Remote Desktop Gateway Installation/Konfiguration

Das Remote Desktop Gateway (RD Gateway) ist ein Service der Remote Desktop Rolle und dient der Absicherung von RDP-Verbindungen und RD Session Host Verbindungen (Desktops und RemoteApps), indem das Remote Desktop Protokoll über eine SSL-Verbindung getunnelt wird.

Im folgenden Beispiel wird folgende grundlegende Konfiguration durchgeführt (RD Gateway ist hier Domain-joined):

• Hostname / FQDN des RD Gateways: gateway / gateway.lab.local
• Domain: lab.local
• Zertifikat: Self-Signed (empfohlen ist natürlich die Verwendung eines CA-signierten Zertifikats)
• Anmeldung an RD Session Hosts über das RD Gateway: Gruppe der lokalen Remote Desktop Users und der lokalen Administrators
• Anmeldung an allen Systemen per RDP über das RD Gateway: Gruppe der lab.local Domain Admins

# Deklaration der Variablen
$CertSubject = "gateway.lab.local"
$CertSAN = "gateway"
$RDUserGroup = "Remote Desktop Users@BUILTIN"
$RDAdminGroup = "Administrators@BUILTIN"
$RDComputerGroup = "RDS Endpoint Server@lab.local"
$DomainAdmins = "Domain Admins@lab.local"

# Installation der Remote Desktop Gateway Komponenten
Add-WindowsFeature -Name RDS-Gateway -IncludeAllSubFeature

# Importieren der RDS PowerShell Module
Import-Module RemoteDesktopServices

# Erstellung eines Self-Signed Zertifikats und Export zur Verteilung auf den Clients
$Cert | New-SelfSignedCertificate -CertStoreLocation Cert:\LocalMachine\My -DnsName $CertSubject,$CertSAN
$Cert | Export-Certificate -FilePath "C:\Temp\$CertSubject.cer" -Force -Type CERT

# Aktualisierung der RDGW Konfiguration mit dem Thumbprint des neu erstellten Zertifikats
Set-Location RDS:\GatewayServer\SSLCertificate
Set-Item .\Thumbprint -Value $Cert.Thumbprint

# CAP/RAP für Domain Admins: Zugriff auf alle Geräte
New-Item -Path RDS:\GatewayServer\CAP -Name RDGW-CAP-RDP_Admin_Access -UserGroups $DomainAdmins -AuthMethod 1
New-Item -Path RDS:\GatewayServer\RAP -Name RDGW-RAP-RDP_Admin_Access -UserGroups $DomainAdmins -ComputerGroupType 2

# CAP/RAP für Remote Desktop Session Host Benutzer und Remote Desktop Session Host Administratoren: Zugriff nur auf Remote Desktop Session Hosts
New-Item -Path RDS:\GatewayServer\CAP -Name RDGW-CAP-RDSH_Access -UserGroups @($RDUserGroup; $RDAdminGroup) -AuthMethod 1
New-Item -Path RDS:\GatewayServer\RAP -Name RDGW-RAP-RDSH_Access -UserGroups @($RDUserGroup; $RDAdminGroup) -ComputerGroupType 1 -ComputerGroup $ComputerGroup

# Neustart des RDGW Service zur Anwendung der Konfigurationsänderung
Restart-Service TSGateway

Eine Alternative zum RD Gateway ist z.B. die Nutzung der RDP Proxy Funktion des Citrix NetScalers.