Převod počítače s Windows na tenkého klienta plně optimalizovaného pro vzdálenou plochu je vysoce efektivní způsob, jak prodloužit životnost staršího zařízení, snížit náklady a centralizovat správu. Místo lokální práce se uživatel přihlašuje přímo k serveru nebo infrastruktuře VDI a veškeré zpracování probíhá v datovém centru nebo cloudu.
Myšlenka je taková, že se zařízení spustí, automaticky načte relaci RDP (nebo webového klienta) a aplikuje dobře definované zásady relace a zabezpečení , takže pro uživatele to bude působit jako zapnutí standardního „hloupého terminálu“. Uvidíme krok za krokem a velmi podrobně, jak jednotlivé části spojit dohromady: technologii tenkých klientů, Služby vzdálené plochy, webového klienta, certifikáty, zásady a řešení problémů.
Co je to tenký klient a proč má smysl používat Windows jako tenký terminál?
Tenký klient je v podstatě velmi jednoduché zařízení, které se téměř výhradně spoléhá na vzdálený server pro spouštění aplikací, ukládání dat a obecně pro vykonávání těžké práce. Počítač koncového uživatele je zodpovědný pouze za zobrazení rozhraní, správu klávesnice/myši a nic dalšího.
Když používáme počítač s Windows jako tenkého klienta, minimalizujeme využití lokálních zdrojů a konfigurujeme systém tak, aby se automaticky připojoval k relaci RDP, virtuální ploše nebo publikovaným vzdáleným aplikacím.
Tento přístup má jasné výhody: hardware uživatele může být skromný, incidenty se řeší na serveru a data nejsou rozptýlena po každém počítači v kanceláři , ale centralizována a chráněna v datovém centru nebo v cloudu.
Model tenkého klienta se navíc perfektně hodí k moderním řešením, jako je Azure Virtual Desktop, RDS na Windows Serveru nebo VDI třetích stran (Citrix, VMware, TSplus atd.), která jsou již navržena pro obsluhu mnoha relací z jednoho centralizovaného prostředí.
Klíčové výhody technologie tenkých klientů
Technologie tenkých klientů je založena na velmi jednoduchém principu: přesunutí zpracování a dat na server . Tato změna zaměření přináší řadu výhod, které samy o sobě ospravedlňují úsilí o vytvoření dobře navržené infrastruktury vzdálené plochy.
Z hlediska ceny jsou tencí klienti obvykle jednodušší zařízení s menším diskovým prostorem a menším výkonem procesoru, což má za následek nižší spotřebu energie a delší životnost . I starý počítač s Windows lze přeměnit na tenkého klienta a ten pak může zůstat užitečný ještě několik let.
Z bezpečnostního hlediska zůstávají při práci s centrálními servery kritické aplikace a citlivá data na back-endu . Riziko krádeže dat na pracovní stanici se snižuje a je snazší implementovat šifrování, zálohy a řízení přístupu z jednoho místa.
V oblasti IT administrace je zisk obrovský: aktualizace, záplaty a změny konfigurace se provádějí na serveru nebo v obrazech VDI, což umožňuje centralizovanou správu namísto individuálního přístupu ke každému počítači . Přidání nových uživatelů nebo oddělení se stává otázkou několika minut.
A konečně, jedná se o vysoce škálovatelné prostředí: pokud poptávka roste, lze rozšířit serverové prostředky nebo přidat nové počítače do fondu relací a uživatelé se mohou připojovat z více tenkých terminálů bez velkých investic do pracovních stanic.
Výběr hardwaru, operačního systému a virtualizačního softwaru
Chcete-li používat Windows jako tenkého klienta se vzdálenou plochou, musíte vždy považovat server za srdce systému. Počítač uživatele je důležitý, ale to, co skutečně určuje výkon, je kapacita serveru a síť, která je propojuje.
Pro server je vhodné zvolit vícejádrový procesor s dobrou taktovací frekvencí, protože bude zpracovávat více uživatelských relací paralelně . Pro malá prostředí můžete začít s několika jádry, ale ve scénářích s desítkami simultánních uživatelů je hardware serverové třídy téměř nezbytný.
Dalším kritickým faktorem je paměť RAM: každá relace RDP nebo VDI spotřebovává značné množství paměti, takže 16 GB je rozumné minimum pro malá prostředí, zatímco střední a velké instalace obvykle vyžadují více než 32 nebo 64 GB . Úložiště SSD je vhodnější pro rychlé čtení a zápis a plynulé a nerušené relace.
Pokud jde o tenká klientská zařízení, můžete si vybrat mezi specializovanými terminály od výrobce nebo upravenými počítači s odlehčeným systémem Windows. Důležité je, aby měly dobrou síťovou konektivitu a podporu pro RDP klienta (nebo pro moderní prohlížeč, pokud se rozhodnete pro webového klienta) a v případě potřeby i kompatibilitu se specifickými periferiemi (čtečky karet, tiskárny atd.).
Pokud jde o serverový operační systém, nejběžnější volbou je Windows Server (2016, 2019 nebo novější) se službou Vzdálená plocha. Zatímco prostředí Linux lze použít pro jiné úkoly, Windows Server je přirozenou integrací pro RDP a Služby Vzdálená plocha . Mnoho organizací také začleňuje další software VDI, jako je Citrix Virtual Apps and Desktops, VMware Horizon nebo řešení jako TSplus pro zjednodušené publikování aplikací a webový přístup.
Příprava infrastruktury vzdálené plochy pro použití systému Windows jako tenkého klienta
Než bude moci uživatel zapnout počítač a přímo se přihlásit ke vzdálené ploše, musí být infrastruktura RDS řádně nastavena. To zahrnuje nasazení a konfiguraci standardních rolí vzdálené plochy a zajištění správné certifikace a licence všech funkcí.
Typická implementace bude zahrnovat alespoň jeden server s rolí Zprostředkovatele připojení k vzdálené ploše , další s rolí Přístup k webu RD a bránu vzdálené plochy , pokud je požadován přístup z vnějšku interní sítě. V mnoha prostředích jeden nebo více serverů funguje také jako hostitel relací vzdálené plochy.
Je důležité, aby infrastruktura byla nakonfigurována pro používání licencí RDS CAL založených na uživatelích, nikoli na zařízeních, protože jinak bychom mohli rychle spotřebovat všechny licence opětovným použitím tenkých počítačů . Tato volba se provádí v nastavení licencování Služby vzdálené plochy.
Pokud jde o aktualizace, společnost Microsoft vyžaduje, aby na serveru Gateway byly pro správné fungování webového klienta Vzdálené plochy nainstalovány určité znalostní báze (KB). Jednou z nejčastěji uváděných je KB4025334 ve Windows 10 a její následné kumulativní aktualizace , která je obvykle součástí novějších aktualizací. Doporučuje se zkontrolovat, zda je váš systém aktuální.
Otázka digitálních certifikátů je důležitá: pro zajištění bezpečného přístupu a zamezení zahlcení uživatelů oznámeními se doporučuje nakonfigurovat veřejně důvěryhodné certifikáty pro RD Gateway i RD Web Access . FQDN použitý v URL se musí shodovat s certifikátem a prohlížeč musí důvěřovat dané certifikační autoritě (CA).
Nastavení a publikování webového klienta Vzdálené plochy
Webový klient Vzdálené plochy umožňuje přístup k plochám a publikovaným aplikacím z moderního prohlížeče (Edge, Chrome atd.) bez nutnosti instalace tradičního RDP klienta. To je ideální, když chcete, aby tenký klient jednoduše otevřel prohlížeč a načetl URL adresu webového klienta a zbytek práce nechal na serveru.
Chcete-li jej nakonfigurovat, musíte nejprve zajistit, aby implementace RDS obsahovala RD Gateway, RD Connection Broker a RD Web Access v systému Windows Server 2016 nebo 2019. Odtud pracujete na serveru hostujícím roli RD Web Access pomocí specifických modulů PowerShellu.
Standardní proces instalace webového klienta zahrnuje otevření konzole PowerShell se zvýšenými oprávněními na serveru RD Web Access a v případě systému Windows Server 2016 aktualizaci modulu PowerShellGet pomocí příkazu, jako je Install-Module -Name PowerShellGet -Force, aby se nainstalovaly zbývající moduly z galerie.
Dále se pomocí příkazu typu `Install-Module -Name RDWebClientManagement` nainstaluje modul RDWebClientManagement . Poté se pomocí příkazu `Install-RDWebClientPackage` stáhne nejnovější verze webového balíčku, který se stará o načtení obsahu klienta z Galerie PowerShellu.
Po stažení balíčku je třeba importovat certifikát RDS Broker na server RD Web Access pomocí příkazu jako ` Import-RDWebClientBrokerCert <cesta k .cer>` , aby webový klient mohl důvěřovat zprostředkovateli připojení. Nakonec publikujte balíček pomocí `Publish-RDWebClientPackage -Type Production -Latest`, aby byl klient přístupný na adrese URL ve formátu https://FQDN_server/RDWeb/webclient/index.html.
Po vydání nové verze webového klienta jednoduše zopakujte stahování pomocí příkazu Install-RDWebClientPackage a aktualizujte publikaci spuštěním příkazu Publish-RDWebClientPackage -Type Production -Latest . Pokud chcete ověřit novou verzi na alternativní URL adrese, aniž by to ovlivnilo všechny uživatele, můžete předem použít testovací režim.
Instalace, odinstalace a scénáře bez přístupu k internetu
Někdy může být nutné webového klienta Vzdálené plochy zcela odebrat, například pokud byla nainstalována předchozí nebo zkušební verze, kterou již nepotřebujete. Za tímto účelem se zruší publikování balíčků ze serveru RD Web Access a veškerá konfigurace se odstraní pomocí příkazu Uninstall-RDWebClient.
Dalším krokem je odinstalace modulu pro správu pomocí příkazu jako ` Uninstall-Module -Name RDWebClientManagement` . Pokud byla dříve používána starší verze modulu a systém si stěžuje na nekompatibility, může být nutné před spuštěním příkazu `Uninstall-RDWebClient` a vyčištěním prostředí před upgradem na novější verzi znovu nainstalovat danou verzi.
V izolovaných sítích bez přístupu k internetu ze serveru RD Web Access lze instalaci webového klienta připravit z jiného počítače, který má přístup k externí síti. Na tomto počítači se importuje modul RDWebClientManagement, balíček webového klienta se uloží do lokální složky pomocí příkazu Save-RDWebClientPackage "C:\WebClient\" a soubory modulu se stáhnou také pomocí příkazu Find-Module -Name "RDWebClientManagement" | Save-Module -Path "C:\WebClient\".
Jakmile je veškerý obsah dané složky zkopírován na server RD Web Access, máte dvě možnosti: importovat modul přímo z cesty, kam byl zkopírován, nebo přesunout složku do jednoho z umístění uvedených v $env:PSModulePath . Pokud je modul k dispozici lokálně, nainstalujte balíček pomocí Install-RDWebClientPackage -Source "C:\WebClient\rdwebclient-xyzzip" a pokračujte obvyklými kroky publikování.
Tímto způsobem může být i v prostředích s velmi přísnými síťovými kontrolami k dispozici plně funkční webový klient Vzdálené plochy , aniž by bylo nutné, aby produkční servery přímo přistupovaly k Galerii PowerShellu.
Připojení webového klienta k brokerovi bez brány na Windows Serveru 2019
Systém Windows Server 2019 nabízí možnost povolit webovému klientovi připojení k zprostředkovateli vzdálené plochy bez nutnosti brány RD, což je užitečné v interním nebo laboratorním prostředí. Tento scénář vyžaduje konfiguraci certifikátů a parametrů WebSocket na serveru zprostředkovatele a případně i na hostiteli relace.
Pokud server Connection Broker ještě nemá vázaný certifikát, přejděte ve Správci serveru do Služby vzdálené plochy, otevřete Zobrazení nasazení, přejděte do nabídky Úlohy a vyberte možnost Upravit vlastnosti nasazení. Na kartě Certifikáty vyberte položku Connection Broker – Povolit jednotné přihlášení a vytvořte nový certifikát nebo použijte existující certifikát, buď veřejně důvěryhodný certifikát, nebo certifikát z podnikové PKI.
Pokud již vázaný certifikát existuje, lze jej znovu použít zkopírováním jeho otisku z konzole certifikátů. S tímto otiskem otevřete PowerShell jako správce a spusťte příkaz `netsh http add sslcert ipport=0.0.0.0:3392 certhash="<thumbprint>" certstorename="Remote Desktop" appid="{GUID}"`, abyste certifikát přiřadili k zabezpečenému portu 3392 , který bude kanál WebSocket používat.
Dále otevřete registr systému Windows (regedit) a vyhledejte klíč HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp. V tomto klíči se nachází hodnota s názvem WebSocketURI, která musí být nastavena na https://+:3392/rdp/ , čímž určuje cestu, kterou bude webový klient používat pro komunikaci s brokerem prostřednictvím WebSocketu.
Pokud se server hostitele relací vzdálené plochy liší od zprostředkovatele připojení, je nutné na hostiteli relace replikovat podobný proces: vytvořit nebo přiřadit certifikát, navázat ho na port 3392 pomocí příkazu netsh a ověřit, zda hodnota WebSocketURI v registru odpovídá https://+:3392/rdp/. To vše je nutné provést na serverech Windows Server 2019 s platnými veřejnými certifikáty , přičemž síť SAN je nakonfigurována na plně kvalifikovaný název domény počítače a název sítě je stejný jako u sítě SAN.
Zásady a nastavení webových klientů: telemetrie a spouštění zdrojů
Jakmile je webový klient spuštěný a funkční, můžete omezit přístup uživatelů v jeho panelu nastavení. Společnost Microsoft poskytuje řadu cmdletů pro řízení chování rozhraní, zejména pokud jde o telemetrii a způsob přístupu ke vzdáleným zdrojům.
Ve výchozím nastavení si uživatelé mohou v panelu O nás zvolit, zda chtějí společnosti Microsoft odesílat telemetrická data. Pokud organizace preferuje blokování přenosu dat pomocí zásad, lze spustit příkaz jako ` Set-RDWebClientDeploymentSetting -Name "SuppressTelemetry" $true` . Pokud je tato hodnota nastavena na `true`, telemetrie je zakázána a uživatel ji nemůže znovu povolit.
Pokud jde o spouštění ploch a aplikací, webový klient obvykle umožňuje vybrat si mezi otevřením zdroje v samotném prohlížeči nebo stažením souboru .rdp pro použití s lokálním RDP klientem. To lze nakonfigurovat pomocí volby ` LaunchResourceInBrowser` s `Set-RDWebClientDeploymentSetting -Name "LaunchResourceInBrowser" na hodnotu $true nebo $false`.
Nastavením parametru `LaunchResourceInBrowser` na hodnotu `true` se zdroje vždy spustí v prohlížeči bez možnosti jejich stažení. Nastavením na hodnotu `false` se však zdroje vždy spustí stažením souboru .rdp, který je určen pro klienty RDP nainstalované na lokálním počítači, což je méně běžné, pokud se zařízení používá jako čistě tenký klient.
Pokud se později budete chtít vrátit k výchozímu nastavení, můžete pro každé nastavení použít Reset-RDWebClientDeploymentSetting s parametrem -Name, například Reset-RDWebClientDeploymentSetting -Name "LaunchResourceInBrowser" nebo Reset-RDWebClientDeploymentSetting -Name "SuppressTelemetry". Tím se obnoví řízení původního chování webového klienta.
Konfigurace sítě, přímé spouštění a zásady relace pro systém Windows jako tenkého klienta
Aby počítač s Windows skutečně fungoval jako tenký terminál, je zásadní optimalizovat jak síť, tak proces přihlašování. Cílem je, aby uživatel Windows sotva viděl a byl okamžitě připojen ke své relaci RDP nebo webovému klientovi.
Na straně sítě se doporučuje stabilní topologie, vysoce kvalitní přepínače a pokud možno segmentace VLAN pro izolaci provozu vzdálené plochy. Servery DHCP musí být správně nakonfigurovány tak, aby tencí klienti automaticky a konzistentně získávali IP adresy , a servery DNS musí správně překládat plně kvalifikované doménové jméno (FQDN) webového serveru RD a brokera.
Brána firewall, a to jak na perimetru, tak na samotných serverech, musí otevírat potřebné porty pro RDP, RD Gateway a WebSocket (pokud je to relevantní). Příliš restriktivní konfigurace může způsobit, že uživatelé uvidí ikony v sekci „Všechny zdroje“, ale nebudou se moci připojit , nebo může dojít k chybám certifikátu při navazování relace.
Na straně zařízení se systémem Windows můžete použít Plánovač úloh, přihlašovací skripty nebo Zásady skupiny k automatickému otevření klienta RDP nebo webového prohlížeče při spuštění systému s odkazem na URL adresu webového klienta. V kombinaci s místními nebo doménovými zásadami můžete omezit přístup k místní ploše, Průzkumníkovi souborů nebo Ovládacím panelům a omezit tak uživatele na vzdálenou relaci.
Zásady relací RDS (zásady doby nečinnosti, odhlášení po X minutách, limity opětovného připojení atd.) lze použít z konzole Služby vzdálené plochy nebo prostřednictvím objektů zásad skupiny, takže server řídí, kolik zdrojů každý uživatel spotřebovává, a zabraňuje neomezenému zasekávání relací , které by mohlo negativně ovlivnit celkový výkon.
Řešení běžných problémů v prostředích tenkých klientů a vzdálených ploch
V praxi správa prostředí Windows jako tenkého klienta se vzdálenou plochou zahrnuje řešení opakujících se problémů: od problémů se sítí a vypršených certifikátů až po chyby ve webovém klientovi. Strukturovaná diagnostická metoda šetří spoustu času a zabraňuje neustálému řešení problémů.
Problémy s připojením jsou obvykle nejčastější: občasné výpadky, zamrzlé relace nebo zařízení, která se nemohou připojit k serveru. Prvním krokem je kontrola kabeláže, přepínačů a routerů a použití nástrojů jako ping nebo tracert k ověření stability připojení mezi tenkým klientem a serverem . Je také vhodné zajistit, aby latence nebyla nadměrná, zejména pokud se uživatelé připojují ze vzdálených míst.
V některých případech je to konfigurace firewallu, která brání správnému fungování: porty RDP, HTTPS a Gateway a WebSocket musí být správně otevřené. Špatně nakonfigurované pravidlo může povolit přístup ke stránce RD Web Access, ale blokovat datový kanál používaný skutečnou relací RDP , což generuje zdánlivě nevysvětlitelné chyby.
Další problémy se týkají kompatibility hardwaru: ačkoli jsou tencí klienti jednoduchými zařízeními, periferní zařízení (tiskárny, skenery, čtečky karet atd.) mohou vyžadovat specifické ovladače nebo správné přesměrování RDP. Pokud zařízení není rozpoznáno, často je užitečné projít si dokumentaci výrobce a zkontrolovat, zda je operační systém tenkého klienta podporován.
A konečně, selhání softwaru na serveru i samotném tenkém klientovi může způsobit pády aplikací nebo neočekávané ukončení relace. Udržování systémů Windows Server, Windows 10/11 a všech ostatních komponent v aktuálním stavu pomocí bezpečnostních záplat a oprav chyb je nezbytné, aby se předešlo známým problémům, které společnost Microsoft již řešila v novějších verzích.
Časté chyby ve webovém klientovi, certifikátech a protokolování konzole
Webový klient Vzdálené plochy přidává vlastní seznam typických problémů. Jedním z nejčastějších je, že prohlížeč zobrazí bezpečnostní varování při pokusu o přístup k URL adrese webového klienta. To obvykle znamená, že role RD Web Access nepoužívá veřejně důvěryhodný certifikát nebo certifikát od certifikační autority rozpoznávané počítačem uživatele.
Pokud je certifikát platný, ale varování se stále zobrazuje, URL adresa, kterou uživatel používá, pravděpodobně neodpovídá názvu certifikátu: například se přihlašuje pomocí IP adresy nebo aliasu jiného než FQDN. V takovém případě se jednoduše ujistěte, že adresa používá správné FQDN uvedené v certifikátu (obvykle plně kvalifikovaný název domény).
Další častou chybou je, že uživatel vidí své plochy a aplikace v sekci „Všechny zdroje“, ale kliknutím na ně se nepodaří navázat spojení. Zde byste měli znovu ověřit nastavení certifikátu RD Gateway a všechny požadované aktualizace (například KB4025334). Pokud se navíc zobrazí zpráva o neočekávaném certifikátu s konkrétním otiskem prstu, tento otisk prstu pomůže najít certifikát, který se skutečně používá pro roli agenta vzdálené plochy v úložišti certifikátů.
Jakmile je nalezen správný certifikát, je zkontrolován, zda jeho platnost nevypršela, exportován ve formátu .cer a zkopírován na server RD Web Access. Poté je znovu spuštěn příkaz Import-RDWebClientBrokerCert s příslušnou cestou. Tím se obnoví důvěryhodnost webového klienta ke správnému zprostředkovateli a eliminují se veškerá související varování.
Pokud nic z toho problém nevyřeší, webový klient sám obsahuje funkci pro zachycení informací o podpoře. V nabídce (tři tečky) na stránce O nás můžete kliknout na Spustit nahrávání, přehrát problém a poté kliknout na Zastavit nahrávání. Prohlížeč stáhne textový soubor obsahující protokol konzole, který obsahuje JavaScript a chybové zprávy klienta , což je velmi užitečné pro další analýzu.
Kromě tohoto vestavěného nástroje můžete kdykoli otevřít konzoli pro vývojáře v prohlížeči (například pomocí F12 v Microsoft Edge) a chyby si přímo prohlédnout na kartě Konzola. Tyto informace doplňují protokoly serveru (události Služby vzdálené plochy, IIS atd.) a poskytují kompletní přehled o tom, co selhává v komunikaci mezi webovým klientem a backendem.
Nejlepší postupy, údržba a nástroje třetích stran
Aby bylo prostředí tenkého klienta s Windows dlouhodobě stabilní, nestačí ho jednoduše jednou nakonfigurovat a zapomenout na to. Pravidelná údržba a monitorování je nezbytná k odhalení problémů dříve, než se vyhrotí , a k udržení přijatelné úrovně zabezpečení.
Doporučeným postupem je provádět pravidelné kontroly platformy: kontrolovat stav serveru, sledovat využití CPU, RAM a disku a analyzovat protokoly, zda neobsahují vzorce chyb. Nástroje pro monitorování sítě a výkonu, ať už nativní nebo od třetích stran, pomáhají identifikovat úzká hrdla a plánovat upgrady kapacity.
Je také velmi užitečné důkladně zdokumentovat každou změnu konfigurace, aktualizaci nebo novou verzi webového klienta. Vedení podrobného protokolu výrazně usnadňuje vrácení zpět nebo pochopení toho, co mohlo spustit opakující se problém . To zahrnuje zápis postupů pro instalaci webového klienta, správu certifikátů a konfiguraci zásad.
Pokud jde o podporu, kromě oficiálních kanálů společnosti Microsoft (například fóra Azure Virtual Desktop v komunitě Microsoft Tech Community) existují řešení třetích stran, jako je TSplus, která zjednodušují publikování aplikací a desktopů přes web , přidávají vrstvy zabezpečení a usnadňují správu prostředí s mnoha vzdálenými uživateli.
Kombinací dobrého základu Služeb vzdálené plochy s jasnou telemetrickou politikou, dobře spravovanými certifikáty, robustním síťovým návrhem a doplňkovými nástroji pro správu nebo VDI lze počítač s Windows bez větších potíží transformovat na spolehlivého a snadno spravovatelného tenkého klienta, který je připraven růst s potřebami organizace.