Ферма Win 2012 RDS недоступна для внешних клиентов

Внешние клиенты не могут получить доступ к моей ферме RDS - вот что я настроил:

(все серверы - Win 2012 R2, а клиенты - Win 8.1)

Server: PDC1
ip: 10.0.0.2
roles: file, print, sql 2012, dhcp, dns, RD License Server, RD Gateway, RD Web Access

Server: SVRDS1
ip: 10.0.0.3
roles: RD Host Session, RD Connection Broker (HA)

Server: SVRDS2
ip: 10.0.0.4
roles: RD Host Session, RD Connection Broker (HA)

Server: SVRDS3
ip: 10.0.0.5
roles: RD Host Session, RD Connection Broker (HA)

Балансировка нагрузки удаленных рабочих столов на всех трех серверах.

Я настроил циклический перебор (rd.mycompany.local) на SVRDS1-3, и если я внутренне попытаюсь подключиться к rd.mycompany.local, то он сработает. Я направляюсь на любой из хост-серверов.

В моем брандмауэре я установил порт 3389, указывающий на SVRDS1. Если в моей коллекции хостов есть только SVRDS1, все в порядке, но если я добавлю SVRDS2 и 3 в коллекцию хостов, попытка подключения извне не удастся.

Мои собственные мысли ...

Клиент пытается подключиться и попадает в SVRDS1, но из-за балансировки нагрузки RD хочет перейти на SVRDS2, который недоступен из-за пределов сети?
Мне нужно использовать шлюз удаленных рабочих столов, но как? У меня нет DMZ, и я не должен перенаправлять 443 с PDC1?
Я должен найти другую работу, потому что я в этом нуб;)

Надеюсь, ты сможешь направить меня в нужном направлении - спасибо !!!

Пользоваться шлюзом легко, и это принесет вам большую пользу. Что вам нужно сделать:

Получите сторонний сертификат в выбранном вами ЦС. Что-то вроде rdgateway.company.com
Вы уже настроили роль шлюза на PDC1, поэтому просто настройте его на использование 3389 и 443, или, если вам нужен другой порт вместо 443, используйте ссылку Эрика в его ответе, чтобы изменить его. Убедитесь, что вы настроили группы CAP и RAP (группы политики доступа к компьютеру и политики удаленного доступа) для людей, которые будут получать доступ к ним извне.
Установите запись DNS в вашем общедоступном DNS-провайдере (например, GoDaddy, Network Solutions и т. Д.) Для rdgateway.company.com, которая указывает на один из ваших общедоступных IP-адресов.
Порт перенаправляет правильные порты на вашем маршрутизаторе / брандмауэре с общедоступного IP-адреса, упомянутого в шаге выше, извне на внутренний сервер шлюза и его локальный IP-адрес.
Чтобы правильно подключиться к шлюзу, вам необходимо (сначала сделать это на одном компьютере в качестве теста) открыть Подключение к удаленному рабочему столу> Показать параметры> Дополнительно> Настройки> Установить имя сервера шлюза удаленных рабочих столов и метод входа в систему. Сохраните все это и вернитесь на главный экран подключения к удаленному рабочему столу.
На этом экране вы захотите указать имя своей фермы в качестве имени сервера для подключения. Итак, шлюз уже выставлен в расширенных настройках, и для подключения компьютера нужно поставить FQDN; пример: rd.mycompany.local

Есть еще несколько незначительных изменений, но я позволю вам расшифровать, если они вам нужны, прочитав этот ресурс.

Кроме того, я бы рекомендовал не иметь всех упомянутых вами ролей на своем первом сервере, если на самом деле это контроллер домена. Всегда безопаснее оставлять на контроллерах домена только роли AD, но если вы не можете это изменить, то, очевидно, это всего лишь 20/20 задним числом. Просто моя рекомендация, но я очень рекомендую.

Как вы подозреваете, что вас, вероятно, перенаправляют на другой хост RDH. Поскольку другие ваши хосты недоступны извне, он взрывается.

Правильный способ сделать это - использовать шлюз. Настройка 443 не должна быть такой сложной, но если у вас есть другие вещи, использующие этот порт, не беда. Перейдите по этой ссылке, чтобы изменить порт по умолчанию: http://social.technet.microsoft.com/wiki/contents/articles/10972.changing-the-default-port-of-rd-gateway-in-windows-server-2012.aspx

Второй вариант - использовать VPN.