Terminal Server 2008Terminal Server 2008

Fco. Javier Acero LucenaIngeniero de Sistemas/ Instructor / Preventa at GTI

facero@gti.es

Windows Server 2008 R2

¿Qué es Terminal Services?

• La función de servidor Terminal Services de Windows Server 2008 proporciona tecnologías que permiten a los usuarios obtener acceso a programas basados en Windows que están instalados en un servidor de Terminal Server o para obtener acceso a todo el escritorio de Windows.

• Con Terminal Services, los usuarios pueden obtener acceso a un servidor de Terminal Server desde una red corporativa o desde Internet.

• Puede implementar programas fácilmente desde una ubicación central. Dado que los programas se instalan en el servidor de Terminal Server en lugar de en el equipo cliente, son más fáciles de actualizar y mantener.

• Cuando un usuario obtiene acceso a un programa de un servidor de Terminal Server, la ejecución del programa se produce en el servidor. Sólo se transmite a través de la red la información de teclado, ratón y pantalla. Cada usuario ve únicamente su sesión individual. La sesión se administra con transparencia en el sistema operativo del servidor y es independiente de cualquier otra sesión de cliente.

OficinaCasera

• Proporciona acceso corporativo a aplicaciones y datos vía una pagina Web segura.

• Mejora la productividad y flexibilidad del empleado

Oficinacorporativa

• Gestión de aplicaciones simplificada (actualizaciones solo en el servidor)

• Mas fácil de cumplir con las regulaciones de seguridad en datos (sin datos en local)

OficinaRemota

• Integración de las aplicaciones remotas en el escritorio local mejora la productividad

• Menos gestión de datos y aplicaciones en la oficina remota

Presentation Presentation Virtualization Virtualization with Terminal with Terminal

ServicesServices• Aeropuerto.– Acceso sencillo y seguro sin

problemas de VPN vía una Web Segura

En CualquierParte

¿Por qué es aconsejable usar Terminal Services?

• Es posible implementar rápidamente programas basados en Windows en dispositivos informáticos de toda una empresa. Terminal Services resulta especialmente útil cuando se tienen programas que se actualizan con frecuencia, se usan con poca frecuencia o son difíciles de administrar.

• Terminal Services puede reducir considerablemente la cantidad de ancho de banda necesaria para tener acceso a aplicaciones remotas.

• Terminal Services ayuda en la productividad del usuario. Los usuarios pueden obtener acceso a programas que se ejecutan en un servidor de Terminal Server desde dispositivos como equipos domésticos, quioscos, hardware de baja potencia y sistemas operativos distintos de Windows.

• Terminal Services proporciona un mejor rendimiento de los programas para los trabajadores de sucursales que necesitan tener acceso a almacenes de datos centralizados. Algunas veces, los programas que manejan muchos datos no tienen protocolos de cliente/servidor optimizados para conexiones de baja velocidad. Los programas de este tipo suelen funcionar mejor a través de una conexión de Terminal Services que a través de la típica red de área extensa.

TS Server

TS Session Broker

TS License Server

TS Web Access

Load

Balancer

TS Server

TS RemoteApps MMC

Publish fichero RDP al paquete MSI

Active Directory

.

Iniciar “RemoteApps “ desde el menu de inicio o

el escritorio

Iniciar “RemoteApps” desde una página

WebPublicar fichero RDP al Servidor

TS

Obtener fichero RDP

TS Gateway

(RDP+SSL) +(RPC+HTTPS) (443)

RDP+SSL (3389)

Forzado de Políticas de Accesos Remoto

Resumen de sub-componentes denominados “Servicios de Función”

MSI con fichero RDP empujado al escritorio

ActiveX

Instalación y configuración de TS 2008

• Instalar el Role con el Server Manager• Instalar las aplicaciones

– Si la aplicación NO se instala con un paquete de instalación de Windows1. change user /install

2. Instalar aplicación

3. change user /execute

• Realizar configuraciones globales del servidor• Añadir programas a la lista para publicarlos

Instalar el Role con el Server Manager

Escritorio Remoto para Administración

Para permitir las conexiones remotas únicamente con fines administrativos, no es necesario instalar un servidor de Terminal Server. En su lugar, se habilita Escritorio remoto en el equipo que se desea administrar de forma remota.

Este modo de Terminal Server no requiere licencias y puede ser fácilmente utilizado para administrar el servidor sin impacto en otros procesos.

Escritorio remoto admite sólo dos conexiones remotas simultáneas en el equipo. No son necesarias licencias de acceso de cliente de Terminal Services (TS CAL) para estas conexiones

Una vez habilitadas las conexiones y asignados los permisos a los usuarios, se podrá realizar la conexión por medio del cliente ‘Conexión a escritorio remoto’

•La consola “RemoteApp” se usa para hacer que las aplicaciones estén disponibles•También se usa para que las aplicaciones estén disponibles vía “TS Web Access” (Acceso Web)”

Terminal Services RemoteApp™

Terminal Server

• Aplicaciones Remotas integradas en el equipo local•Configuración centralizada del servidor de terminales desde la consola

•Parece que los programas se ejecutan en local• Solo soportado con el Cliente Remoto V6

Requiere el cliente de

acceso remoto

Ventajas de RemoteApp™• Los programas de RemoteApp son programas a los que se obtiene acceso de forma

remota mediante Terminal Services y se comportan como si se ejecutaran en el equipo local del usuario final.

• Con Administrador de RemoteApp de TS, puede crear paquetes de Windows Installer (paquetes .msi) o archivos .rdp y luego distribuir los paquetes en toda la organización.

• Despliegue ligero de aplicaciones de trabajo intensivo con datos• Acceso desde cualquier parte a los programas• Si desea que los usuarios puedan tener acceso a los programas de RemoteApp a través

de web, puede implementar los programas de RemoteApp en un sitio web con Acceso Web de TS.

• Se aconseja la utilización de RemoteApp de TS porque puede reducir la complejidad y la carga administrativa en muchas situaciones. Se integra con los programas locales.

• En sucursales donde puede haber un soporte local de TI limitado y un ancho de banda de red limitado.

• Entornos como los espacios de trabajo "hot desk" o "hoteling", en los que los usuarios no tienen equipos asignados.

• Implementación de múltiples versiones de una aplicación, especialmente si la instalación de varias versiones localmente puede ocasionar conflictos.

Publicación de Aplicaciones con RemoteApp™

• Puede ser mediante paquetes RDP o MSI:– RDP es simplemente un fichero con los parámetros de

conexión.– MSI es un mínimo paquete de instalación del RDP.

• El DA es muy útil para desplegar estas aplicaciones personalizando en función del usuario.

• Se pueden publicar simplemente compartiéndolos en un directorio o mediante el sistema de distribución de software que queramos.

TS Web Access

Publicación o despliegue de aplicaciones a través de una pagina Web.

¿Qué es Acceso Web de TS?

• Acceso web de TS permite hacer que los programas de RemoteApp y una conexión de escritorio remoto al servidor de Terminal Server estén disponibles para los usuarios desde un explorador web.

• Con Acceso web de TS, los usuarios pueden visitar un sitio web (desde Internet o desde una intranet) para obtener acceso a una lista de programas de RemoteApp disponibles. Cuando inician un programa de RemoteApp, se inicia una sesión de Terminal Services en el servidor de Terminal Server que hospeda el programa de RemoteApp.

• Al implementar Acceso web de TS, se puede especificar el servidor de Terminal Server que se usará como fuente de datos para rellenar la lista de programas de RemoteApp que aparece en la página web.

• Requiere que IIS este instalado en el servidor que será el servidor Web de TS.

Terminal Server

Terminal Server

Windows Server 2008 1

Agente de Sesiones o “Session Broker”

Windows Server 2008 2

11

22

33

44

55

66

112233445566 El Usuario Remoto Conecta via Terminal Services

TS: El Servidor 1 contacta con el “Session Broker” para determinar donde ha de iniciar sesión el usuario

“Session Broker” indica al Servidor 1 que este usuario no tiene sesión y que el Servidor 2 tiene menos carga

El Servidor 1 indica al cliente vía RDP que ha de redirigirse al Servidor 2El Cliente es redirigido al Servidor 2Se Crea la Sesión en el Servidor 2 para el cliente

Session Broker

Ventajas del Agente de Sesiones• El Agente de sesión de TS hace un seguimiento de las sesiones de usuario en un

conjunto de servidores (granja) de Terminal Server con equilibrio de carga.

• La base de datos de Agente de sesión de TS almacena información sobre el estado de la sesión que incluye los identificadores de sesión, sus nombres de usuario asociados y el nombre del servidor donde reside cada sesión.

• Cuando un usuario con una sesión existente se conecta a un servidor de Terminal Server del conjunto de servidores con equilibrio de carga, el Agente de sesión de TS redirige al usuario al servidor de Terminal Server donde existe su sesión. Esto evita que el usuario se conecte a otro servidor del conjunto de servidores y se inicie una sesión nueva.

• Hace también el seguimiento del número de sesiones de usuario de cada servidor de Terminal Server, del conjunto de servidores y redirige a los usuarios que no tienen una sesión existente al servidor que tiene menos sesiones. Esta funcionalidad le permite distribuir de forma homogénea la carga de sesiones entre los servidores de un conjunto de servidores de Terminal Server con equilibrio de carga.

• Permite el drenado de sesiones en un nodo para poder ponerlo fuera de línea para temas de mantenimiento de ese Terminal Server.

Terminal ServerTerminal Server

Remote Desktop Protocol

Remote Desktop Protocol

Equipo ClienteEquipo Cliente

Redireccionamiento de Dispositivos

Redireccionamiento de Dispositivos PnP

• Para dispositivos “Windows Portable Devices” como reproductores MTP y cámaras PTP.

• Configurable mediante políticas– Computer Configuration\Administrative Templates\Windows

Components\Terminal Services\Terminal Server\Device and Resource Redirection\Do not allow supported Plug and Play device Redirection

– Computer Configuration\Administrative Templates\System\Device Installation\Device Installation Restrictions

• También disponible para dispositivos utilizados en puntos de servicio con Windows embebido (Windows Embedded for Point of Service POS).

Terminal Server

Impresión Sencilla ó TS Easy Printer

11223344El usuario abre Microsoft Word via Terminal ServicesEl documento se imprime en la impresora local

“TS Easy Print” utiliza el driver del cliente y aparece el interface de Usuario completo para impresión.

El usuario quiere imprimir un documento a su impresora local

11

22

33

44

¿Qué es TS Easy Printer?• Siempre fue problemático el tema impresión sobre TS en versiones anteriores,

pero ahora con TS Easy Print parece ser la solución definitiva, ya que permite re-direccionamiento de impresoras locales en la aplicación que se ejecuta en el TS.

• Funciona como un “Drivers Universal” que redirecciona los trabajos de impresión al cliente sin la necesidad de tener que tener los drivers de la impresora instalado en el TS. Es un driver del servidor que actúa como Proxy enviando todos los trabajos de impresión al equipo local.

• El funcionamiento es simple, al conectarse el cliente se crea la impresora con el driver universal Easy Print, tomando la configuración de la impresora cliente. No requiere la instalación de ningún driver en el servidor ya dicha funcionalidad viene incorporada en W2008 de forma nativa.

• Requiere en cliente RDC 6.1 (W2008 y Vista SP1) y el Framework 3.0 SP1 (disponible para XP y 2003)

Terminal Server

Active Directory

Autenticación

Autenticación• Autenticación a nivel de Red: La autenticación del usuario se realiza antes de

que se conecte a la sesión y se muestre el inicio de sesión en el servidor de Terminales, justo en una fase anterior del proceso de conexión.

– Esto evita posibles ataques de DOS (denegación de servicios).

• Autenticación de Servidor: Verifica que nos conectamos al servidor correcto y protege el equipo remoto de usuarios y software malintencionados.

• Single sign-on (SSO): Evita tener que

volver a introducir nuestras credenciales.

Conexión a escritorio remoto

• Para conectar a los servidores de Terminal Server desde otros equipos se puede utilizar el cliente llamado ‘Conexión a escritorio remoto’ que deberá estar instalado en el equipo desde el que realizar la conexión.

• En los sistemas operativos Windows Server 2008, Windows Vista SP1 y Windows XP con SP3, el software ‘Conexión a escritorio remoto’ incorpora el protocolo Remote Desktop Connection (RDC) 6.1

• Para las máquinas con Windows Server 2003 con SP1, Windows Server 2003 con SP2 y Windows XP con SP2 existe la posibilidad de utilizar RDC 6.0

Características del Nuevo Escritorio Remoto

• Monitor Spanning• Desktop Experience• Desktop Composition• Font Smoothing• Display Data Prioritization• Redirección de recursos

locales: - Puertos serie e impresoras- Audio- Portapapeles

• Redirección de la zona de hora local

• Plug and Play Device Redirection

• .net Device Redirection• Remote Desktop

Connection display• Single sign-on

Servidor de licencias de Terminal Services

• Administra las licencias de acceso de cliente de Terminal Services (CAL de TS) que son necesarias para la conexión de cada dispositivo o usuario a un servidor de Terminal Server.

• Escritorio remoto admite dos conexiones simultáneas para administrar un equipo de forma remota. No es necesario un servidor de licencias para estas conexiones.

Sistema operativo que se ejecuta en el

servidor de Terminal Server Período de gracia

Windows Server 2008 120 días Windows Server 2003 R2 120 díasWindows Server 2003 120 díasWindows 2000 90 días

Puerta de Enlace de Terminal Services (TS Gateway)- Es un servicio de función que permite a los usuarios remotos autorizados a conectarse a los recursos de una red privada o corporativa interna, desde cualquier dispositivo conectado a Internet que pueda ejecutar el cliente de Conexión a Escritorio remoto (RDC).

- Puerta de enlace de TS usa el Protocolo de escritorio remoto (RDP) sobre HTTPS para establecer una conexión cifrada y segura.

Ventajas de la Puerta de Enlace de TS• Permite a los usuarios remotos conectarse a recursos de una red interna a través de Internet mediante una

conexión cifrada, sin necesidad de configurar conexiones de red privada virtual (VPN).

• Ofrece una conexión RDP punto a punto, en lugar de permitir a los usuarios remotos acceso a todos los recursos de la red interna.

• Permite a la mayoría de los usuarios remotos conectarse a recursos de la red interna que están hospedados detrás de firewalls en redes privadas, atravesando traductores de direcciones de red (NAT). No se tiene que realizar una configuración adicional.

• En Windows Server 2003, las medidas de seguridad impedían que los usuarios remotos se conectaran a recursos de la red interna a través de firewalls y NAT. Esto se debe a que el puerto 3389 suele estar bloqueado por razones de seguridad de la red. La Puerta de enlace de TS transmite en su lugar el tráfico de RDP al puerto 443, usando un túnel HTTP de Seguridad de la capa de transporte/Capa de sockets seguros (SSL/TLS). La mayoría de las corporaciones abren el puerto 443 para permitir la conectividad desde Internet, la Puerta de enlace de TS aprovecha este diseño de red para proporcionar conectividad de acceso remoto a través de múltiples firewalls.

• Permite configurar directivas de autorización para definir las condiciones que deben cumplirse para que los usuarios puedan conectarse a recursos de la red interna.

• Se puede configurar los servidores y clientes para usar la Protección de acceso a redes (NAP) y Microsoft Internet Security and Acceleration (ISA) para ampliar aún más la seguridad.

GRACIAS !!!!!!