Windows Server 2008 終端服務閘道 (TS Gateway) 完整部署指南

什麼是 TS Gateway？

Windows Server 2008 終端服務角色中的一項角色服務，允許授權遠端使用者透過**任何連網裝置**，以 **HTTPS (443 埠)** 加密通道，存取內部網路資源：終端伺服器、RemoteApp 程式、啟用遠端桌面的電腦。**無需 VPN 用戶端/設定**。

核心價值：解決「3389 埠被防火牆封鎖」痛點

• 傳統 RDP 使用 3389 埠，企業防火牆通常封鎖
• TS Gateway 將 RDP 流量封裝在 **HTTP over SSL/TLS (443 埠)** 傳輸
• 443 埠幾乎所有企業防火牆/Proxy 均開放 → 自然穿透多層防火牆/NAT
• 支援 NAT 環境下的點對點 RDP 連線，客戶端無額外設定

TS Gateway 管理主控台：授權原則 (CAP/RAP) 精細管控

整合 NAP (網路存取保護) 強化健康檢查

• NAP = 健康原則建立/強制/補救技術 (含 Win XP SP2+, Vista, Server 2008)
• TS Gateway 強制 NAP 可要求：
  • 防毒軟體啟動/病毒碼最新
  • 自動更新啟動/關鍵修補已安裝
  • 防火牆啟動
  • 系統配置符合基線 (登錄/服務/安全選項)
• 限制：Server 2008 不能作為 NAP 用戶端，僅 XP SP2/Vista 可作為 NAP 用戶端

部署架構圖

Internet 用戶端 (RDP 8.0+ / Remote Desktop Connection)
        ↓ HTTPS 443 (SSL/TLS)
[邊界防火牆/負載平衡器] → [TS Gateway 伺服器陣列 (NLB/叢集)]
        ↓ 內部 RDP 3389 (或 443 直通)
[內部防火牆] → [終端伺服器 / RemoteApp 伺服器 / 啟用 RDP 的桌面]

關鍵部署檢查清單

1. SSL 憑證：公開受信 CA 簽發、主體替代名稱 (SAN) 含對外 FQDN、私鑰可匯出 (供叢集用)
2. DNS：對外 FQDN 解析至 TS Gateway VIP/公網 IP；內部 DNS 解析終端伺服器 FQDN
3. 防火牆：開放 443 (TCP) 入站至 TS Gateway；內部 3389 (TCP) TS Gateway → 終端伺服器
4. CAP/RAP：建立最小權限群組、強制智慧卡/MFA、禁止磁碟重導向 (防資料外洩)
5. 監控：事件檢視器 → Applications and Services Logs → Microsoft → Windows → Terminal Services-Gateway
6. 效能計數器：`\Terminal Services Gateway\*` (連線數、頻寬、認證失敗、SSL 交握)

常見問題排查

結語

TS Gateway 以 **HTTPS 封裝 RDP** 巧妙解決遠端存取防火牆難題，配合 **CAP/RAP 雙層授權 + NAP 健康檢查**，構建零 VPN、零客戶端設定、精細管控的遠端存取方案。部署關鍵在憑證信任鏈、授權原則最小權限、NAP 整合與持續監控。