Usługi terminalowe pozwalają wielu pracownikom pracować jednocześnie na wspólnym, scentralizowanym środowisku serwera, co bywa szczególnie przydatne przy pracy zdalnej lub przy korzystaniu z wymagającego, kosztownego oprogramowania firmowego.

Na czym polega ta usługa

Konfiguracja obejmuje instalację roli usług terminalowych na Windows Server, ustawienie licencjonowania zgodnego z liczbą jednoczesnych użytkowników oraz skonfigurowanie bezpiecznego dostępu zdalnego do środowiska serwera dla uprawnionych pracowników.

Dla kogo ma sens

Usługa jest przydatna dla firm, w których wielu pracowników potrzebuje dostępu do tych samych, często kosztownych programów, oraz tam, gdzie praca zdalna wymaga scentralizowanego środowiska zamiast instalowania oprogramowania na każdym urządzeniu z osobna.

Ile to trwa

Konfiguracja usług terminalowych mieści się z reguły w standardowym czasie do 3 dni.

Warunki

Diagnoza wstępna i wycena są bezpłatne. Dojazd na terenie Warszawy i okolic jest bezpłatny, a usługa objęta jest gwarancją do 12 miesięcy.

Architektura i podstawowe role środowiska Remote Desktop Services

Prawidłowe wdrożenie usług terminalowych w systemie Windows Server wymaga uruchomienia i skoordynowania kilku wyspecjalizowanych ról serwerowych. Każda z ról odpowiada za inny etap nawiązywania połączenia, uwierzytelniania pracownika oraz przydzielania zasobów obliczeniowych.

Do głównych komponentów środowiska należą:

RD Session Host (Host sesji pulpitu zdalnego) – podstawowa rola odpowiedzialna za hostowanie sesji roboczych oraz udostępnianie programów i pulpitów. To tutaj fizycznie wykonywane są procesy i aplikacje uruchamiane przez pracowników.
RD Licensing (Serwer licencjonowania pulpitu zdalnego) – moduł zarządzający licencjami dostępowymi. Odpowiada za rejestrację pakietów licencyjnych i przydzielanie ich konkretnym użytkownikom lub urządzeniom łączącym się z serwerem.
RD Gateway (Brama pulpitu zdalnego) – serwer pośredniczący, który umożliwia bezpieczne łączenie się z zasobami sieci lokalnej z zewnątrz za pośrednictwem szyfrowanego tunelu HTTPS (port 443), bez konieczności bezpośredniego otwierania portów protokołu RDP (Remote Desktop Protocol – protokół zdalnego pulpitu) na routerze brzegowym.
RD Connection Broker (Broker połączeń) – komponent zarządzający ruchem w środowiskach wieloserwerowych. Odpowiada za równoważenie obciążenia (load balancing – równomierne rozkładanie pracy na wiele maszyn) oraz ponowne łączenie pracowników do wcześniej przerwanych sesji roboczych bez utraty otwartych danych.
RD Web Access (Dostęp w sieci Web do pulpitu zdalnego) – interfejs przeglądarkowy pozwalający pracownikom na uruchamianie przypisanych aplikacji za pomocą portalu WWW z poziomu dowolnej przeglądarki internetowej.

Model licencjonowania RDS – różnice między licencjami User CAL i Device CAL

Korzystanie z usług terminalowych na platformie Windows Server wymaga posiadania dwóch rodzajów licencji: standardowej licencji na system serwerowy oraz licencji dostępowych RDS CAL (Client Access License – licencja dostępu klienta do usług terminalowych). Prawidłowy dobór typu licencji jest kluczowy dla optymalizacji kosztów wdrożenia w przedsiębiorstwie.

Wyróżnia się dwa podstawowe warianty licencji dostępowych:

RDS User CAL (licencja na użytkownika) – licencja przypisywana do konkretnego imiennego konta pracownika w usłudze Active Directory (usługa katalogowa służąca do centralnego zarządzania kontami i uprawnieniami w domenie Windows). Uprawnia jednego pracownika do łączenia się z serwerem terminalowym z dowolnej liczby urządzeń (komputer stacjonarny w biurze, laptop służbowy, komputer domowy). Jest to optymalny wybór w modelach pracy hybrydowej i mobilnej.
RDS Device CAL (licencja na urządzenie) – licencja przypisywana do konkretnego fizycznego urządzenia końcowego. Pozwala dowolnej liczbie pracowników korzystać z serwera terminalowego pod warunkiem, że łączą się oni z tego samego stanowiska komputerowego. Sprawdza się to w firmach pracujących w trybie wielozmianowym, na przykład w magazynach, dyspozytorniach czy punktach obsługi klienta.

Warto pamiętać, że po instalacji roli RD Session Host system udostępnia okres próbny (tak zwany Grace Period) trwający 120 dni. Po upływie tego czasu, w przypadku braku skonfigurowanego serwera licencjonowania i zainstalowanych licencji RDS CAL, serwer całkowicie blokuje możliwość nawiązywania nowych połączeń terminalowych dla użytkowników.

Integracja z oprogramowaniem firmowym i systemami ERP

Głównym powodem wdrażania usług terminalowych w firmach jest konieczność zapewnienia stabilnego i szybkiego dostępu do centralnych baz danych oraz oprogramowania do zarządzania przedsiębiorstwem (ERP – Enterprise Resource Planning). Programy te wymagają bardzo niskich opóźnień w komunikacji z serwerem bazy danych, co przy tradycyjnej instalacji na komputerach lokalnych w odległych lokalizacjach często prowadzi do spowolnień i błędów zapisu.

Środowisko terminalowe zapewnia optymalne warunki pracy dla popularnych aplikacji biznesowych, takich jak:

InsERT GT oraz InsERT nexo – w tym programy Subiekt GT, Subiekt nexo, Rewizor, Rachmistrz, Gratyfikant czy Gestor.
Comarch ERP Optima oraz Comarch ERP XL – moduły handlowo-magazynowe, księgowe oraz kadrowo-płacowe.
WAPRO ERP – w szczególności aplikacje WF-Mag, Fakir, Kaper, Gang oraz moduły JPK.
Sage Symfonia oraz RAKS SQL – kompleksowe pakiety finansowo-księgowe i sprzedażowe.
Płatnik ZUS – centralna baza programu rozliczeniowego z certyfikatami i podpisami elektronicznymi.

W architekturze terminalowej silnik bazy danych Microsoft SQL Server oraz program kliencki działają na tej samej maszynie lub wewnątrz tej samej, szybkiej sieci lokalnej (LAN – sieć lokalna o wysokiej przepustowości). Przez łącze internetowe przesyłany jest wyłącznie obraz pulpitu i sygnały z klawiatury oraz myszy, co eliminuje ryzyko uszkodzenia bazy danych w przypadku chwilowego spadku jakości połączenia internetowego u pracownika zdalnego.

Instalacja oprogramowania biznesowego na serwerze terminalowym wymaga przełączenia systemu w specjalny tryb instalacji wielodostępnej (polecenie change user /install w wierszu poleceń lub instalacja przez dedykowany aplet w panelu sterowania). Gwarantuje to właściwe wygenerowanie wpisów w rejestrze systemowym i folderach konfiguracyjnych dla wszystkich przyszłych sesji użytkowników.

Warianty udostępniania zasobów: pełny pulpit a technologia RemoteApp

W zależności od profilu działalności przedsiębiorstwa oraz wymagań bezpieczeństwa, środowisko usług terminalowych można skonfigurować na dwa różne sposoby:

Pełny pulpit zdalny (Full Desktop) – pracownik po zalogowaniu otrzymuje dostęp do kompletnego środowiska graficznego systemu Windows Server z własnym menu Start, paskiem zadań, skrótami na pulpicie i wyznaczonymi folderami roboczymi. Rozwiązanie to sprawdza się, gdy pracownik wykonuje na serwerze większość swoich codziennych obowiązków i korzysta z wielu powiązanych ze sobą programów, edytorów dokumentów i skrzynek pocztowych.

Aplikacje zdalne (RemoteApp) – technologia pozwalająca na publikowanie pojedynczych programów zainstalowanych na serwerze w taki sposób, że integrują się one bezpośrednio z lokalnym pulpitem pracownika. Okno programu uruchomionego na serwerze pojawia się obok programów lokalnych, posiada własną ikonę na pasku zadań i reaguje na skróty klawiszowe systemu lokalnego. Z perspektywy użytkownika praca wygląda tak, jakby program był zainstalowany bezpośrednio na jego komputerze, co znacząco zmniejsza obciążenie łącza i zapobiega nieautoryzowanym działaniom na serwerze.

Do zarządzania danymi użytkowników w środowiskach wieloserwerowych stosuje się dyski profili użytkowników (UPD – User Profile Disks). Rozwiązanie to zapisuje cały profil pracownika (dokumenty, konfiguracje programów, pliki tymczasowe) w pojedynczym pliku wirtualnym VHDX, który jest dynamicznie podłączany do sesji w momencie logowania. Pozwala to na płynne przełączanie pracowników między różnymi serwerami sesji bez konieczności synchronizowania ciężkich profili mobilnych.

Zabezpieczenie serwera terminalowego przed atakami sieciowymi

Serwery terminalowe są częstym celem ataków automatycznych botów sieciowych, które skanują przestrzeń adresową internetu w poszukiwaniu otwartych portów RDP i przeprowadzają ataki typu brute-force (masowe, automatyczne próby odgadnięcia hasła administratora lub użytkowników). Prawidłowa konfiguracja bezpieczeństwa jest nieodzownym elementem wdrożenia.

Podstawowe mechanizmy zabezpieczeń stosowane podczas konfiguracji obejmują:

Wdrożenie bramy RD Gateway z certyfikatem SSL/TLS – cały ruch z zewnątrz jest tunelowany przez bezpieczny protokół HTTPS, co pozwala na całkowite odcięcie bezpośredniego dostępu do portu 3389 z publicznego internetu.
Wymuszenie NLA (Network Level Authentication – uwierzytelnianie na poziomie sieci) – mechanizm wymagający uwierzytelnienia tożsamości użytkownika przed utworzeniem sesji i przydzieleniem zasobów graficznych serwera, co chroni przed atakami typu Denial of Service (odmowa usługi polegająca na przeciążeniu zasobów serwera fałszywymi żądaniami połączeń).
Konfiguracja polityk blokad kont w Active Directory lub lokalnych zasadach zabezpieczeń (GPO – Group Policy Objects) – wprowadzenie reguł automatycznie blokujących konto użytkownika po określonej liczbie nieudanych prób logowania.
Separacja uprawnień i restrykcje środowiskowe – odebranie użytkownikom terminalowym uprawnień do edycji rejestru systemowego, uruchamiania wiersza poleceń (cmd) oraz środowiska PowerShell, a także ukrycie i zablokowanie dostępu do dysków systemowych serwera z poziomu eksploratora plików.
Limity czasowe dla sesji bezczynnych i rozłączonych – automatyczne wylogowywanie sesji porzuconych przez pracowników po zdefiniowanym czasie bezczynności w celu zwolnienia pamięci RAM (pamięć operacyjna) i zasobów procesora.

Najczęstsze błędy popełniane przy samodzielnej konfiguracji RDS

Próby samodzielnego uruchomienia usług terminalowych bez odpowiedniego przygotowania środowiska systemowego i sieciowego prowadzą do powtarzających się problemów z bezpieczeństwem i stabilnością.

Do najczęstszych błędów należą:

Wystawienie domyślnego portu 3389 bezpośrednio na publicznym adresie IP – błąd polegający na prostym przekierowaniu portu RDP na routerze. Prowadzi do natychmiastowego zalania serwera próbami logowania z całego świata, co generuje ogromne obciążenie łącza i procesora oraz stwarza bezpośrednie ryzyko przejęcia serwera.
Instalacja oprogramowania w zwykłym trybie użytkownika – instalowanie programów bez przełączenia serwera w tryb instalacyjny powoduje, że wpisy konfiguracyjne trafiają wyłącznie do profilu osoby instalującej, uniemożliwiając uruchomienie programu pozostałym użytkownikom terminala.
Zaniedbanie instalacji serwera licencji przed końcem okresu testowego – brak aktywacji serwera licencji w ciągu pierwszych 120 dni skutkuje nagłym paraliżem pracy w firmie po automatycznym zablokowaniu dostępu przez mechanizm ochronny systemu.
Niedoszacowanie zapotrzebowania na pamięć RAM i dyski SSD/NVMe – każda równoległa sesja użytkownika wymaga dedykowanej puli pamięci operacyjnej oraz generuje operacje wejścia-wyjścia na dysku. Wykorzystanie tradycyjnych dysków talerzowych HDD zamiast szybkich nośników półprzewodnikowych SSD lub NVMe powoduje drastyczny spadek wydajności całego systemu przy logowaniu kilku osób jednocześnie.
Brak limitów wielkości profili i plików tymczasowych – brak kontroli nad rozmiarem katalogów tymczasowych i pobieranych plików prowadzi do szybkiego zapełnienia partycji systemowej serwera, co może uniemożliwić uruchomienie kluczowych usług systemowych.

Kiedy usługi terminalowe są właściwym wyborem, a kiedy wystarczą prostsze metody

Przed podjęciem decyzji o wdrożeniu środowiska Remote Desktop Services warto dokładnie przeanalizować specyfikę pracy zespołu i wykorzystywane oprogramowanie.

Usługi terminalowe są optymalnym rozwiązaniem, gdy:

W firmie używane są programy handlowe, magazynowe lub księgowe oparte na relacyjnych bazach danych SQL, z których korzystają pracownicy w wielu oddziałach lub pracujący z domów.
Stanowiska robocze pracowników to starsze laptopy lub komputery biurowe o ograniczonej wydajności, a programy firmowe wymagają dużej mocy obliczeniowej.
Priorytetem jest ochrona danych przed wyciekiem – dane biznesowe nie są pobierane na dyski lokalne pracowników, lecz pozostają wyłącznie w bezpiecznym magazynie serwera.
Wymagane jest błyskawiczne wdrażanie nowych stanowisk pracy – przygotowanie dostępu dla nowego pracownika sprowadza się do utworzenia konta w domenie, bez konieczności czasochłonnej instalacji programów na jego komputerze.

Zastosowanie usług terminalowych może być zbędne, gdy praca zespołu ogranicza się wyłącznie do współdzielenia pojedynczych plików biurowych (tekstowych, arkuszy kalkulacyjnych czy prezentacji). W takich scenariuszach w zupełności wystarcza wdrożenie klasycznego serwera plików w sieci lokalnej (SMB – protokół udostępniania plików w sieciach Windows) lub bezpiecznej chmury prywatnej z synchronizacją danych.

Dodatkowe pytania dotyczące konfiguracji usług terminalowych

Ilu użytkowników może jednocześnie pracować na jednym serwerze terminalowym?

Liczba jednoczesnych użytkowników zależy bezpośrednio od parametrów sprzętowych serwera (głównie ilości pamięci RAM oraz liczby rdzeni procesora) oraz od rodzaju uruchamianych programów. Przy standardowej pracy biurowej z programem sprzedażowo-magazynowym i prostym pakietem narzędziowym przyjmuje się zapotrzebowanie na poziomie od 1 GB do 2 GB pamięci RAM na każdą aktywną sesję pracownika, poza pamięcią zarezerwowaną na sam system operacyjny i silnik bazy danych SQL.

Czy do korzystania z pulpitu zdalnego pracownicy muszą mieć szybkie łącze internetowe?

Protokół RDP jest zoptymalizowany pod kątem niskiego zużycia przepustowości. Przy pracy z typowymi aplikacjami biznesowymi pojedyncza sesja generuje ruch rzędu kilkudziesięciu do stu kilobajtów na sekundę. Znacznie ważniejsza od samej prędkości pobierania jest niska wartość opóźnień (ping) oraz stabilność połączenia bez gubienia pakietów danych.

Jak rozwiązywana jest kwestia drukowania dokumentów z sesji terminalowej?

W środowisku Windows Server wykorzystuje się mechanizm Easy Print (mechanizm łatwego drukowania pulpitu zdalnego). Pozwala on na automatyczne przekierowanie drukarki podłączonej lokalnie do komputera pracownika do jego sesji na serwerze. Dokument jest renderowany w formacie XPS lub PDF na serwerze, a następnie przesyłany do sterownika na komputerze lokalnym, co eliminuje konieczność instalowania dziesiątek różnych sterowników drukarek bezpośrednio na serwerze.

Czy na serwerze terminalowym można korzystać z certyfikatów kwalifikowanych i podpisów elektronicznych?

Tak, usługi terminalowe umożliwiają przekierowanie portów USB oraz czytników kart kryptograficznych (Smart Card) z lokalnego komputera do aktywnej sesji terminalowej. Umożliwia to składanie podpisów elektronicznych w programach księgowych lub aplikacji Płatnik bezpośrednio na serwerze.

Co dzieje się z programami w przypadku nagłego rozłączenia internetu u pracownika?

W przypadku utraty połączenia sesja na serwerze przechodzi w stan rozłączony (Disconnected), jednak wszystkie otwarte aplikacje, niezapisane formularze i przetwarzane operacje pozostają aktywne w pamięci serwera. Po ponownym nawiązaniu łączności pracownik wraca dokładnie do tego samego momentu pracy, w którym nastąpiło przerwanie połączenia.

Kompleksowe wdrożenie środowiska terminalowego

Prawidłowe zaplanowanie i wdrożenie usług terminalowych Windows Server przekłada się na ciągłość operacyjną przedsiębiorstwa, bezpieczeństwo przetwarzanych danych finansowych oraz komfort codziennej pracy personelu. Konfiguracja realizowana jest bezpośrednio w infrastrukturze klienta, z uwzględnieniem specyfiki używanego oprogramowania ERP, struktury uprawnień pracowniczych oraz wymogów dotyczących bezpiecznego dostępu zdalnego.

22 378 48 09

Konfiguracja usług terminalowych (Remote Desktop Services) na Windows Server