Sitzungsaufbau Remote Desktop Services ohne Internet Zugriff

Morgen,

ich habe eine Firewall-Regel (Sophos) etabliert die es meinen lokalen Client PCs (Windows 10 Pro) weitestgehend verbietet, ins Internet zu gehen (lediglich Ping und DNS sind erlaubt). AD und WSUS ist alles lokal und kann erreicht werden. Von diesen Clients verbinden sich die User auf eine lokale RD-Farm (Windows Server 2012 R2) mit einem Broker und vier RD-Session Hosts (verschiedene "Sammlungen").

Seit einigen Tagen dauert der Anmeldevorgang einer neuen Sitzung am RD-SH sehr lange, deutlich über 1 Minute. Hat eine Weile gedauert bis ich verstanden habe das nicht die neuen Updates sondern offensichtlich der fehlende Internet-Zugriff das Problem ist.

DNS wird auf eine lokale IP aufgelöst, die Kommunikation zwischen Clients und RD-SH läuft gar nicht über Router und Firewall (derzeit auch kein Subnetting). Wenn ich jetzt dem Client Internet-Zugriff gebe dauert der Aufbau einer neuen Verbindung / Sitzung <10 Sekunden. Nehme ich ihm den Zugriff wieder weg geht es weiterhin schnell, auch ipconfig /flushdns oder ein Neustart ändern nichts an der Sache, das Verhalten tritt also scheinbar erst nach einer gewissen Zeit wieder auf.

Ich kann mich alternativ am Session Broker vorbei direkt an einen Session Host verbinden, das geht ebenfalls immer schnell, auch ohne Internetverbidnung.

Jetzt ist die große Frage was macht Windows 10 da für das eine Internetverbindung gebraucht wird um im lokalen Netz eine RDP-Sitzung aufzubauen? - Ich werde wohl oder übel mal den Netzwerktraffic mitlesen müssen, bin aber in der Sache nicht geübt. Für Anregungen oder weiterführende Kentnisse wäre ich sehr dankbar.

Die einzige Erklärung die mir noch in den Sinn kommt wäre eine Zertifikatsprüfung oder ähnliches durch den Client die auf einen Timeout läuft. Die RD-Umgebung hat nur selbst ausgestellte Zertifikate, es müsste aber um das des Brokers gehen. Aber - reine Spekulation.