延迟的连接，具有充足的带宽

对于更大的部署，请考虑 专用服务器以保证对硬件资源的独占访问，不受其他租户的争用。

✅ 网络基础设施

可靠、安全的网络是不可协商的。关键考虑因素包括：

• 服务器的 静态 IP 地址或可靠的 DNS 主机名
• 防火墙规则允许来自授权源的 RDP 流量（TCP 端口 3389）
• 用于加密远程访问的 VPN 或 SSL/TLS 隧道
• 有效的 SSL 证书以保护 RD Web Access 和 RD Gateway 端点 — SSL 证书对于保护传输中的用户凭证至关重要

✅ Active Directory（强烈推荐）

虽然在小型部署中在技术上是可选的，但 Active Directory 域服务 (AD DS) 对任何生产 Terminal Server 环境都强烈推荐。AD 提供：

• 集中式用户身份验证
• 用于会话控制的组策略对象 (GPO) 管理
• 基于角色的访问控制 (RBAC)
• 与 RDS 组件的无缝集成

4. 分步设置指南

步骤 1：安装远程桌面服务角色

1. 在 Windows Server 实例上打开服务器管理器。
2. 点击管理 → 添加角色和功能。
3. 选择远程桌面服务安装（不是标准的基于角色的安装）。
4. 为单服务器部署选择快速启动，或为多服务器场选择标准部署。
5. 选择基于会话的桌面部署（用于终端服务器功能）。
6. 按照向导完成，如果提示，允许服务器重启。

> 专业提示：如果在多个服务器上部署 RDS（例如，单独的连接代理、会话主机和 Web 访问角色），请使用标准部署并将每个角色分配给相应的服务器。

步骤 2：配置 RDS 角色服务

安装后，三个核心 RDS 角色服务需要配置：

RD 会话主机

这是主要的终端服务器组件 — 托管用户会话的角色。确保它安装在将处理实际工作负载的服务器上。

RD 连接代理

连接代理管理会话路由、跨多个会话主机的负载平衡以及断开连接会话的重新连接。通过以下方式配置：

Server Manager → Remote Desktop Services → Overview → RD Connection Broker

RD Web 访问

使用户能够通过Web 浏览器使用 RD Web 门户连接。安装后，门户可在以下位置访问：

https://<server-address>/RDWeb

使用受信任的 SSL 证书保护此端点，以防止凭据拦截。

步骤 3：配置 RDS 许可

没有适当的许可，终端服务器将在120 天宽限期内运行，之后将拒绝连接。

1. 在服务器管理器中，导航到远程桌面服务。
2. 点击RD 许可。
3. 打开RD 许可管理器。
4. 右键单击您的服务器并选择激活服务器。
5. 按照激活向导（在线或电话激活）。
6. 激活后，安装您购买的 RDS CALs。
7. 返回RD 会话主机配置并将其指向您新激活的许可证服务器。

步骤 4：安装和配置应用程序

终端服务器上的应用程序必须以支持多用户访问的方式安装：

选项 A — 通过服务器管理器（推荐）

使用”开始”菜单中找到的在远程桌面上安装应用程序快捷方式，它会自动将服务器置于安装模式。

选项 B — 通过命令行

change user /install
:: Install your application here
change user /execute

> 重要：始终在安装模式下安装应用程序。在执行模式下安装的应用程序可能无法为所有用户正常运行，或者可能按会话而不是全局存储设置。

在推出到生产环境之前，确保所有应用程序都经过多个同时用户会话的测试。

步骤 5：配置会话管理的组策略

组策略是控制终端服务器用户体验和实施安全标准的主要工具。

在 Computer Configuration → Administrative Templates → Windows Components → Remote Desktop Services 下配置的关键 GPO 设置：

在包含终端服务器计算机帐户的 OU 级别应用这些策略以进行有针对性的实施。

步骤 6：配置 Windows 防火墙和网络访问

默认情况下，Windows 防火墙将阻止入站 RDP 连接。适当配置它：

# Enable RDP through Windows Firewall
Enable-NetFirewallRule -DisplayGroup "Remote Desktop"

# Restrict RDP access to specific IP ranges (recommended)
New-NetFirewallRule -DisplayName "RDP - Restricted" `
  -Direction Inbound `
  -Protocol TCP `
  -LocalPort 3389 `
  -RemoteAddress "192.168.1.0/24" `
  -Action Allow

对于面向互联网的部署，永远不要直接向公网暴露端口 3389。相反，请使用：

• RD Gateway 配合 HTTPS（端口 443）作为安全代理
• 一个 VPN 来封装 RDP 流量
• 在防火墙或托管提供商级别进行 IP 白名单

5. 连接用户到终端服务器

服务器配置完成后，用户可以通过多种方法连接：

方法 1：远程桌面连接（内置客户端）

适用于所有 Windows 版本：

1. 按 Win + R，输入 mstsc，按 Enter
2. 输入服务器 IP 地址或主机名
3. 点击显示选项以配置显示、本地资源和体验设置
4. 点击连接并使用域或本地凭据进行身份验证

方法 2：RD Web 访问门户

拥有浏览器的用户可以访问 Web 门户：

https://<your-server>/RDWeb

此方法无需安装客户端软件，通过 Microsoft 远程桌面 Web 客户端可在 Windows、macOS、Linux、iOS 和 Android 上使用。

方法 3：Microsoft 远程桌面应用

适用于 macOS、iOS、Android 和 Windows，Microsoft 远程桌面应用提供了功能丰富的客户端体验，支持：

• 多个已保存的连接
• 网关配置
• 显示缩放和多显示器支持
• 剪贴板和打印机重定向

方法 4：第三方 RDP 客户端

客户端如 Remmina（Linux）、Royal TSX（macOS）或 mRemoteNG（Windows）为管理多个终端服务器的管理员提供高级连接管理功能。

6. 管理和监控您的终端服务器

持续管理对于维护性能、安全性和用户满意度至关重要。

使用远程桌面服务管理器

通过 Server Manager → Remote Desktop Services → Collections 访问：

• 查看活跃会话 — 查看谁已连接、从哪个设备连接以及连接时长
• 影子会话 — 实时观察或协助用户会话（需要适当权限）
• 断开会话 — 安全地断开用户连接而不终止其会话状态
• 注销会话 — 完全终止用户会话并释放其资源
• 发送消息 — 在维护窗口前向已连接用户广播通知

PowerShell 管理命令

# List all active RDS sessions
Get-RDUserSession -ConnectionBroker "broker.yourdomain.com"

# Disconnect a specific session
Disconnect-RDUser -HostServer "sessionhost.yourdomain.com" -UnifiedSessionID 3

# Get RDS license usage report
Get-RDLicenseConfiguration -ConnectionBroker "broker.yourdomain.com"

性能监控

使用 Windows 性能监控器（perfmon）和以下关键计数器来监控终端服务器健康状况：

考虑与监控平台集成，如 Zabbix、PRTG 或 Prometheus + Grafana，以进行告警和长期趋势分析。

7. 安全最佳实践

终端服务器是高价值目标，因为它们提供对内部环境的直接访问。使用这些基本实践加强您的部署：

🔐 启用网络级身份验证 (NLA)

NLA 要求用户在建立完整 RDP 会话之前进行身份验证，大大减少了暴力破解和拒绝服务攻击的攻击面。

Group Policy: Computer Configuration → Administrative Templates → Windows Components → Remote Desktop Services → Require NLA

🔐 实施多因素身份验证 (MFA)

通过以下方式集成 MFA：

• Azure AD / Microsoft Entra ID 与条件访问策略
• Duo Security RDP 网关集成
• Windows Hello for Business

🔐 更改默认 RDP 端口

虽然通过隐蔽性实现安全不是真正安全的替代品，但更改默认端口 (3389) 可以显著减少自动扫描噪音：

Set-ItemProperty -Path "HKLM:SystemCurrentControlSetControlTerminal ServerWinStationsRDP-Tcp" `
  -Name "PortNumber" -Value 54321

记得相应地更新您的防火墙规则。

🔐 定期修补和更新

终端服务器经常成为漏洞的目标，例如 BlueKeep (CVE-2019-0708) 和 DejaBlue。维持严格的修补周期并启用 Windows Update 以获取自动安全更新。

🔐 实施会话审计

通过组策略启用登录事件、权限使用和对象访问的审计，以维护所有终端服务器活动的取证记录。

8. 选择正确的托管基础设施

Windows Terminal Server 的性能和可靠性从根本上取决于底层基础设施的质量。以下是最常见的部署选项：

本地部署

最适合拥有现有数据中心基础设施、严格数据主权要求或隔离环境的组织。需要大量前期资本投资和持续的硬件维护。

云/VPS 部署

适合大多数中小型企业。在 VPS 托管 平台上部署 Terminal Server 提供：

• 快速配置 — 从订单到运行服务器只需几分钟
• 灵活的资源扩展 — 随着用户基数增长升级 CPU 和 RAM
• 无硬件维护 — 托管提供商管理物理基础设施
• 高可用性选项 — SLA 支持的正常运行时间保证

对于需要控制面板界面来管理服务器环境以及 Terminal Server 部署的组织，带有 cPanel 的 VPS 提供了熟悉的基于网络的管理层。

专用服务器部署

对于拥有 50 个以上并发 Terminal Server 用户、高性能工作负载或禁止共享基础设施的合规要求的大型组织，专用服务器 提供：

• 有保证的、无竞争的硬件资源
• 对物理机的完全 root/管理员访问权限
• 自定义硬件配置（高核心数 CPU、大 RAM 池、NVMe 存储）
• 可预测、一致的性能，无嘈杂邻居效应

在托管提供商中寻找什么

选择 Terminal Server 基础设施的托管提供商时，优先考虑：

常见问题

Windows Terminal Server 可以支持多少用户？

这完全取决于可用的硬件资源和工作负载的性质。具有 32 GB RAM 和 8 个 CPU 核心的服务器通常可以支持 20–40 个轻度用户（电子邮件、办公应用程序）。资源密集型应用程序（CAD、视频编辑、数据处理）会显著减少这个数字。

Windows Terminal Server 与远程桌面服务相同吗？

是的。”Windows Terminal Server”是 Microsoft 现在正式称为 Remote Desktop Services (RDS) 中的 RD Session Host 角色的遗留术语。功能完全相同；只是术语发生了变化。

我可以在 VPS 上运行 Windows Terminal Server 吗？

绝对可以。许多组织在 VPS 基础设施上运行高效的 Terminal Server 部署。关键是选择具有足够 CPU 核心、RAM 和低延迟网络连接的 VPS 计划，以支持您预期的并发用户数。

Terminal Server 需要域控制器吗？

严格来说不需要，但对于任何拥有超过少数用户的部署，强烈建议使用。Active Directory 简化了用户管理、组策略实施和与其他 Microsoft 服务的集成。

RDS CAL 和 Windows Server CAL 有什么区别？

Windows Server CAL 授予对服务器基本服务（文件共享、打印服务等）的访问权限。RDS CAL 是一个额外的许可证，专门针对建立远程桌面会话以进行应用程序或桌面使用的每个用户或设备。

结论

正确部署的 Windows Terminal Server 是一个变革性的基础设施组件 — 集中应用程序交付、降低硬件成本、加强安全态势，并支持大规模无缝远程工作。无论您是为小团队设置第一个 Terminal Server，还是为数百个并发用户构建多服务器 RDS 场，本指南涵盖的原则都提供了坚实的基础。

您的底层基础设施质量最终将决定 Terminal Server 环境的可靠性和性能。对于寻求具有成本效益、可扩展且获得良好支持的平台的组织，探索来自具有企业级网络基础设施和 24/7 支持的提供商的 VPS Hosting 或 Dedicated Servers 是合乎逻辑的下一步。

*想要在可靠的高性能基础设施上部署您的 Windows Terminal Server？探索 AlexHost 的 VPS Hosting 和 Dedicated Servers 计划 — 为要求苛刻的工作负载而构建，在欧洲提供隐私友好的托管。*