必须通过RD Gateway建立加密通道，否则直连因防火墙阻断3389端口而失败；需安装RD网关角色、绑定匹配FQDN的SSL证书、配置RAP/CAP策略、客户端mstsc中设置网关FQDN并启用凭据复用。
要在外部网络安全访问企业内网中的远程桌面资源，又不直接暴露内网服务器到公网，必须通过远程桌面网关（RD Gateway）建立加密通道，否则客户端直连会因防火墙阻断3389端口而失败。
在Windows Server上部署并配置RD网关角色
此方法适用于已安装Windows Server且具备管理员权限的图形化管理环境，是首次搭建网关最直观可靠的路径。
1、打开“服务器管理器”，点击“管理”菜单→“添加角色和功能”。
2、在“安装类型”页选择“基于角色或基于功能的安装”，点击“下一步”。
3、在“服务器选择”页确认目标服务器，点击“下一步”。
4、在“服务器角色”页展开“远程桌面服务”，勾选“远程桌面网关”，系统将自动添加依赖项，点击“下一步”并完成安装。
5、安装完成后，在“服务器管理器”左侧面板中点击“工具”→“远程桌面网关管理器”。
6、右键服务器名称→“属性”→切换至“SSL证书”选项卡，【必须指定一个有效的服务器身份验证证书，且该证书的使用者名称（Subject Name）或主题备用名称（SAN）需与客户端实际访问的网关FQDN完全一致】。若证书不匹配，客户端将拒绝连接并报错0x204（证书名称无效）。
7、在“身份验证”选项卡中，选择“用户名和密码”，并勾选“需要网络级身份验证”——这能防止暴力破解尝试在建立完整会话前就耗尽系统资源。
8、右键“资源授权策略（RAP）”→“新建”，在向导中输入允许访问的内网目标，例如“192.168.10.50”或“HR-SERVER.corp.local”；注意：不能填通配符如“192.168.10.*”，必须精确到IP或FQDN。
9、右键“连接授权策略（CAP）”→“新建”，设置允许登录的用户组（如“Domain\RemoteUsers”），并启用“仅允许使用强密码的用户”——这是强制密码复杂度策略，避免弱口令成为突破口。
用PowerShell批量配置网关核心策略
适用于多节点标准化部署或CI/CD流水线集成场景，跳过GUI交互，直接调用RemoteDesktop模块实现策略固化。
方法一：绑定SSL证书并启用网关服务
以管理员身份运行PowerShell，执行：Import-Module RemoteDesktop 加载模块。
执行：Set-RDGatewayServer -ServerName "RdGw01.corp.local" -CertificateThumbprint "a1b2c3"，其中CertificateThumbprint值须从本地计算机个人证书存储中精确提取——【若私钥不可导出或未导入本地计算机账户，命令将静默失败，且无错误提示】。
方法二：创建RAP策略限制可访问目标
执行：New-RDResourceAuthorizationPolicy -Name "HR-Access-RAP" -ConnectionBroker "cb01.corp.local" -UserGroups "Domain\HR-Users" -ComputerGroupType "Single" -Computers "192.168.10.50,192.168.10.51"。注意：-Computers参数只接受逗号分隔的明确列表，不支持CIDR网段写法。
在Windows客户端配置网关地址及认证
客户端无需额外安装软件，使用系统自带的“远程桌面连接”（mstsc.exe）即可完成配置，但必须确保Windows版本为专业版或以上。
第一步：启动远程桌面连接，输入目标内网计算机的IP或主机名（如192.168.10.50），不要加端口号。
第二步：点击左下角“显示选项”→切换到“高级”选项卡→勾选“如果连接被中断，请重新连接”→点击“设置”按钮打开“远程桌面网关设置”对话框。
第三步：在“远程桌面网关”字段中输入网关服务器的FQDN（如rdgw.corp.local），勾选“使用我的Windows凭据进行身份验证”——若勾选此项，客户端将自动传递当前登录域账号，无需二次输入；若不勾选，则每次连接都会弹出凭据窗口。
第四步：点击“确定”返回主界面，再点击“连接”。此时流量将经由HTTPS（端口443）隧道封装后发往网关，再由网关解包转发至内网目标的3389端口。
在macOS的Windows应用中配置网关代理与凭据复用
macOS用户通过Microsoft官方“Windows应用”连接Windows远程桌面时，网关配置逻辑与Windows客户端一致，但入口位置不同。
打开“Windows应用”→顶部菜单栏依次点击“Windows应用”→“设置”→左侧选择“网关”选项卡。
点击“+”图标添加新网关，在“网关名称”中填写rdgw.corp.local，“易记名称”可自定义为“公司主网关”。
“已保存的凭据”下拉菜单中，选择“使用电脑凭据”——这表示复用macOS当前登录用户的Active Directory凭据，前提是该Mac已加入同一域或已配置Kerberos信任。
若Mac未加入域，则需点击“添加已保存的凭据”，输入域用户名（格式为DOMAIN\username或user@corp.local）、密码及易记名称，再点击“添加”。
回到“设备”列表，找到要连接的远程PC，点击其卡片右上角“…”→“编辑”→在“常规”选项卡中，于“网关”下拉菜单选择刚添加的“公司主网关”，勾选“绕过本地地址”（避免局域网直连时误走网关），最后点击“保存”。
