Jun 16, 2023, updated at Jun 18, 2023 (UTC)

5460

RDS Farm 2022

Hallo Mitstreiter,

ich habe gerad ein Verständnisproblem.
Ich habe eine RDS Farm gebaut die aus
1x Server mit der Rollen Session Brocker + Lizenzserver
3x Server mit der Sessionhost bestellt.

An sich sollte nach einigen Anleitung die man so finden kann das ganze auch laufen.
Bekomme zu mindestens keine Fehlermeldung bei einrichten.

Mein Problem ist jetzt was ist der Eintrittspunkt für die Clients?
Wenn ich den Server angebe auf dem der Session Brocker läuft dann kommt immer, das der User nicht zur Anmeldung erlaubt ist. Was an sich ja klar ist der User sich ja sich ja nicht am Server direkt anmelden kann.
Wenn ich nun einen der TS angebe dann geht es auch aber ich komme nur auf den einen TS und wenn die Anzahl der Sitzungen erreicht ist, Dann kommt das er den 2 Sever nicht erreicht da er angeblich nicht in der Farm ist.
Was aber Käse ist, da ich die unter den Hostservern alle sehe.
Muss man jetzt doch noch einen RDS Gateway installieren? Das geht aus den vielen Anleitungen nicht so heraus?
Hat jemand ein Farm am laufen, wäre super wenn er sich melden würde.

Gruß Mario

Please also mark the comments that contributed to the solution of the article

Content-Key: 7548684728

Url: https://administrator.de/contentid/7548684728

Printed on: April 28, 2024 at 15:04 o'clock

30 Comments

Latest comment

Den Namen der TS Farm oder du ziehst dir die RDP verknüpfung über das Webportal vom RDSWEB. Damit geht das dann automatisch und du musst die dann nur noch verteilen. Und wenns dich Intressiert wie es in der Tiefe funktioniert kannst du die RDP Datei mal mit einem Editor aufmachen und ansehen

HI,

Hmmm wenn ich auf rds.domain.local/RDWeb gehe kommt nix?

Gruß mario

.local ist bekanntlich Tabu!
Hinweise zur Verwendung der Domäne .local in DNS und mDNS

Eigentlich müsste das https://FQDN/RdWeb sein, guck mal unter
RD Session Broker \ Servermanger \ Remotedesktopdienste \ Sammlungen \ SAMMLUNGEN \ AUFGABEN \ Bereitstellungseigenschaften bearbeiten \ Web Access für Remotedesktop \ FQDN \ URL

In der rdp-File steht dann etwa sowas drin:
gatewayusagemethod:i:0
gatewayprofileusagemethod:i:1
gatewaycredentialssource:i:0
full address:s:<FQDN RD Session Broker>
workspace id:s:<FQDN RD Session Broker>
use redirection server name:i:1
loadbalanceinfo:s:tsv://MS Terminal Services Plugin.1.<Sammlungsname>

Moin.

Mein Problem ist jetzt was ist der Eintrittspunkt für die Clients?

was war/ist denn dein Plan, was als Eintrittspunkt dienen soll? Ein bisschen Lesestoff zu dem Thema:
RDS Farm Connection Broker oder Load Balancer
https://turbofuture.com/computers/How-to-Setup-Remote-Desktop-Connection ...
https://www.mcseboard.de/topic/221404-rds-sammlung-lastausgleich/

Muss man jetzt doch noch einen RDS Gateway installieren?

Je nachdem was du für ein Sicherheitsbedürfnis hast bzw. die Anforderungen diesbezüglich sind. Da gibt es eigentlich keine Meinungen, aber das wird nach wie vor nicht wahrgenommen.

Das geht aus den vielen Anleitungen nicht so heraus?

Die Anleitungen sind vermutlich nicht für dich entstanden, sondern für den jeweiligen Autor.

Logisch, dass man diese niemals 1:1 für sich nutzen kann. Und schon gar nicht, wenn man die Technik nicht verstanden hat.

Hat jemand ein Farm am laufen, wäre super wenn er sich melden würde.

Hier. Was habe ich gewonnen?

@ukulele-7, @Mr-Gustav
Er hat nicht die RDS Rolle für RDWEB installiert, sondern Broker, Session-Host und Lizenzmanager.

Gruß,
Dani

Servus,

meine letzte RDS-Farm ist schon ein paar Tage her. Ich habe diese damals immer wie folgt aufgesetzt:

RDS Broker
RDS-Server
RDS-Licensing
RDS-Gateway
HTML5 Erweiterung.

Ob man alles in deinem Szenario braucht sei dahin gestellt, es zu haben schadet aber nie

1) RDS Rollen installieren - Hab diese damals auf jeweils einen eigenen Host ausgelagert, keine Ahnung, ob man alle Rollen auf einer VM installieren kann, und ob das Sinn macht. Bauchgefühl sagt ganz klar: Aufsplitten.

## Muss remote von einem anderen Host als dem Zielhost ausgeführt werden!!!
New-RDSessionDeployment -ConnectionBroker <server-fdqn> -SessionHost <server-fqdn> -WebAccessServer <server-fqdn>

Add-RDServer -Server <server-fdqn> -Role RDS-RD-SERVER -ConnectionBroker  <server-fdqn>
Add-RDServer -Server  <server-fdqn> -Role RDS-Licensing -ConnectionBroker  <server-fdqn>
Add-RDServer -Server  <server-fdqn> -Role RDS-Gateway -ConnectionBroker <server-fdqn> -GatewayExternalFqdn <rdweb-url> ## entsprechender DNS Eintrag muss manuell erstellt werden

2) Zertifikate hinterlegen (Bitte kein Self-Signed, nutze 3rd-Party einer offiziellen CA)

$Password = Read-Host -AsSecureString
Set-RDCertificate -Role RDWebAccess -ImportPath C:\temp\certificate.pfx -Password $Password -ConnectionBroker  <server-fdqn>-Force
Set-RDCertificate -Role RDPublishing -ImportPath C:\temp\certificate.pfx -Password $Password -ConnectionBroker  <server-fdqn> -Force
Set-RDCertificate -Role RDRedirector -ImportPath C:\temp\certificate.pfx -Password $Password -ConnectionBroker  <server-fdqn> -Force
Set-RDCertificate -Role RDGateway -ImportPath C:\temp\certificate.pfx -Password $Password -ConnectionBroker  <server-fdqn> -Force

3) Session Collection erstellen.

New-RDSessionCollection -CollectionName Desktop -CollectionDescription "Session Collection Name" -SessionHost <server-fdqn>-ConnectionBroker <server-fdqn>  

4) HTML5 Erweiterung - Keine Ahnung, ob das auch in einem zusammenhängenden Skript funktioniert, hab die Zeilen einzeln ausgeführt. Spricht aber nichts dagegen das in ein Skript zu hauen und alles aufeinmal auszuführen.

install-packageprovider -name NuGet -force

install-module -name PowerShellGet -force -allowclobber

$psgver = (get-installedmodule -name powershellget).version

import-packageprovider -name PowerShellGet -force -requiredversion $psgver

set-psrepository -name PSGallery -installationpolicy Trusted

import-module -name PowerShellGet -requiredversion $psgver

install-module -name RDWebClientManagement -acceptlicense

Import-RDWebClientBrokerCert c:\temp\pub-certificate.cer

Import-RDWebClientBrokerCert c:\temp\pub-certificate.cer

Deine RDS-Farm ist via HTML5 Client unter https://domain.tld/RDweb/Webclient erreichbar.
Die oben gezeigten PowerShell-Codes wurden zuletzt 2019 - 2020 ausgeführt, keine Gewähr auf dessen Funktion :D
Habe damit aber diverse RDS-Instanzen bereitgestellt, laufen vermutlich heute noch.

Das Setup ist allerdings mit RD-Web, wie bereits oben erwähnt hast Du die Rolle nicht installiert. Ich kenne nicht dein Use-case, aber mit dem von mir gezeigten Weg bekommst Du dein RDS zu mindestens via HTML5 Webclient ans laufen ;)

Hallo,

Dazu habe ich bereits mehrfach hier im Forum geschrieben, dass man die TSV Adresse in der Registry auf dem Broker eintragen kann und schon funktioniert es problemlos, dass die die Clients sich via RDP einfach zum Broker verbinden und danach vom Broker verteilt werden.

Auf den Broker selbst kommst du dann mit dem Konsolenmodus „mstsc /admin“

Der folgende Registry Eintrag ist dein Freund

HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\ClusterSettings\DefaultTsvUrl als 
REG_SZ

Beispiel:

Dein Sessionname: RDS-2k19.domain.hilfe

- DNS Eintrag RDS-2k19.domain.hilfe zeigt auf Broker IP
- Registry Eintrag setzen (Auf dem Broker)

HKLM\SYSTEM\CurrentControlSet\Control\TerminalServer\ClusterSettings\DefaultTsvUrl 
tsv://MS Terminal Services Plugin.1.RDS-2k19.domain.hilfe

HI,

danke für die Antworten.
ich dachte das es so funktioniert, das man sich mit dem Session Brocker verbindet und der dann im Hintergrund den nächsten Session Host nimmt wenn dieser sein Limit erreicht dann aufn den 2 geht usw.

Die Web Access Rolle wird automatisch mit installiert deswegen kein Erwähnung.
Unter Sammlung Web Access steht es genau so wie geschrieben drinnen.
Der IIS selbst läuft aber, also kann es nicht daran liegen.

Habe kein mDNS deswegen local, hatte da noch nie Probleme.

Gruß mario

Boaah Problem war der Edge der hatte immer ERR_SSL_KEY_USAGE_INCOMPATIBLE in Minischrift ausgeworfen.
Firefox und schon war ich drinnen. Dort die RDP heruntergeladen und nun geht alles

Auch die Verteilung auf den verschiedenen Session Hosts.

Danke
Gruß Mario

Ja der Edge und sein Cache wollen auch nicht meine Freunde sein.

Mist jetzt jetzt habe ich doch noch ein komisches Problem.
Im Netzwerk geht es nun ohne Probleme, aber wenn ich per VPN komme.

[Window Title]
Remotedesktopverbindung

[Content]
Die Verbindung mit der Remotesitzung wurde getrennt, da keine Lizenzserver für Remotedesktop vorhanden sind.
Wenden Sie sich an den Serveradministrator.

[^] Details ausblenden [OK]

[Expanded Information]
Fehlercode: 0x808
Erweiterter Fehlercode: 0x101
Zeitstempel (UTC): 06/22/23 08:27:16 AM

DNS über VPN geht, Firewall ist für den Tunnel alles erlaubt.

Unter Bereitstellungseingeschaften -> RD-Lizenzierung ist pro Benutz und der richtige Lizenz Server hinterlegt.
Aus der GPO ist es heraussen da es sonst Problem gibt beim einrichten der Sammlung.
Bin gerade verwirrt, woran es liegen soll.

Gruß Mario

Vor allem sollte der Lizenz egal sein ob du lokal oder über VPN rein kommst, oder gibt es dafür unterschiedliche Sammlungen oder gar RD-Broker? Bekommen die Clients vom VPN Server auch das DNS? In Sachen Lizenz müsste die Connection zwischen Session Host und Lizenzserver eine Rolle spielen, gibt es da auch eine Firewall?

Werden im Lizenzserver lizenzen ausgestellt / zugeordnet? Passiert das sofort bei Verbindungsaufbau oder später im Betrieb? Wird die Sitzung wirklich getrennt oder kommt nur das Ereignis? Was passiert bei Sitzungen die lokal "eröffnet" wurden und dann über VPN einfach nur übernommen werden?

Das wundert mich ja gerade auch, Wenn ich direkt RDP machen mit einem TS geht es sofort. Gehe ich ich den Brocker, kommt nur per VPN die Meldung, DNS funktioniert und kann alles im Netz erreichen. Ne sind alle in einer Ebene.
Ja der Lizenzserver stellt aus.
Sehr Sehr komisch das ganze.

Jetzt Fall ich vom glauben ab, ich habe an einem der TS den Remotedesktop-Lizenzierungsdiagnose geöffnet.
Da steht das der Sitzungshost keine Lizenz hat. Obwohl das in der Bereitstellung alle hinterlegt ist.
Dann habe ich in der GPO das hinterlegt, dann kam ich nimmer lokal rein.
Wieder rausgelöscht und in der Bereitstellung den Lizenzserver gelöscht und wieder die gleichen Daten eingetragen und es geht. Das muss man nicht verstehen.

Moin,

Da steht das der Sitzungshost keine Lizenz hat. Obwohl das in der Bereitstellung alle hinterlegt ist.
Dann habe ich in der GPO das hinterlegt, dann kam ich nimmer lokal rein.

das reicht nicht mehr. Der konfigurierte Lizenz-Server wird dem RDS Host zu gewiesen, wenn du eine Collection für den RDS Hosts anlegst. ich würde das nochmal verifizieren und Doppelung via GPO vermeiden.

Gruß,
Dani

HI,

in der Sammlung unter Bereitstellungseigenschaften bei Remotedesktoplizenzierung pro Benutzer und den Lizenzserver ist eingetragen. Dachte das vererbt er auf die Sitzungshost da diese dort ja hinterlegt sind.
Bin halt verwundert das die GPO dann das kaputt macht.
Unter Sammlung habe klar eine Sammlung. Es geht ja soweit.
Hatte nur gestern das Problem, das er auf einmal einen Benutzer nicht mehr reingelassen hat.
Ohne ein Meldung, erst als ich den RDS neu gestartet hatte ging das dann.

Gruß Mario

HI,

soweit geht nun alles wie ich es will.

Kann man den RDP Client so starten das er immer die Eingabe des Benutzernamen fragt.
Also nie was vor belegt.
Der GPO Eintrag "Auf dem Clientcomputer zur Eingabe von Anmeldinformationen auffordern" geht nicht, dann wir der User mit dem man sich angemeldet hat eingetragen.

Gruß Mario

Möglich, habe ich aber nie versucht. Auf die Schnelle:
https://www.authlite.com/kb/stop-rdp-client-from-remembering-last-userna ...

Du Fuchs, genau das habe ich gesucht.
Aber das langt nicht ganz, damit das wirklich funktioniert.
Muss man den Schlüssel HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers die Berechtigung verbieten für den User was zu speichern.
Das einzige was etwas nervig ist, das er immer der RDP Verbindung nicht vertraut, die muss ich noch signieren.

Gruß Mario

Ja das ist natürlich ein bisschen gebastel. Merkt er sich das "Vertrauen" mit dem RDP Server (wenn man beim Verbinden den Haken setzt) über den selben Schlüssel in der Registry? Du könntest das ja auch per GPO regelmäßig überschreiben / löschen, eventuell geht das besser. GPOs sind vor allem auch gleichzeitig eine Art der Dokumentation

Das Problem ist das er sich das immer merkt in der Reg. Da er dann den UsernameHint setzt. Dann ist es ihm egal was man in der GPO sagt. Wie gesagt dem Benutzer das Recht entziehen das er schreiben darf und schon fragt er schön brav nach dem Benutzername

HI,

jetzt habe ich doch noch ein Problem, wenn ein User eingeloggt ist und man will eine 2 Sitzung aufmachen dann übernimmt er ohne nachfrage die erste. Was ja mal richtig doof ist, ich aber nicht verstehe warum er das macht.

Gruß Mario

Zitat von @Mann-IT:

HI,

jetzt habe ich doch noch ein Problem, wenn ein User eingeloggt ist und man will eine 2 Sitzung aufmachen dann übernimmt er ohne nachfrage die erste. Was ja mal richtig doof ist, ich aber nicht verstehe warum er das macht.

Gruß Mario

Hallo,

das ist doch normal.

Pro User kannst du auf einem RDS Cluster eine Session eröffnen. Wenn du UPD nutzt, gibt es pro User SID auch nur eine UPD.

Oder loggen sich bei dir etwas alle mit dem gleichen User ein?

Gruß

HI,

unter TCP das gleiche.
Ich öffne die RDP Verbindung gebe meinen User und Kennwort ein und ich bin drinnen.
Wenn ich nun die Sitzung nach unten lege und auf dem lokalen Desktop gehe und wieder die RDP Verbindung anklicke hatte ich erwartet das wieder das Fenster für den Login kommt. Tut es aber nicht sondern Öffnen ohne nach was zu fragen die gleiche Verbindung.
Viel schlimmer ist, wenn ich die Remotesitzung sperre und lege sie nach unten und gehe wieder auf die RDP Verbindung dann öffnet er ohne Kennwort die gesperrte Sitzung!

Gruß Mario

Hallo,

Was willst du da jetzt mit TCP?

UPD != UDP.

UPD ist User Profile Disk l.

Hast du das Prinzip vom RDS verstanden?

Das ist doch völlig logisch, dass du in die gleiche Session wieder reinkommst wenn diese minimiert ist und die Credentials gespeichert hast.

Da musst du in deiner RdP Datei einstellen, dass es dich immer nach dem User fragen soll. Ein doppelter Login mit gleichen Benutzer ist nicht möglich

Hatte UDP gelesen dachte Du meinst die Verbindung.
Ja ich verstehe es sogar sehr gut.

Es ist alles so eingestellt das er eben nichts speichern soll und das ist was er auch im Public Mode macht.
Es soll immer Benutzer und Kennwort gefragt, solange noch keine Sitzung offen ist geht das auch.
Wenn ich nun eine 2te aufmachen will, soll er ja wieder nach Benutzername und Kennwort fragen.
Was er aber nicht macht, sondern die erste übernimmt.
Wenn ich per rechte Maustaste auf bearbeiten gehe dann kann ich mehrere Sitzungen aufmachen.
Bei doppelclick schnappt er sich wieder die erste Sitzung und geht ohne Kennwort abfrage rein.
Es ist als würde die ersten Eingaben zwischenspeichern. Wenn ich alles wieder zu mache dann geht es wieder.

Tatsächlich ist auch das Verhalten normal. Wenn du eine aktive Session über einen RD-Broker mit einer Sammlung geöffnet hast (egal ob Passwort lokal gespeichert, egal ob gesperrt oder nicht!) und eine neue Session über diesen Broker startest, egal welche Sammlung, dann wirst du automatisch angemeldet. Das wäre eigentlich gut wenn es denn nicht auch funktionieren würde wenn die aktive Sitzung gesperrt ist, damit lässt sich die Sperre aushebeln.

Es gibt eine GPO für den RD-SH:

Computerkonfiguration \ Richtlinien \ Administrative Vorlagen \ Windows-Komponenten \ Remotedesktopdienste \ Remotedesktopsitzungs-Host \ Sicherheit
Bei der Verbindungsherstellung immer zur Kennworteingabe auffordern = Aktiviert 

Damit wird die Passworteingabe erzwungen und somit auch eine Benutzereingabe möglich.

HI, dankt für die Info.
Aber das will nicht, hab es aktiviert und gpupdate gemacht.
Aber er meldet sich weiter an ohne Kennwort an.

Der Hintergrund ist der, es wird sich am Rechner mit einem Universal Account angemeldet den jeder kennt.
Und erst am RDS soll sich mit den eigenen Daten angemeldet werden. Da sollen mehrere Benutzer gleichzeitig sein.

Zitat von @Mann-IT:

Aber das will nicht, hab es aktiviert und gpupdate gemacht.
Aber er meldet sich weiter an ohne Kennwort an.

Ich habe es tatsächlich Freitag erst an unseren neuen Servern nachträglich gemacht. Wird es angewandt (siehe gpresult)? Ansonsten mal neu starten.

Der Hintergrund ist der, es wird sich am Rechner mit einem Universal Account angemeldet den jeder kennt.
Und erst am RDS soll sich mit den eigenen Daten angemeldet werden. Da sollen mehrere Benutzer gleichzeitig sein.

Das läuft bei uns auch so.

HI,

bin gerade etwas ratlos.
Aufm DC zeigt er meine Einstellungen an.
Am Client
gpupdate /force
Die Gruppenrichtlinieneinstellungen für den Computer wurden erfolgreich verarbeitet. Es wurden neue 2-Gruppenrichtlinienobjekte erkannt und angewendet.
Kein Error im Eventlog
gpresult /h c:\temp\gp.html
liefert kein Ergebnis bei Angewendete Gruppenrichtlinienobjekte

German solved Question Windows Server

Hotly discussed

Developer diary: Release 6.1admtech

End of availability for classic Teams clientDani