در ویندوز سرور مایکروسافت کنسول Remote Desktop Session Host به گونه ای طراحی شده است تا تنظیمات مربوط به همه کاربرانی که چه بصورت local و چه از راه دور و با انواع مختلف ارتباطات به سرور remote شده اند را کنترل کند. به خاطر داشته باشید که به هر ارتباط کاربر بصورت remote به سرور، یک session گفته می شود. شما می توانید با استفاده از این کنسول، یک سطح رمزنگاری برای مدیریت session ها تنظیم کنید.
شکل زیر کنسول مدیریتی Remote Desktop Session Host را نشان می دهد. برای دسترسی به کنسول از منوی start به Administrative Tools رفته و از بخش Remote Desktop Services گزینه Remote Desktop Session Host Configuration را انتخاب کنید.
تنظیمات ارتباطات (RDP-Tcp)
تنظیمات مربوط به ارتباطات (connections)، برای تنطیم رفتار Remote Desktop Sessions در یک پروتکل ارتباطی خاص (مانند RDP) یا کارت شبکه روی سرور remote استفاده می شود. بصورت پیشفرض، فقط یک ارتباط (به نام RDP-Tcp) برای تنظیم و پیکربندی دردسترس است. تنظیمات اعمال شده به این connection، به همه RDP sessions (تمام ارتباطات remote که به سرور زده شده اند) روی تمامی کارتهای شبکه سرور اعمال می شود.
همچنین علاوه بر این connection پیشفرض (RDP-Tcp)، شما می توانید connection جدیدی ایجاد کرده و آن را به یک کارت شبکه خاص اعمال کنید (دقت کنید که سرورهای remote به دلیل اینکه تعداد زیادی کاربر با آنها در ارتباطند، ممکن است بیش یک یا دو کارت شبکه داشته باشند). همچنین اگر شما از نرم افزار غیر مایکروسافتی (third-party) مانند Citrix Systems استفاده می کنید که پروتکل مختص به خود را دارد، می توانید آن را در این قسمت مشاهده کنید. (البته توصیه می شود، اگر از نرم افزارهای دیگری استفاده می کنید، از کنسول مدیریتی خود آن نرم افزار برای تنظیم پروتکل استفاده کنید).
برای محیط هایی که فقط از تنظیمات پیشفرض خود ویندوز سرور 2008 R2 استفاده می کنند، RDP-Tcp connection بطور نرمال فقط ارتباط را ایجاد می کند و تنظیمات properties آن تنظیمات کلیدی را برای تمام سرور در اختیار شما قرار خواهد داد.
برای دسترسی به تنظیمات RDP-Tcp، کافیست روی آن راست کلیک کرده و properties را انتخاب کنید.
معرفی تنظیمات RDP-Tcp
همانطور که در properties مشاهده می کنید، سربرگ های مختلفی وجود دارد که با استفاده از آنها می توانید session های سرور را مدیریت و تنظیم کنید.
سربرگ General
این سربرگ شما را قادر می سازد که تنظیمات امنیتی را با توجه به لایه امنیتی، رمزنگاری و NLA تغییر دهید. با گزینه های موجود در سربرگ General، در واقع نوع امنیت مربوط به ارتباط کلاینت ها با سرور را مشخص می کنید. همانطور که در این سربرگ مشاهده می کنید، در بخش security، این سه تنظیم وجود دارد:
Security Layer: همه ارتباطات RDP بطور خودکار رمزنگاری شده اند. تنظیمات لایه امنیت، نوع رمزنگاری را برای ارتباط Remote Desktop تعیین می کند. سه گزینه برای این لایه قابل تعریف است، RDP Security Layer، SSL(TLS 1.0) و Negotiate
گزینه RDP Security Layer در واقع رمزنگاری ارتباط را به رمزنگاری پیشفرض درون RDP محدود می کند. فواید این گزینه این است که به هیچ تنطیم دیگری نیاز نبوده و با همه نسخه های کلاینتی RDP ورزن 6.0 سازگاری دارد که کارایی بالایی را در remote به همراه دارد. اصلی ترین مشکل این گزینه زمانیست که وقتی از این گزینه استفاده می شود، کلاینت نمی تواند هویت RD Session Host (همان سرور remote) را تشخیص داده و NLA نیز نمی تواند استفاده شود. توجه داشته باشید که این مورد در RDP 6.0 به بعد وجود دارد.
SSL (TLS 1.0) دو مزیت عمده برای رمزنگاری RDP دارد. اولین مزیت رمزنگاری قدرتمندی را به همراه دارد. دومین مورد اینست که امکان احراز هویت سروری (server authentication) را برای نسخه های RDP 6.0 به قبل کلاینتی را فراهم میکند. SSL گزینه مناسبی است، برای زمانی که شما نیاز دارید RD Session Host، برای ویندوزهای XP به قبل احراز هویت را انجام دهد. البته این گزینه نیز اشکالاتی را به همراه دارد. در مورد SSL، هم احراز هویت و هم رمزنگاری نیاز به certificate دارند. بصورت پیشفرض، فقط یک self-signed certificate استفاده می شود که احراز هویت ضعیفی را بوجود می آورد (تمامی اطلاعات مربوط به certificate ها در بخش مربوطه صحبت می شود). برای بهبود امنیت، شما می بایست یک computer certificate قابل اعتماد را از trusted CA خود فراهم کنید و این certificate را computer account certificate روی سرور remote ذخیره کنید (به دلیل اینکه، SSL از certificate استفاده می کند، تمامی این مراحل برای اینست که کلاینت ها و سرور از صحت یکدیگر مطمئن شوند). مشکل دیگر SSL اینست که رمزنگاری پیچیده ای دارد و کارایی کمتری در مقایسه با دیگر ارتباطات دارد.
Negotiate بصورت پیشفرض انتخاب شده است. هنگامی که این گزینه را انتخاب می کنید، سرور remote (یا همان RD Session Host) از SSL فقط زمانی استفاده می کند که هم کلاینت و هم سرور از آن پشتیبانی کند. اگرچه رمزنگاری پیشفرض RDP در این گزینه استفاده می شود. Negotiate به معنای مذاکره است. هنگامی که کلاینت درخواست خود را مبنی بر remote شدن به سرور ارسال می کند. با انتخاب این گزینه، سرور از بالاترین میزان امنیت شروع کرده و به کلاینت پیشنهاد می دهد. اگر کلاینت از آن پشتیبانی نکرد، روش دیگری را پیشنهاد داده تا این ارتباط صورت بگیرد.
Encryption Layer: تنظیمات این بخش شما را قادر می سازد که میزان استحکام و پیچیدگی الگوریتم رمزنگاری به کار رفته در RDP connection را تغییر دهید. انتخاب پیشفرض این گزینه، روی Client Compatible است که بیشترین میزان پیچیدگی و اندازه کلید رمزی که توسط کلاینت پشتیبانی می شود، را داراست. گزینه های دیگر low، High و FIPS compatible است. سطح امنیتی Low از کلید رمزنگاری 56-bit استفاده کرده و از sever authentication پشتیبانی نمی کند. سطح امنیتی High از کلید رمزنگاری 128-bit بهره برده و کلاینتی که نتواند با این سطح پاسخگو باشد، اجازه remote شدن به سرور را ندارد (به دلیل پیچیدگی کلید رمزنگاری برخی از کلاینت ها توانایی تشخیص و پاسخ به آن را نداشته و نمی توانند remote شوند). سطح امنیتی FIPS-compatible از مجموعه ای از الگوریتم هایی استفاده می کند که با استانداردهای Federal Information Processing همخوانی دارد. برخی از این رمزنگاری ها شامل 3DES برای رمزنگاری، RSA برای public key exchange و SHA-1 برای TLS hashing هستند.
Network Level Authentication: هنگامی که این گزینه انتخاب شود (تیک بزنید) فقط کلاینت هایی می توانند remote شوند که از NLA پشتیبانی می کنند (توضیحات مربوط به NLA در بخش خود بطور کامل مطرح شده است که می توانید به آدرس NLA استفاده کنید.) برای اینکه متوجه شوید که آیا کلاینت از NLA پشتیبانی می کند یا خیر، Remote Desktop Connection را اجرا کرده (در Run عبارت mstsc را تایپ و enter کنید) و روی آیکون بالا سمت چپ کلیک کنید. از لیست باز شده گزینه About را انتخاب کنید.
با انتخاب About، می توانید ورژن RDC را مشاهده کنید که می بایست از 6.0 به بالا باشد.
گزینه Default نیز برای برگرداندن تمام تنظیمات به سربرگ General به حالت پیشفرض است. گزینه select نیز برای انتخاب certificate بوده که درصورت نیاز می توانید آن را تغییر دهید.
سربرگ Log on Settings
در این سربرگ می توانید تنظیمات را به گونه ای تغییر دهید که کلاینت هایی که قرار است به سرور remote شوند، از credential (همان Username & password) خود استفاده کرده (گزینه Use client-provided log information) و یا با انتخاب گزینه Always use the following log on information می توانید credential واحدی را تعریف کرده تا همه کاربرانی که می خواهند remote شوند، با یک credential وارد شوند. این گزینه برای مکان های عمومی و یا محیط های آزمایشگاهی مناسب است. کافیست مانند شکل زیر، یک username و password ای را در این قسمت وارد کنید.
همچنین با انتخاب گزینه Always Prompt For Password، کاربران هنگامی که قصد remote شدن دارند، می بایست پسورد را وارد کنند و password ذخیره نمی شود.
- سربرگ Sessionsبا استفاده از این سربرگ می توانید تنظیمات مربوط به session timeout های RD Session Host را کنترل کنید. در واقع این سربرگ شما را قادر می سازد تا تنظیمات timeout برای session های disconnect شده، قرار دادن محدویدیت زمانی برای session های فعال و idle، و تععین محدودیت برای session و نحوه disconnect شدن آنها.بطور پیشفرض، این تنظیمات از این قسمت (properties مربوط RDP-Tcp) تعریف نشده و برای هر کاربر در properties آن تعریف می شود (برای دیدن این تنظیمات روی user مورد نظر خود در کنسول Active Directory Users and Computer راست کلیک کرده و properties بگیرید. سپس به سربرگ Sessions بروید). اگر می خواهید تنظیمات این قسمت به جای تنظیمات هر کاربر اعمال شود، تیک گزینه Override User Settings را بزنید. حال می توانید از گزینه های فعال شده استفاده کنید:End A Disconnect Session: تنظیم این قسمت مشخص می کند، کاربری که ارتباطش از یک session قطع شده است (disconnected) پس از چه زمانی بطور خودکار log off شود.
Active Session Limit: این تنظیم مشخص می کند که تا چه زمانی کاربر می تواند درون Remote Desktop فعال بوده و با سرور ارتباط داشته باشد، قبل از اینکه بطور خودکار ارتباطش قطع شود. در برخی از موارد امنیتی، شما این زمان را مشخص می کنید تا کاربر طی یک زمان مشخص ارتباطش قطع شده و دوباره remote شود. این بخش همانند بانکداری اینترنتی است که شما پس از ورود به حساب اینترنتی خود، در هر صفحه فقط 10 دقیقه فرصت دارید تا کار خود را انجام دهید، در غیر اینصورت session شما غیرفعال شده و می بایست دوباره login شوید.
Idle Session Limit: به زمانی که کاربر به سرور remote زده، ولی هیچ فعالیتی (حتی تکان دادن ماوس) انجام نمی دهد، Idle time گفته می شود. این تنظیم معین می کند که کاربر پس از چند دقیقه که بصورت Idle می ماند، ارتباطش بطور خودکار قطع شود.
When Session Limit Is Reached Or Connection Is Broken: این گزینه مشخص می کند که وقتی ارتباط به هر دلیلی (مثلا قطعی اینترنت در یک لحظه) قطع شد، کاربر بطور خودکار از سرور log off شود.
سربرگ Environment
اگر دقت کنید، هنگامی که شما به سیستم خود بصورت local وارد می شوید، برخی از برنامه ها بطور خودکار اجرا می شوند. حال وقتی شما به سرور remote می شوید، شاید بخواهید که برنامه ای به محض login شدن شما به سرور، اجرا شود. این سربرگ به شما کمک می کند تا برنامه هایی که در پروفایل خود تعریف کرده اید، بطور خودکار در شروع ارتباط remote اجرا شوند (گزینه Run initial program… را انتخاب می کنید). همچنین می توانید جلوی اجرای آنها را بگیرید تا وقتی به سرور remote می شوید، صفحه desktop را مشاهد کنید (انتخاب گزینه Do not allow…). علاوه بر این شما می توانید مشخص کنید که یک برنامه خاص در زمان remote شدن همه کاربران اجرا شود. با انتخاب گزینه Start the following program… مسیر اجرای آن برنامه را بدهید.
سربرگ Remote Control
ویژگی Remote Control در RDS به ادمین های شبکه کمک می کند تا session مربوط به دیگر کاربران را مشاهد و یا آنها را تغییر دهد. بصورت پیشفرض، تنظیماتی که رفتار این ویژگی را تعریف می کند روی هر کاربر قرار می گیرد (properties هر کاربر). این properties ها تعریف می کنند که یک ادمین چگونه می تواند session هر کاربر را ببیند و یا کنترل کند. سربرگ Remote Control این امکان را به شما می دهد که این تنظیمات را روی سرور انجام دهید (به جای تنظیم آن روی هر کاربر). در حالت معمول، ادمین فقط زمانی می تواند مثلا ارتباط کاربری با سرور قطع کند که کاربر موافق بوده و تایید کند اما، تنظیمات این قسمت به ادمین اجازه می دهد تا بتواند برای مثال session کاربران را disconnect کند.
سربرگ Client Settings
این سربرگ به شما اجازه می دهد که feature های رابط کاربری را مدیریت کنید (user interface). در قسمت Color Depth شما می توانید جزییات رنگی که از RD Session Host (همان سرور remote) به کلاینت ارسال می شود را مشخص می کنید. توجه داشته باشید، هنگامی که شما به سرور remote می شود، در واقع از راه دور کنترل سرور را در اختیار داشته و از طریق شبکه در سرور کار می کنید. بنابراین مثلا همینکه دسکتاپ سرور روی سیستم شما نمایش داده شود، باتوجه به زیرساخت شبکه، با تاخیر load می شود، یکی از مهمترین عوامل، نمایش گرافیکی سرور است. بنابراین هرچه رزولوشن کمتر باشد، زودتر load شده اجرا می شود. تنظیمات پیشفرض روی 16 bits در هر پیکسل است، اما شما می توانید این مقدار را تغییر دهید. البته فقط شما زمانی نیاز به تغییر این مقدار خواهید داشت که می خواهید رزولوشن بیشتری برای ارتباط های RDP خود داشته باشید تا محیط گرافیکی تری داشته باشید.
در قسمت Monitor Settings که ویژگی جدیدی در ویندوز سرور 2008 R2 و Remote Desktop Client 7.0 است، که از چندیدن مانیتور در session ها استفاده می شود. در این قسمت تعداد مانیتورهایی که کاربران می توانند بصورت remote داشته باشند را مشخص می کنید. ماکزیمم تعدادی که بصورت پیشفرض مشخص شده است، چهار مانیتور در هر session است. با افزایش این میزان، کارایی سرور پایین می آید. برخی اوقات شما نیاز دارید، به دلیل وسعت کار با سرور، نیاز دارید که از چندین مانیتور استفاده کنید (یکی از مهمترین بخش هایی که هنگام استفاده از چندین مانیتور درگیر می شود، گرافیک است). بنابراین، هنگامی که شما به سرور remote می شوید، دسکتاپ سرور را روی مانیتور خود دارید. حال وقتی از چند مانیتور استفاده می کنید، سرور می بایست گرافیگ بیشتری به خرج دهد. با افزایش تعداد مانیتور بار کارایی سرور افزایش می یابد.
در بخش Redirection، شما می توانید مواردی که نمی خواهید از سرور به کلاینت منتقل شود، غیرفعال کنید. فایده غیرفعال کردن این موارد، افزایش کارایی و سرعت کار با سرور بصورت remote است. این موارد را می توانید به دلخواه غیرفعال کنید.
Drive: با انتخاب این گزینه، کاربری که به سرور remote می شود، درایوهای سرور را نخواهد داشت. زیرا اگر کاربر بخواهد به اطلاعات درون درایوها دسترسی داشته باشد، این موارد می بایست load شوند که در کارایی سرور تاثیر گذارند (دقت کنید که تمامی این موارد در حالت معمول، بصورت remote در اختیار کاربران قرار خواهد گرفت، فقط زمانی غیرفعال می شوند که شما آنها را تیک بزنید).
Windows Printer: هنگامی که این گزینه را انتخاب می کنید، پرینترهای local کلاینت بصورت remote قابل دسترس نیستند. اگرچه کاربر همچنان با استفاده از LPT port mapping و یا COM port mapping از طریق cmd می تواند به پرینترها دسترسی داشته باشد.
LPT Port: انتخاب این گزینه از دسترسی کاربران به map کردن ارتباط به یک پرینتر LPT جلوگیری می کند (نحوه دسترسی به پرینترها از طریق پورت LPT)
COM Port: این گزینه از ارتباط با استفاده از Remote Desktop Session به دستگاه هایی که از طریق COM به کلاینت متصل شده اند، جلوگیری می کند.
Clipboard: با انتخاب این گزینه، Clipboard غیرفعال شده و شما نمیتوانید برای مثال متن یا فایلی را از Remote Desktop session کپی یا cut کرده و به کامپیوتر local خود paste کنید. در ارتباطات با سرعت پایین، انتخاب این گزینه کارایی remote را بهبود بخشیده و از dim شدن صفحه جلوگیری می کند.
Audio And Video Playback: با انتخاب این گزینه، انتقال صدا و ویدیو از سرور به کلاینت جلوگیری کرده و شما نمی توانید ویدیو یا فایل صوتی را روی سرور پخش کرده و روی کامپیوتر خود ببینید. بصورت پیشفرض این گزینه انتخاب شده است (غیرفعال است).
Audio Recording: این گزینه از ضبط صدا بصورت remote جلوگیری می کند. بصورت پیشفرض انتخاب شده است.
Supported Plug And Play Devices: این گزینه از استفاده تجهیزات Plug and Play جلوگیری می کند.
Default To Main Client Printer: انتخاب این گزینه، از استفاده پرینتر پیشفرض کلاینت در سیستم remote جلوگیری می کند.
سربرگ Network Adapter
این سربرگ به شما اجازه می دهد تا مشخص کنید که RDP-Tcp connection از طریق کدام یک از کارت های شبکه سرور به درخواست های RDP پاسخ دهد، که از قسمت Network Adapter می توانید مشخص کنید. همچنین می توانید تعداد connection هایی که کاربران می توانند به سرور بزنند را معین کنید که بصورت پیشفرض هیچ محدودیتی وجود ندارد.
سربرگ Security
این سربرگ را معمولا در همه قسمت های ویندوز مشاهده می کنید. از این قسمت برای تعیین اجازه دسترسی کاربران بصورت remote می توان استفاده نمود. توصیه می شود از این سربرگ برای مدیریت دسترسی کاربران به Remote Desktop Services استفاده نکنید، به جای آن از کنسول Active Directory Users and Computers رفته و گروه Remote Desktop Users را تغییر دهید.
