RDS 2019 externer Zugriff

Hallo Zusammen!

Ich habe einen RDS-Server 2019 auf einem Server 2019 laufen.
Er hat auch alle Rollen (Broker, Gateway, etc.) bis auf die Lizenz-Rolle, die läuft auf dem DC.

Nun habe ich das ganze in der Sophos-Firewall nach außen als virtuellen Webserver freigegeben.
Das RD-Gateway hat die interne und externe Adresse: rds.customer.com

Die Sophos hört auch auf diesen DNS-Namen und routet es auf die Webseite RDWeb weiter.
Es ist ein offizielles Wildcard-Zertifikat hinterlegt auf der Sophos und auf den ganzen TS-Rollen.

Intern funktioniert alles soweit. Mit VPN von einem externen Client aus auch.

Nur mittels Webserver-Protection komme ich nicht ganz durch, wobei es wohl nicht an der Sophos-Einstellung liegt. Zumindest sehe ich nichts geblocktes im Log.

Ich kann mich von extern via rds.customer.com im RDWeb einloggen.
Wenn ich dann eine APP (calc.exe) aufrufe kommt der Prompt zur Passworteingabe und nach einer Weile (Remoteverbindung wird initiiert) kommt dann:
Ihr Computer kann keine Verbindung mit dem Remotedesktop-Gatewayserver herstellen.
Wenden Sie sich an den Netzwerkadministrator, um Hilfe zu erhalten.

Nur der Netzwerkadministrator (in dem Fall leider ich), weiß jetzt nicht mehr weiter. Habe schon alles mögliche versucht.


Ím Eventlog finde ich dazu auf dem TS zu dieser Uhrzeit:

Anwendung:
Warnung -
Vom Regelmodul wurde ein Fehler bei der VL-Aktivierung gemeldet.
Ursache: 0x8007232B
AppId = 0ff1ce15-a989-479d-af46-f275c6370663, SkuId = dedfa23d-6ed1-45a6-85dc-63cae0546de6
Trigger=UserLogon(2)



Sicherheit:
Überwachung gescheitert - Von der Windows-Filterplattform wurde ein Paket blockiert.

Anwendungsinformationen:
Prozess-ID: 0
Anwendungsname: -

Netzwerkinformationen:
Richtung: Eingehend
Quelladresse: 192.168.1.1
Quellanschluss: 53
Zieladresse: 192.168.1.13
Zielanschluss: 58289
Protokoll: 17

Filterinformationen:
Laufzeit-ID des Filters: 71334
Ebenenname: Transport
Laufzeit-ID der Ebene: 13


Von der Windows-Filterplattform wurde ein Paket blockiert.

Anwendungsinformationen:
Prozess-ID: 0
Anwendungsname: -

Netzwerkinformationen:
Richtung: Ausgehend
Quelladresse: 192.168.1.13
Quellanschluss: 0
Zieladresse: 192.168.1.1
Zielanschluss: 0
Protokoll: 1

Filterinformationen:
Laufzeit-ID des Filters: 71336
Ebenenname: ICMP-Fehler
Laufzeit-ID der Ebene: 32


Eventlog Microsoft > Windows > TerminalServices-Gateway > Admin:
Die Windows-Firewallausnahme, durch die Netzwerkdatenverkehr mit Daten für Remotedesktopdienste-Clientverbindungen über den konfigurierten (nicht standardmäßigen) HTTPS-Port des Remotedesktopgateways zugelassen wird, konnte nicht geändert werden.


Eventlog Microsoft > Windows > TerminalServices-Gateway > Operational:
Der Benutzer "Administrator@CUSTOMER" auf Clientcomputer "192.168.1.1:36113" hat eine eingehende Verbindung initiiert. Diese Verbindung wurde möglicherweise noch nicht authentifiziert.


Die 192.168.1.1 ist die Sophos.

Im Firewall-Log steht allerdings nichts dazu, hatte die auch mal testweise ausgeschalten (also SW-Firewall auf dem TS) ...

Jemand noch eine Idee?

Vielen Dank!