虛擬化是現今的熱門話題，不過人們大多時候都只將它與虛擬機和操作系統虛擬化關聯起來。但自 Windows NT 4.0 發布以來，終端服務就已開始抽象為遠程運行的應用程序和桌面的表示層了。終端服務自那時起由來已久，而 Windows Server 2008 則提供了成熟而可靠的虛擬化演示平臺。我重點談一談終端服務當中的重點改進區域。

終端服務中的新功能

Windows Server 2008 中的終端服務有許多新特色和功能：

終端服務 RemoteApp Windows Server 2008 中一個最顯著的更改是遠程運行單一應用程序的能力。在舊版的終端服務中，即使您只希望訪問單一應用程序，還是會傳輸整個遠程桌面。這對用戶來說，常常容易造成混淆，因為有些應用程序出現在遠程桌面上（通過終端服務），而有些出現在本地桌面上 — 要記住哪個桌面有哪個應用程序可能頗具挑戰性。現在，通過終端服務訪問的應用程序看上去和運行在用戶的本地計算機上的應用程序一樣，行為表現也一樣。

終端服務 Web 訪問 每個人都特別希望有個簡單的方法能讓最終用戶激活應用程序。TS Web 訪問滿足了這項需要，它允許系統管理員將個別應用程序發布到網頁。TS Web 訪問包含一個默認網頁，可供立即部署，也可以自定義并集成到 SharePoint 網站中。若要通過 TS Web 訪問激活 TS RemoteApp，用戶要訪問一個網頁（從 Internet 或內部網絡訪問），查看所有可用應用程序的列表，然后單擊要激活的應用程序。

在 Windows Server 2003 中，要從瀏覽器啟用連接，需要另外一個稱為遠程桌面網站連接 (RDWC) 的 ActiveX 控件。這個控件現在已直接內置到主要的遠程桌面連接 (RDC) 客戶端中，所以客戶端上完全不需要下載或安裝任何東西。另外還支持完整的遠程桌面協議 (RDP) 功能集，而舊版的 RDWC 客戶端是不支持該功能集的。

<span class="ArticleInlineTitle">終端服務網關 </span>TS 網關是 Windows Server 2008 中最重要的新功能之一。RDP 通信量在端口 3389 上運行，而系統管理員在將終端服務器部署到防火墻以外的用戶時，碰到的最主要的一個問題就是必須在防火墻內打開該端口（不建議這樣做），或使用不同的 VPN 解決方案（成本高昂）。有了 TS 網關，RDP 流量會通過 HTTPS（端口 443）以隧道方式傳輸，以便在 Internet 上的遠程用戶與終端服務器（或遠程計算機）之間建立加密連接。更棒的是，即使用戶或終端服務器位于基于網絡地址轉換 (NAT) 遍歷的路由器背后，此方案依然可行。

TS 網關可與 Windows Server 2008 的另一項功能“網絡訪問保護”(NAP) 相結合，在授予終端服務資源的訪問權之前，幫助確認客戶端計算機的運行狀況。

終端服務會話 Broker Windows Server 2000 推出了網絡負載平衡 (NLB)，它雖然與 Web 服務器搭配非常合適，但并不適合于終端服務的負載平衡。全新的 TS 會話 Broker 是絕佳的替代方案，它擴展了 Windows Server 2003 的會話目錄功能來支持以會話為基礎的負載平衡。

通過 TS 會話 Broker，新會話可以散布到場內負載最少的服務器，而且用戶不必知道會話建立的位置，就能與現有會話重新連接。IT 管理員能夠使用此功能將每個終端服務器的 IP 地址映射到單一 DNS 條目。此配置還能提供容錯，如果其中某一個場服務器無法使用，用戶可連接到場內負載次少的服務器。

終端服務輕松打印 打印一直是許多終端服務環境系統管理員的噩夢。因為服務器和客戶端計算機上必須同時裝有相匹配的打印驅動程序，所以最終用戶安裝打印機時的可選余地較小，系統管理員也必須費心考慮如何在服務器上管理打印驅動程序。相反，有了 TS Easy Print，用戶現在可以從 TS RemoteApp 或完整的桌面會話可靠地打印到本地打印設備，無論是直接連接到設備還是通過網絡連接到設備皆可。最棒的是，現在無需在終端服務器上安裝驅動程序，就能支持打印機。

當用戶要從 TS RemoteApp 程序或桌面會話打印時，可以在本地客戶端看到完整的打印機屬性對話框，還可以訪問所有打印機功能（例如水印、自動分頁和裝訂）。當用戶打印時，打印作業在服務器上以 Microsoft XPS 文檔格式呈現，并傳送到客戶端。另外，通過 TS Easy Print，系統管理員可以使用組策略來限制只重定向到默認打印機的打印機數目，從而減少開銷并改進可伸縮性。

這些都是 Windows Server 2008 中的“重量級”功能。我們會在下文再度討論 TS RemoteApp、TS Web 訪問、TS 網關以及 TS 會話 Broker。首先，我們看一下此版本中其他同樣出色但不太明顯的功能。

安全性功能

安全性在新版本的終端服務中已得到增強。

網絡級別身份驗證 (NLA) 和服務器身份驗證 (SA) 在舊版的 TS 中，用戶在 RDC 客戶端上單擊“連接”之后，系統會顯示登錄屏幕，這為惡意攻擊者對終端服務器的登錄屏幕發動拒絕服務或攔截式攻擊提供了可乘之機。現在，NLA 會在 TS 會話開始在服務器運行并向用戶顯示登錄屏幕之前，先讓用戶、客戶端計算機和服務器憑據彼此進行驗證。服務器身份驗證使用傳輸層安全性 (TLS) 來幫助確保客戶端正在連接的是合法的終端服務器，而不是惡意計算機。

單一登錄 用戶希望能夠使用一組憑據（用戶和密碼的組合，或智能卡和 PIN 的組合）只進行一次身份驗證，而不是每次使用新資源時都被要求進行身份驗證。在此版本中，如果計算機運行 Windows Vista 或 Windows Server 2008 并連接到基于 Windows Server 2008 的終端服務器或 TS 網關，而且加入了域，則現在可以利用單一登錄。

系統級別強化 Windows Vista 和 Windows Server 2008 都有全新的系統級別強化，這基本上會將操作系統的組件模塊化，并以較低權限級別來運行它們。在終端服務中，這項功能是通過將內核 TS 引擎 (termsrv.dll) 分成兩個不同的組件（lsm.exe 和 termsrv.dll，前者為內核會話管理員，后者用于遠程連接）而實現的。

在過去，termsrv.dll 以較高的系統權限級別運行。現在，在新的 lsm.exe 中，只有三分之一的原始 termsrv.dll 代碼以該級別運行，其余三分之二都在低得多的網絡服務權限級別運行。與 Windows Server 2003 相比，這項更改大幅減小了受攻擊面。

用戶體驗功能

有不少改進可幫助用戶：

自定義顯示分辨率 隨著大型監視器的發展和顯示分辨率比例類型的日益廣泛，Windows Server 2008 終端服務也進行了升級以滿足您的需要。

用戶能夠設置自定義顯示分辨率（高達 4096 x 2048），或將比例更改為 16:9 或 16:10 以獲得寬屏幕體驗。各種新監視器配置都得到支持，例如分辨率為 1680 x 1050 或 1920 x 1200 的監視器。Windows Server 2003 最高支持 1600 x 1200 的分辨率且只支持 4:3 顯示分辨率比例，因此這是一項重大改進。您可以通過 RDC 客戶端對話框、.rdp 文件或命令提示符來設置自定義顯示分辨率。

若要在 .rdp 文件中設置自定義顯示分辨率，請在文本編輯器中打開 .rdp 文件，并添加或更改下列設置（請注意 <value> 是分辨率，例如 1680 或 1050）：

監視器擴展 遠程桌面會話現在能夠擴展到多臺監視器。要使這項功能正常運行，有幾項先決條件：

若要在 .rdp 文件中啟用監視器擴展，請在文本編輯器中打開 .rdp 文件，并添加或更改下列設置（注意：<value>=0 表示監視器擴展已禁用，<value>=1 表示已啟用）：

若要從命令提示符設置監視器擴展，請按下列語法使用 mstsc.exe 命令：

桌面體驗 桌面體驗讓終端服務的桌面更像 Windows Vista 桌面體驗。這項功能向遠程桌面添加了幾個組件，包括 Windows Media Player 11、桌面主題以及相片管理。以下是啟用桌面體驗的方法：

服務器重新啟動后，您必須確認桌面體驗功能已安裝。

字體平滑顯示 字體平滑顯示指終端服務支持 ClearType，它有助于更清晰地顯示計算機字體，特別是在 LCD 監視器上。Windows Server 2008 中默認啟用字體平滑顯示，而且可以在客戶端計算機連接時通過“遠程桌面連接”中的復選框來啟用，如圖 1 所示。

圖 1 啟用字體平滑顯示

您應該注意，字體平滑顯示會增加客戶端計算機與終端服務器之間使用的帶寬（4 到 10 倍不等，視具體情形而定）。之所以會增加帶寬，是因為 ClearType 字體在遠程當作位圖而不是字形來使用，而 RDP 使用字形的效率要高許多。

顯示器數據優先使用 在 Windows Server 2003 中，打印大型作業往往會降低您的屏幕體驗。顯示器數據優先使用會自動控制虛擬通道通信，以便為顯示器、鍵盤和鼠標數據指定比其他通信（例如打印或文件傳輸）更高的優先級。這種優先設計是為了確保您的屏幕、鍵盤和鼠標性能不致受到使用大量帶寬的操作（例如大型打印作業）的影響。

默認設置為 70:30，即顯示器和輸入數據占據 70% 的帶寬，所有其他通信（例如文件傳輸或打印作業）占 30%。

您可以更改終端服務器的注冊表來調整此設置。為此，請在 HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Ser­vices\Term­DD 子項下更改下列項的值：

如果沒有顯示這些項，您可以通過右鍵單擊 TermDD，指向“新建”，再單擊“DWORD(32-位)值”，添加它們。

通過設置 FlowControl­Disable=1 可禁用顯示器數據優先使用。若禁用顯示器數據優先使用，所有請求都會以先進先出的方式處理。默認值為 FlowControlDisable=0。

通過設置 FlowControlDisplayBandwidth 值可為顯示器（和輸入數據）設置相對帶寬優先級。默認值為 70，允許的最大值為 255。同樣，通過設置 FlowControlChannelBandwidth 值可為其他虛擬通道（例如剪貼板、文件傳輸或打印作業）設置相對帶寬優先級。默認值為 30，允許的最大值為 255。

顯示器數據優先使用的帶寬比例基于 FlowControlDisplayBandwidth 和 FlowControlChannelBandwidth 的值。例如，若 FlowControlDisplayBandwidth 設為 150，FlowControlChannelBandwidth 設為 50，則比例為 150:50。因此顯示器和輸入數據將占據 75% 的帶寬。

FlowControlChargePostCompression 值確定流控制是根據前置壓縮字節還是后置壓縮字節來計算帶寬分配。默認值為 0，表示計算將根據前置壓縮字節來進行。

如果您對注冊表值進行任何更改，必須重新啟動終端服務器以使更改生效。

即插即用設備重定向 在 Windows Server 2008 終端服務中，設備重定向已得到增強和擴展。現在，您可以重定向 Windows 便攜設備，特別是以媒體傳輸協議 (MTP) 為基礎的媒體播放程序以及以圖片傳輸協議 (PTP) 為基礎的數碼相機。

這項功能可使用“遠程桌面連接”中的“選項”按鈕來啟用。啟用這項功能時，會顯示目前處于插入狀態的受支持即插即用設備的列表。不受支持的設備不會顯示。您也可以選擇該選項來重定向尚未插入的設備。圖 2 顯示了如何從 RDC 客戶端啟用這些功能。

圖 2 啟用尚未插入的設備

啟動與遠程計算機的會話后，您應該會看到經過重定向的即插即用設備被自動安裝到遠程計算機上 — 任務欄中將顯示即插即用通知。重定向的即插即用設備安裝好之后，即可在遠程計算機的會話內使用。例如，如果您重定向 Windows 便攜設備（例如數碼相機），便可在遠程計算機上從“掃描儀與相機向導”之類的應用程序直接訪問它。

您可以使用以下某一組策略設置來控制即插即用設備重定向：

您也可以使用“支持的即插即用設備”復選框在終端服務配置工具 (tsconfig.msc) 中的“客戶端設置”選項卡上控制即插即用設備重定向。

遠程訪問更輕松

前面提到，TS RemoteApp 可讓用戶遠程控制單一應用程序，而 TS Web 訪問可讓他們輕松地從網頁訪問應用程序，現在讓我們稍微深入討論一下這些功能以及一些配置細節。

TS RemoteApp RemoteApp 程序可通過各種方法部署到用戶桌面。除了 TS Web 訪問外，您還可以：

有關用戶如何才能訪問 RemoteApp 程序的詳細信息，請參閱位于 go.microsoft.com/fwlink/?LinkID=84895 的《Windows Server 2008 TS Remote­App Step-by-Step Guide》（英文）中的“我應如何部署 RemoteApp 程序？”。

TS Web 訪問 TS Web 訪問允許從單一服務器或終端服務器場部署 RemoteApp 程序。TS RemoteApp 管理器提供了用于將應用程序發布到 TS Web 訪問的非常快速且有效的過程 — 首先安裝終端服務，然后安裝要承載的應用程序。

使用 TS RemoteApp 管理器來添加為 TS Web 訪問啟用的 Remote­App 程序。接下來，將 TS Web 訪問安裝到您希望用戶通過 Web 連接的服務器上。將 TS Web 訪問服務器的計算機帳戶添加到終端服務器上的 TS Web 訪問計算機組中。最后，配置 TS Web 訪問服務器，以便從單一終端服務器或單一場填充其 RemoteApp 程序列表。

通過傳統方法安裝應用程序或通過應用程序虛擬化（前身為 SoftGrid）將應用程序傳送到終端服務器之后，將這些應用程序發布到 TS Web 訪問就很簡單了。“Remote­App 向導”引導管理員快速逐步完成幾個簡單步驟，之后應用程序就會顯示在已發布的 Remote­App 程序列表上。

應用程序默認發布到 TS Web 訪問。RemoteApp 管理器隨后會向您顯示已經發布的應用程序以及通過 TS Web 訪問提供給用戶的所有應用程序的列表。

現在，讓我們快速看一下默認的最終用戶體驗。TS Web 訪問中的第一個選項卡顯示所有已發布的應用程序的圖標（見圖 3），第二個選項卡供用戶使用 Web 前端連接到特定的臺式計算機。前面提到，此 Web 界面完全可以自定義，《TS Web 訪問分步指南：使用 Windows SharePoint Services 自定義 TS Web 訪問》（可從 go.microsoft.com/fwlink/?LinkID=111241 獲得）是指導您逐步使用 SharePoint Services 完成自定義的理想資源。

圖 3 輸入 .rdp 文件的設置（單擊可獲得大圖）

其他部署方法 除了使用 TS Web 訪問之外，您還可以通過 .rdp 文件或 Windows Installer 程序包來部署 RemoteApp 程序。這些程序包可通過文件共享，或通過 Microsoft Systems Center Operations Manager 或 Active Directory 軟件分發進行分發。下一節將引導您逐步完成一些主要步驟，以創建合適的軟件包進行應用程序分發。

若要準備 RemoteApp 程序供通過文件共享或其他分發機制進行分發，您必須安裝終端服務以及要發布的應用程序，并驗證遠程連接設置。“TS RemoteApp 向導”將幫助您添加 RemoteApp 程序及配置全局部署設置。您接下來就可以創建 .rdp 文件或 Windows Installer 程序包。

讓我們快速完成“Remote­App 向導”的步驟。在步驟 1 中，為 .rdp 文件配置終端服務器、TS 網關和證書設置（見圖 4）。

圖 4 程序包的設置選項（單擊可獲得大圖）

在步驟 2 中，指定快捷方式圖標要顯示在桌面或“開始”菜單上的位置，和/或與客戶端文件擴展名相關聯，以便讓本地文件隨 RemoteApp 一同啟動（見圖 5）。

圖 5 在 TS Web 訪問中查看 RemoteApp 程序（單擊可獲得大圖）

在最后一個步驟中，“RemoteApp 向導”會打開“已打包的程序”文件夾，讓您使用所選的分發軟件輕松地將這些已打包的應用程序部署到客戶端計算機（見圖 6）。

圖 6 打包供進行部署的程序（單擊可獲得大圖）

終端服務網關

現在我來分析 TS 網關如何幫助您的遠程用戶從防火墻外訪問應用程序、數據或桌面。圖 7 高度概括了部署 TS 網關以通過 Internet 向用戶提供訪問權的典型情景。

圖 7 工作人員從家中的便攜式計算機連接到公司網絡（單擊可獲得大圖）

實際上，TS 網關位于網絡外圍，并通過 HTTPS 傳送 RDP 通信。您也可以將 SSL 終結器（例如 Microsoft Internet Security and Acceleration Server — ISA）置于網絡外圍中，并將傳入 RDP 通信轉發到另一端的 TS 網關。

圖 7 中所示的步驟如下：

對于大規模的安裝，您可以創建 TS 網關服務器場，但您需要單獨的解決方案（例如 NLB 或第三方負載平衡器）以平衡服務器場各系統間的負載。TS 會話 Broker 不處理 TS 網關服務器的負載平衡。

現在讓我們快速看一下如何部署這項功能。簡單的說，您必須為 TS 網關服務器獲取并配置證書，并創建上文提到的兩個授權策略：TS CAP 與 TS RAP。

獲取證書 您可以使用現有的證書，也可以申請新證書。要讓 TS 網關順利運行，必須具備有效的證書，您在安裝期間可以選擇導入證書或創建自簽名證書。

自簽名選項適合用于內部測試，但是正式部署需要企業證書頒發機構（如 VeriSign）頒發的證書。安裝證書后，便可考慮部署授權策略。

授權策略 TS CAP 將確定哪些用戶可連接到 TS 網關，并指定用戶在什么條件下可以連接。例如，您可以指定存在于本地 TS 網關服務器上或 Active Directory 中的用戶組可連接到 TS 網關，而且該組成員必須使用智能卡進行連接。

另一方面，TS RAP 確定哪些內部資源用戶可通過 TS 網關進行訪問。例如，您可以創建計算機組（例如終端服務器場），并將它與您的 TS RAP 相關聯。

您必須同時創建 TS CAP 和 TS RAP，才能讓遠程用戶訪問內部資源，因為用戶必須至少有一個 TS CAP 和一個 TS RAP 才能獲得訪問權。管理員可通過 TS 網關管理器同時創建這兩種類型，如圖 8 和圖 9 所示。

圖 8 創建連接授權策略（單擊可獲得大圖）

圖 9 創建資源授權策略（單擊可獲得大圖）

TS CAP 與 TS RAP 配合使用可提供兩種不同類型的授權，以便您配置對內部網絡上的計算機的更精細的訪問控制級別。有關詳細信息，請參閱《Terminal Services Gateway Step-by-Step Guide》，網址為 go.microsoft.com/fwlink/?LinkID=85872。

TS 會話 Broker

我要介紹的最后一個主題是會話 Broker，它提供了一套易于部署、基于會話的負載平衡解決方案。此功能在 Windows Server 2003 的“會話目錄”功能（將用戶重新連接到現有的會話）的基礎上構建，并增加了在場中負載最少的服務器上創建新會話的能力。

讓我們來看一下典型情景，即場內所有的終端服務器在映射到特定終端服務器場名（假設為 Farm1）的 DNS 中都有主機資源記錄。因此，場中的任何終端服務器都能夠充當重定向器并處理初始連接請求。

假設某用戶啟動 RDC 客戶端，指定一個名為 Farm1 的終端服務器場。客戶端會聯系 DNS 服務器，將 Farm1 名稱解析為 IP 地址，而 DNS 服務器（配置為使用輪循機制來平衡初始連接請求的負載）會返回為 Farm1 注冊的 IP 地址的列表。

客戶端將連接請求傳送給 DNS 服務器返回的列表上的第一個 IP 地址。位于該地址的終端服務器會充當重定向器，查詢 TS 會話 Broker 服務器以判斷客戶端應該登錄哪臺終端服務器。TS 會話 Broker 服務器檢查其數據庫，如果用戶已有現有會話，會話 Broker 便會返回該終端服務器的 IP 地址。如果用戶沒有現有會話，則會話 Broker 會判斷場內哪臺終端服務器的負載最少（根據會話的數量和相對服務器權重值），然后返回該特定服務器的 IP 地址。

重定向器將該 IP 地址發送給客戶端，接著客戶端將連接請求發送給該服務器，由它來處理登錄請求并通知 TS 會話 Broker 已成功登錄。

請注意，雖然分發初始連接可以使用任何負載平衡機制，但 DNS 輪循機制是最易于部署的機制。不過，要注意 DNS 輪循機制的確有些限制，包括緩存客戶端上的 DNS 要求，這可能會使客戶端對每個初始連接請求都使用相同的 IP 地址，并且在用戶重定向到處于脫機狀態但仍列在 DNS 中的終端服務器時，可能產生 30 秒的超時延遲。

部署時將 TS 會話 Broker 負載平衡與網絡級別負載平衡解決方案（例如 NLB 或硬件負載平衡器）相結合，可避免 DNS 的限制，又能利用 TS 會話 Broker 功能。TS 會話 Broker 負載平衡功能使您可為每個服務器指派相對權重值，這有助于在場內性能較強和性能較弱的服務器之間分配負載。例如，如果一臺服務器可處理的會話數比場內另一臺服務器多兩倍，您就可以指定該服務器的權重值為 200，另一臺的權重值為 100。

TS 會話 Broker 負載平衡限制特定終端服務器最多只能有 16 個待處理登錄請求。這項功能有助于防止具有新登錄請求的某一臺服務器在特定情況下產生過大的負荷，例如，當您向場添加新服務器時或使用戶能夠登錄到之前遭到拒絕的服務器時。

另外，還提供了全新的“服務器清空”機制，可使您防止新用戶登錄到準備進行維護的終端服務器。如果新登錄在特定終端服務器上被拒絕，TS 會話 Broker 將允許具有現有會話的用戶重新連接，但會將新用戶重定向到配置為允許新登錄的終端服務器。

有關詳細信息，請參閱《TS Session Broker Load Balancing Step-by-Step Guide》，網址為 go.microsoft.com/fwlink/?LinkID=92670。本文篇幅有限，我不再進一步談論 Windows Server 2008 TS 的新功能。不過，終端服務網站上有更多內容，包括深入網絡廣播。若要了解更多信息，請參考 technet.microsoft.com/ts。

Joshua Schnoll 具有 15 年以上的市場和技術經驗，過去 6 年來一直專注于基于服務器的運算。他目前擔任 Windows Server 終端服務的全球資深產品經理，加入 Microsoft 前，他曾在 Sun Microsystems 歷任數職，包括 Sun Ray 超簡化型客戶端的推動產品市場營銷經理。

原文地址

文章出處：TechNet中文網

【編輯推薦】

1. Windows Server 2008 R2組策略報錯解決手冊
2. Windows 7和Windows Server 2008 R2的組策略中的新增功能
3. Windows 8：脫離于硬件的虛擬化操作系統