必须使用公有CA签发的SSL证书绑定RD网关，Subject或SAN须与客户端访问域名完全一致；CAP控制“谁可连”，RAP限定“能连哪”，二者缺一不可；客户端需在mstsc中手动配置网关FQDN并启用NLA。

要让 Windows 系统通过远程桌面网关（RD Gateway）安全接入内网资源，核心不是“打开远程桌面”那么简单，而是构建一道受控、加密、可审计的访问通道。关键在证书可信、策略精准、路径明确三方面。

必须用公有信任的 SSL 证书绑定网关

网关对外暴露在公网，必须使用由公共 CA 签发的有效 SSL 证书（例如 Sectigo、DigiCert），不能仅靠自签名证书。证书的主体名称（Subject）或 SAN 必须与客户端实际访问的域名完全一致（如 rdgw.yourcompany.com）。操作时需：

• 将 PFX 证书（含私钥）导入服务器“本地计算机 → 个人”证书存储
• 在“远程桌面网关管理器”中右键服务器 → 属性 → SSL 证书选项卡 → 浏览并绑定该证书指纹（Thumbprint）
• 证书续期后，必须重新绑定新证书，否则所有连接立即中断

CAP 和 RAP 策略缺一不可

CAP（连接授权策略）控制“谁可以连”，RAP（资源授权策略）控制“能连到哪”，二者共同构成最小权限模型：

• CAP 设置：指定允许登录的域用户或安全组（如 DOMAIN\RemoteUsers），强制启用网络级身份验证（NLA），并建议配合 IP 白名单（如只允许可信出口段 203.0.113.0/24 访问）
• RAP 设置：明确列出可访问的目标，支持 IP（192.168.10.50）、主机名（app-srv01.corp.local）或 AD 安全组；严禁使用通配符（*）或开放全网段

客户端必须显式配置网关地址

Windows 自带的“远程桌面连接”（mstsc）不会自动走网关，需手动指定：

• 新建 .rdp 文件，或在 mstsc 中点击“显示选项”→“高级”选项卡→勾选“使用网关服务器连接”
• 在下方输入网关 FQDN（如 rdgw.yourcompany.com），并确保认证方式设为“使用我的凭据”或按需选择其他方式
• 若用 Windows 应用（如新版 Remote Desktop App），需在设置 → 网关中添加该 FQDN，并为对应远程 PC 指定所用网关

额外加固建议

生产环境还应考虑以下细节提升健壮性：

• 网关服务器应部署在独立 DMZ 区，不与内网服务器共用同一台物理机或虚拟网络
• 启用日志审核：在“事件查看器 → 应用和服务日志 → Microsoft → Windows → TerminalServices-Gateway”中检查连接尝试
• 定期更新系统补丁，尤其关注 KB4025334 及后续累积更新（影响 Web 客户端兼容性）
• 如需高可用，可部署 RD 网关服务器场，并配合负载均衡器分发流量