Терминальный сервер на Windows Server 2022 для офиса из десяти человек и его экономика

Десять офисных компьютеров – десять обновлений, десять ремонтов и десять копий одних файлов. Терминальный сервер на Windows Server 2022 переворачивает схему: программы и данные живут на одной машине, а по сети на столы уходит только картинка. Ниже – сборка такого сервера на службах удалённых рабочих столов, выбор лицензий, лимиты сеансов и честная арифметика: когда одна машина дешевле десяти, а когда нет.

Роли службы удалённых рабочих столов и их задачи в маленьком офисе

В Windows Server 2022 службы удалённых рабочих столов (RDS) встроены в систему и собираются из отдельных ролей. Центральная деталь – узел сеансов удалённых рабочих столов (RD Session Host): на нём работают сеансы пользователей. Один экземпляр системы обслуживает многих сразу, каждый в изолированном сеансе, чужие окна не видны. Десяти сотрудникам одного узла хватает с запасом, если не нагружать сервер 3D-графикой и монтажом видео.

Брокер подключений (RD Connection Broker) встречает входящего, распределяет нагрузку и после обрыва возвращает человека в прежний сеанс: пропала сеть, разрядился ноутбук – сессия ждёт на месте. Веб-доступ (RD Web Access) рисует портал в браузере с опубликованными столами и программами. Роль лицензирования (RD Licensing) выдаёт и считает клиентские лицензии RDS CAL. Шлюз (RD Gateway) нужен для работы из дома: он заворачивает протокол удалённого рабочего стола в HTTPS на порт 443.

По сути, схема повторяет кухню ресторана: гость видит тарелку, готовка идёт в закрытом помещении, данные не покидают сервер – на этом строится экономия.

Установка ролей через Диспетчер серверов и PowerShell

Развёртывание начинается в Диспетчере серверов. Открывается Управление → Добавить роли и компоненты, в мастере выбирается "Установка служб удалённых рабочих столов", затем "Стандартное развертывание" и "Развёртывание рабочих столов на основе сеансов". Все три роли для десяти человек живут на одной физической машине, поэтому во всех списках выбирается один и тот же сервер. Остаётся включить флажок "Автоматически перезапускать конечный сервер при необходимости", нажать "Развернуть" и дождаться перезагрузки.

Далее добавляется роль лицензирования: Службы удалённых рабочих столов → Обзор, плитка "+ Лицензирование удалённых рабочих столов", тот же сервер, кнопка "Добавить". В разделе Серверы правый клик по серверу открывает Диспетчер лицензирования удалённых рабочих столов: Действие → Активировать сервер, поля компании, далее по умолчанию. После активации выбирается Действие → Обзор конфигурации → Добавить в группу, и сервер лицензирования регистрируется в домене.

Третья часть – коллекция сеансов, контейнер, связывающий узел, пользователей и настройки: Службы удалённых рабочих столов → Коллекции → Задачи → Создать коллекцию сеансов. Задаётся имя, например "Офис", выбирается узел, группа пользователей (подойдёт "Пользователи домена") и сетевой путь к дискам профилей вида \\SRV-RDS\Профили с лимитом от 5 до 10 ГБ на человека. Люди подключаются программой "Подключение к удалённому рабочему столу" (команда mstsc) по имени сервера, а браузерный портал живёт на https://SRV-RDS/RDWeb.

Тот же результат собирает одна команда PowerShell от имени администратора на будущем сервере:

New-SessionDeployment -ConnectionBroker SRV-RDS.office.local -WebAccessServer SRV-RDS.office.local -SessionHost SRV-RDS.office.local

Роль лицензирования добавляется отдельно, дальше остаётся активация в Диспетчере лицензирования:

Install-WindowsFeature RDS-Licensing

Проверка готовности умещается в два командлета: Get-RDSessionCollection покажет коллекцию, Get-RDUserSession выведет пользователей с их сеансами.

Лицензии RDS CAL на пользователя или на устройство и льготные 120 дней

С первого подключения клиента сервер работает без активированного сервера лицензирования 120 дней. Это официальная отсрочка: по её истечении пользователи без лицензий перестают входить в систему. Покупку RDS CAL планируют заранее – льготный таймер стартует с первым подключением, а не с момента, когда админ доберётся до прайса.

Типов лицензий два. RDS CAL на пользователя закрепляется за учётной записью и разрешает вход с любого устройства: утром стационарный компьютер, днём ноутбук. Технически сервер их не перепроверяет, за число людей отвечает администратор. RDS CAL на устройство прикрепляется к конкретной машине и контролируется автоматически: сначала временная лицензия на 90 дней, потом постоянная, срок жизни которой случаен – от 52 до 89 дней, затем обновление. Выбор простой: у каждого свой компьютер – лицензии на пользователя, за одними машинами работают две смены – на устройство.

Ещё две тонкости: RDS CAL покупаются вдобавок к клиентским лицензиям Windows Server, а не вместо них, и у лицензий есть поколение – RDS CAL для Windows Server 2022 подходит к узлам 2022 года и старше, а лицензия 2019 года к узлу 2022 года не подключится, вверх система растёт, вниз нет.

Режим лицензирования задаётся в свойствах развертывания: Службы удалённых рабочих столов → Обзор → Задачи → Изменить свойства развертывания → раздел "Лицензирование удалённых рабочих столов", вариант "На пользователя". Если домена нет, узел переводится в нужный режим правкой реестра: в командной строке от имени администратора выполняется команда, значение 4 – режим на пользователя, значение 2 – на устройство, после перезагрузки она вступит в силу:

reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\RCM\Licensing Core" /v LicensingMode /t REG_DWORD /d 4 /f

Адрес сервера лицензирования узлу сообщается политикой: Конфигурация компьютера → Политики → Административные шаблоны → Компоненты Windows → Службы удалённых рабочих столов → Узел сеансов удалённых рабочих столов → Лицензирование, политика о задании серверов лицензирования. В поле вписывается имя сервера, и узел перестаёт искать лицензии наугад. Диспетчер лицензирования строит отчёты по выданным лицензиям на пользователя. Даже с истёкшим сроком сервер не запирается наглухо: администраторам доступны два служебных сеанса, обычным пользователям вход закроется.

Проверка подлинности на уровне сети и лимиты времени для сеансов

Первая линия обороны – проверка подлинности на уровне сети (Network Level Authentication, NLA): пользователь доказывает серверу, кто он, ещё до открытия сеанса, и сервер не тратит память на чужие подключения. Проверка: клавиши Win+R, команда sysdm.cpl, вкладка "Удалённый доступ", отмечен пункт "Разрешить подключения только с компьютеров, на которых работает удалённый рабочий стол с проверкой подлинности на уровне сети (рекомендуется)". Тот же режим дублируется политикой "Требовать проверку подлинности пользователя для удалённых подключений с помощью проверки подлинности на уровне сети" в разделе Безопасность. Дальше гигиена: порт 3389 не смотрит в интернет, для дома есть шлюз, пароли длинные, после нескольких неудачных попыток учётная запись блокируется.

Вторая часть – лимиты сеансов. Сотрудник ушёл и забыл закрыть сеанс: тот держит память, открытые файлы и базу, в которую никто не войдёт. Лекарство живёт в том же дереве политик узла сеансов, раздел Ограничения сеансов по времени. Рабочие значения: политика "Устанавливать предел времени для активных, но неактивных сеансов служб удалённых рабочих столов" со значением 2 часа, "Устанавливать предел времени для отключённых сеансов" со значением 1 час и политика прекращения сеанса при достижении пределов в состоянии "Включено" – иначе лимиты только предупреждают.

Те же лимиты применяет к коллекции одна команда PowerShell от имени администратора на брокере, без перезагрузки:

Set-RDSessionCollectionConfiguration -CollectionName "Офис" -IdleSessionLimitMin 120 -DisconnectedSessionLimitMin 60

Кто сидит на сервере, показывает командная строка: quser выводит сеансы с именами и временем неактивности, logoff с номером сеанса завершает его принудительно:

quser
logoff 4

Несохранённые документы при logoff пропадают, поэтому команда – инструмент для зависших сеансов.

Периферия простая. Принтеры подхватываются технологией Easy Print, серверу не нужны драйверы каждой модели. С дисками наоборот: если данные должны оставаться внутри сервера, в разделе Перенаправление устройств и ресурсов включается политика "Не разрешать перенаправление дисков", и локальные диски сотрудников перестают быть видны в сеансе. Политика "Не разрешать перенаправление клиентских принтеров" (раздел Перенаправление принтеров) пригодится только при переходе на общие сетевые принтеры.

Старые программы в терминальном режиме и обход типовых конфликтов

Миграция приложений – самое скользкое место проекта, и проверять её надо до закупки лицензий. Программа запускается в двух сеансах одновременно: часть старых приложений пишет настройки в общие места вроде C:\ProgramData и веток реестра HKLM, и два пользователя мешают друг другу блокировками и вылетами. Час тестов на этапе оценки экономит недели починки после.

Отдельные поколения сервер не переварит: 16-битные приложения на 64-битном Windows Server 2022 не исполняются, а древние DOS-программы живут только в эмуляторе вроде DOSBox. С капризами уровня "установщик падает на новой системе" справляется режим совместимости: Свойства ярлыка → вкладка Совместимость → флажок "Запустить программу в режиме совместимости для:" → Windows 7.

Установщики старого поколения прописывают ярлыки только текущему пользователю; для них в системе остался режим установки служб терминалов. В командной строке от имени администратора, где setup.exe – имя своего установщика:

change user /install
setup.exe
change user /execute

Первая команда включает режим установки, третья возвращает рабочий, и ярлыки с настройками достаются всем пользователям.

Лучший формат выдачи старой программы – RemoteApp: пользователь видит не весь рабочий стол, а одно окно приложения среди своих локальных окон. Путь: Службы удалённых рабочих столов → Коллекция "Офис" → Публикация → "Опубликовать программы RemoteApp". Через портал RDWeb те же программы запускаются из браузера на любом устройстве. Последняя ловушка – лицензии самих приложений: часть бухгалтерских и складских программ продаётся по числу рабочих мест, и сервер их условия не отменяет. Вопрос выясняется у поставщика до переезда.

Экономика десяти рабочих мест на одном сервере и тонкие клиенты

Список закупок для десяти рабочих мест:

1. лицензия Windows Server 2022 Standard с учётом всех физических ядер сервера;
2. десять клиентских лицензий Windows Server для пользователей;
3. десять RDS CAL, на пользователя или на устройство;
4. сам сервер, ориентировочно от 6 до 8 ядер, 32 ГБ ОЗУ и SSD-диск;
5. носитель для резервных копий и источник бесперебойного питания.

Суммы зависят от канала закупки и даты, поэтому честнее смотреть не на цены, а на структуру затрат. В начале проект проигрывает: сервер стоит как два-три системных блока, а лицензий в списке три вида. Перелом наступает дальше: десять рабочих станций не обновляются каждые несколько лет, обновления и резервные копии касаются одной машины, данные не рассыпаются по столам. Тонкие клиенты вместо системных блоков служат дольше и почти не жгут электричество; в их роли работает и старый ноутбук со встроенным "Подключением к удалённому рабочему столу".

Границы выгоды тоже честные. Меньше пяти рабочих мест – сервер обычно избыточен, лицензии и труд администратора не окупаются. Графика, 3D и монтаж видео по удалённому столу тормозят и раздражают. Программы, не дружащие с многопользовательским режимом, заставят держать пару обычных компьютеров рядом. Главный риск – единая точка отказа: погас сервер, и встали все десять человек сразу. Лечится это автоматической резервной копией, проверенной восстановлением, и старым системным блоком с нужными программами в шкафу.

Зато в смету не входит главный бонус: сотрудник перестаёт быть привязан к столу. Пробка или болезнь – человек подключается к своему сеансу из дома через шлюз и работает с теми же файлами.

Разумный порядок: два-три сотрудника пару недель работают внутри льготных 120 дней, слабые места проявляются на живых задачах, потом покупаются десять RDS CAL и переезжает весь офис. Терминальный сервер – не волшебная палочка, а рабочий инструмент: при подходящей нагрузке он режет расходы на парк компьютеров, при неподходящей делает весь офис зависимым от одного ящика.