2008年（5645）
分类：
2008-04-28 14:23:18
在过去，我一直使用Virtual Network Computing来连接这种服务器或客户机，不过使用VNC需要在防火墙上打开某些特定的端口，这需要涉及防火墙和内部网络的配置，以及在防火墙上建立端口映射。因此，虽然VNC是免费软件并且也有很好的跨平台性能，但它仍需要我在网络的可访问性上花费不少时间。
使用类似VNC 这种远程控制软件的另一点不足就是你必须在远程系统中安装服务器端程序，并在自己的机器上安装客户端程序。这在通常情况下都是可以实现的，但假如你不得不使用公用电脑或出于其它某些原因无法安装相应的远程治理软件，此时远程桌面Web连接(Remote Desktop Web Connection ，RDWC)就成为了一个很好的选择。
虽然RDWC仍然无法避免在防火墙上打开特定端口的问题，但它完全避免了远程访问客户端软件的问题。下面我就来介绍一下RDWC是如何工作的，如何用它治理你的服务器和工作站以及如何配置防火墙才能正常使用RDWC。
关于远程桌面Web连接的说明
RDWC集成在Windows Server 2003 以及Windows XP系统中。带有RDWC的系统可以启动终端服务Web客户端(Terminal Services Web ClIEnt)的计算机，以便Web浏览器可以访问。换句话说，客户端系统不需要运行远程桌面连接程序或终端服务(Terminal Services)客户端程序来连接远程系统，而只需要使用常用的Web浏览器就可以进行连接了。
RDWC是由一个 ActiveX控件、几个简单的Web页面以及可以运行IIS4.0或以上版本进行远程连接服务的文件构成的。因此不论是Windows Server 2003、Windows NT、Windows 2000，或是Windows XP，都可以作为被远程控制的系统。而实现远程控制的客户端必须采用运行Internet Explorer 5.0或以上版本的浏览器的Windows平台。
对于远程控制来说，RDWC是一个很好的解决方案，同时，对于远程治理以及远程技术支持来说，RDWC也非常合适。另外，对于需要远程访问数据的业务伙伴、移动办公用户以及其他不愿意安装客户端程序的用户来说，RDWC也是很好的选择。
那么RDWC是如何工作的呢?当你安装RDWC时，安装程序会在目标服务器的Administration Web站点上安装一个Tsweb虚拟目录。当担任远程控制任务的电脑连接到这个目标服务器上时，远程电脑中的IE浏览器会自动下载一个CAB文件包，用来安装RDWC所需的ActiveX控件。假如远程电脑中已经带有这个控件，只是版本与目标服务器的版本不符，那么IE也会自动下载新的。自动安装好 ActiveX控件后，连接页面就会出现。稍后我会介绍从客户端系统的连接过程。现在我们先安装RDWC。在本文中，我假定你使用Windows Server 2003。当然，假如你使用上面提到的任何一种平台也是一样的。
在Windows Server 2003上配置RDWC 虽然RDWC包含在Windows Server 2003中，不过默认情况下它并不会被安装。要手动安装RDWC，你需要在控制面板中点开“添加删除程序”项。然后点击“添加/删除Windows组件”，激活Windows组件向导。点击“应用服务器(Application Server)”，然后点击“具体资料”，添加“互联网信息服务(IIS)”。依次点击“具体资料”/“WWW服务”/“具体资料”，然后添加“远程桌面 Web连接”。之后点击完成让安装程序安装指定的组件。
安装完成后，打开IIS治理控制台，并展开Web站点\默认Web站点。你会发现这里出现了一个Tsweb虚拟目录，假如你点击它，右边会列出一系列文件，其中包括一个名为Msrdp.cab的文件。在IIS中，你不需要进行有关RDWC的配置，不过需要在系统属性中答应系统接受远程连接请求。
具体的做法是:右键点击“我的电脑”并选择“属性”，并打开“系统属性”对话框。点击“远程”选项卡并勾选“Allow Users To Connect Remotely To This Computer”。默认情况下，只有治理员组的用户可以连接到这台电脑中。至于如何让其他用户利用RDWC访问到该系统则要看服务器端的配置了。首先我们来看看独立或成员服务器的配置。
假如这台电脑不是域控制器，那么使能RDWC用户比较轻易。首先，在系统属性对话框中点击 “Remote”选项卡。然后点击“Select Remote Users”，在弹出的“Remote Desktop Users”对话框中点击“Add”，输入用户名后点击“OK”。假如有多个用户需要连接，重复这个步骤即可。
通过这种方法添加用户，Windows Server会将用户加入“Builtin\Remote Desktop Users”组。实际上“Remote Desktop Users”对话框就是简单的显示出了该组的成员，并为用户提供了一个修改该组成员的界面。在默认情况下，这个组的成员都具有“Allow Log On Through Terminal Services”权限，这使得该组成员都可以通过RDWC进行远程登录。假如你愿意，也可以从“Local Users And Computers”控制台完成相同的工作，而不必进入系统属性对话框。假如这台电脑是一个域的成员服务器，你同样可以在“local Remote Desktop Users”组中添加域账户来让这些用户可以通过RDWC连接到服务器。
假如这台电脑属于域控制器，你还需要更进一步答应非治理员组的成员通过RDWC登录系统。在“Administrative Tools”文件夹下点击“Domain Controller Security Policy”打开“Default Domain Controller Security Settings”控制台。进入“Local Policies\User Rights Assignment\Allow Log On Through Terminal Services”，然后打开该策略并设置为“Enabled”。然后添加治理员组、远程桌面用户组以及其它你希望具有远程访问权限的独立用户或用户组。当然，你需要清楚哪些用户或用户组在进行远程访问时对系统的安全性不会造成不利影响。
使用RDWC连接远程服务器
在服务器上安装好RDWC并配置好帐号后，就可以轻松的从远端连接到服务器上了。在远端的电脑上打开IE浏览器并输入 ，这里的“server”是指你希望远程连接的服务器的主机名。比如，这个服务器的主机名叫做bart，连接方法就是 。
根据网络配置和服务器所处的位置，你也许需要在URL区域输入完整的域名(FQDN)。你可以检查服务器上的Default Web Site，来确定这个主机标题(host headers)。在“Administrative Tools”文件夹中打开“IIS Manager”控制台，右键点击“Default Web Site”，选择属性。在“Web Site”选项卡中选择“Advanced”，然后查看“Multiple Identities For This Web Site”列表找到主机标题。假如这个列表只有“Default”，那么你可以用IP地址来代替主机名进行连接，或者也可以考虑添加一个主机标题以便实现 RDWC连接。
当你连接到正确的URL，IIS会显示一个页面，让你指定所要连接的服务器和所要使用的屏幕分辨率。假如你选择了 “Send Logon Information For This Connection”选项，该页面会显示“User Name and Domain”区域。
点击“Connect”后，你会看到一个登录对话框。假如选择了全屏模式，这时候你的电脑就会和远程服务器端的电脑画面一样，显示出全屏的“Remote Desktop Connection”进程。你可以通过[Ctrl][Alt][Pause]键在窗口和全屏模式间切换，在切换时你会发现，这种远程连接确实是在IE浏览器中进行的。输入用户名密码后点击OK，就可以登录到远程服务器进行治理了。其界面和在本地电脑上登录一样，只不过某些操作受到帐号权限的限制罢了。
在其它平台使用RDWC
事实上，RDWC不但可以方便的控制一台远程服务器，对于多台服务器，它依然可以很好的进行控制。
假设你在企业网内部的多台服务器上安装了RDWC，并打算通过你在企业网内的工作站来远程治理它们。当你输入所要治理的服务器地址时，只需输入该服务器的Tsweb地址，然后输入你想要治理的服务器主机名。只要你在RDWC中配置了该服务器，你会该服务器发出的一个提示信息并且可以开始同它进行远程会话了。一定要保证你所输入的主机名和该工作站相匹配，或者指定的IP地址一定要是目标服务器的。
另外，RDWC不仅限于治理 Windows Server 2003平台的系统。在Windows NT 4.0、Windows 2000 Professional/Server以及 Windows XP Professional都是一样的。本质上说，只要操作系统可以运行IIS4.0或以上版本的服务，你就可以在其上安装RDWC来实现对该系统的远程治理。
RDWC与NAT联合使用
也许有些人会对RDWC产生误解，认为使用了RDWC就可以避免对可激活 NAT防火墙端口映射的配置工作，这是错误的。你需要在防火墙上配置到该系统的HTTP传输端口。假如你需要通过防火墙访问内部网中的多台电脑，最好的方法就是使用VPN连接到该局域网。这样，你就可以简单的使用80端口和3389端口进行远程治理了，因为此时配置NAT已经没有必要了。
当然，假如你必须要联合使用RDWC和NAT，这也不难。比如你已经在内部网中建立了一个可以被远程治理的服务器，并做好了80端口和3389端口的映射工作，这时候你又需要在局域网的另一台系统上安装RDWC并从互联网访问。在这种情况下，你需要改变默认的HTTP端口并在防火墙上进行相应的映射工作。
在过去，我一直使用Virtual Network Computing来连接这种服务器或客户机，不过使用VNC需要在防火墙上打开某些特定的端口，这需要涉及防火墙和内部网络的配置，以及在防火墙上建立端口映射。因此，虽然VNC是免费软件并且也有很好的跨平台性能，但它仍需要我在网络的可访问性上花费不少时间。
使用类似VNC 这种远程控制软件的另一点不足就是你必须在远程系统中安装服务器端程序，并在自己的机器上安装客户端程序。这在通常情况下都是可以实现的，但假如你不得不使用公用电脑或出于其它某些原因无法安装相应的远程治理软件，此时远程桌面Web连接(Remote Desktop Web Connection ，RDWC)就成为了一个很好的选择。
虽然RDWC仍然无法避免在防火墙上打开特定端口的问题，但它完全避免了远程访问客户端软件的问题。下面我就来介绍一下RDWC是如何工作的，如何用它治理你的服务器和工作站以及如何配置防火墙才能正常使用RDWC。
关于远程桌面Web连接的说明
RDWC集成在Windows Server 2003 以及Windows XP系统中。带有RDWC的系统可以启动终端服务Web客户端(Terminal Services Web ClIEnt)的计算机，以便Web浏览器可以访问。换句话说，客户端系统不需要运行远程桌面连接程序或终端服务(Terminal Services)客户端程序来连接远程系统，而只需要使用常用的Web浏览器就可以进行连接了。
RDWC是由一个 ActiveX控件、几个简单的Web页面以及可以运行IIS4.0或以上版本进行远程连接服务的文件构成的。因此不论是Windows Server 2003、Windows NT、Windows 2000，或是Windows XP，都可以作为被远程控制的系统。而实现远程控制的客户端必须采用运行Internet Explorer 5.0或以上版本的浏览器的Windows平台。
对于远程控制来说，RDWC是一个很好的解决方案，同时，对于远程治理以及远程技术支持来说，RDWC也非常合适。另外，对于需要远程访问数据的业务伙伴、移动办公用户以及其他不愿意安装客户端程序的用户来说，RDWC也是很好的选择。
那么RDWC是如何工作的呢?当你安装RDWC时，安装程序会在目标服务器的Administration Web站点上安装一个Tsweb虚拟目录。当担任远程控制任务的电脑连接到这个目标服务器上时，远程电脑中的IE浏览器会自动下载一个CAB文件包，用来安装RDWC所需的ActiveX控件。假如远程电脑中已经带有这个控件，只是版本与目标服务器的版本不符，那么IE也会自动下载新的。自动安装好 ActiveX控件后，连接页面就会出现。稍后我会介绍从客户端系统的连接过程。现在我们先安装RDWC。在本文中，我假定你使用Windows Server 2003。当然，假如你使用上面提到的任何一种平台也是一样的。
在Windows Server 2003上配置RDWC 虽然RDWC包含在Windows Server 2003中，不过默认情况下它并不会被安装。要手动安装RDWC，你需要在控制面板中点开“添加删除程序”项。然后点击“添加/删除Windows组件”，激活Windows组件向导。点击“应用服务器(Application Server)”，然后点击“具体资料”，添加“互联网信息服务(IIS)”。依次点击“具体资料”/“WWW服务”/“具体资料”，然后添加“远程桌面 Web连接”。之后点击完成让安装程序安装指定的组件。
安装完成后，打开IIS治理控制台，并展开Web站点\默认Web站点。你会发现这里出现了一个Tsweb虚拟目录，假如你点击它，右边会列出一系列文件，其中包括一个名为Msrdp.cab的文件。在IIS中，你不需要进行有关RDWC的配置，不过需要在系统属性中答应系统接受远程连接请求。
具体的做法是:右键点击“我的电脑”并选择“属性”，并打开“系统属性”对话框。点击“远程”选项卡并勾选“Allow Users To Connect Remotely To This Computer”。默认情况下，只有治理员组的用户可以连接到这台电脑中。至于如何让其他用户利用RDWC访问到该系统则要看服务器端的配置了。首先我们来看看独立或成员服务器的配置。
假如这台电脑不是域控制器，那么使能RDWC用户比较轻易。首先，在系统属性对话框中点击 “Remote”选项卡。然后点击“Select Remote Users”，在弹出的“Remote Desktop Users”对话框中点击“Add”，输入用户名后点击“OK”。假如有多个用户需要连接，重复这个步骤即可。
通过这种方法添加用户，Windows Server会将用户加入“Builtin\Remote Desktop Users”组。实际上“Remote Desktop Users”对话框就是简单的显示出了该组的成员，并为用户提供了一个修改该组成员的界面。在默认情况下，这个组的成员都具有“Allow Log On Through Terminal Services”权限，这使得该组成员都可以通过RDWC进行远程登录。假如你愿意，也可以从“Local Users And Computers”控制台完成相同的工作，而不必进入系统属性对话框。假如这台电脑是一个域的成员服务器，你同样可以在“local Remote Desktop Users”组中添加域账户来让这些用户可以通过RDWC连接到服务器。
假如这台电脑属于域控制器，你还需要更进一步答应非治理员组的成员通过RDWC登录系统。在“Administrative Tools”文件夹下点击“Domain Controller Security Policy”打开“Default Domain Controller Security Settings”控制台。进入“Local Policies\User Rights Assignment\Allow Log On Through Terminal Services”，然后打开该策略并设置为“Enabled”。然后添加治理员组、远程桌面用户组以及其它你希望具有远程访问权限的独立用户或用户组。当然，你需要清楚哪些用户或用户组在进行远程访问时对系统的安全性不会造成不利影响。
使用RDWC连接远程服务器
在服务器上安装好RDWC并配置好帐号后，就可以轻松的从远端连接到服务器上了。在远端的电脑上打开IE浏览器并输入 ，这里的“server”是指你希望远程连接的服务器的主机名。比如，这个服务器的主机名叫做bart，连接方法就是 。
根据网络配置和服务器所处的位置，你也许需要在URL区域输入完整的域名(FQDN)。你可以检查服务器上的Default Web Site，来确定这个主机标题(host headers)。在“Administrative Tools”文件夹中打开“IIS Manager”控制台，右键点击“Default Web Site”，选择属性。在“Web Site”选项卡中选择“Advanced”，然后查看“Multiple Identities For This Web Site”列表找到主机标题。假如这个列表只有“Default”，那么你可以用IP地址来代替主机名进行连接，或者也可以考虑添加一个主机标题以便实现 RDWC连接。
当你连接到正确的URL，IIS会显示一个页面，让你指定所要连接的服务器和所要使用的屏幕分辨率。假如你选择了 “Send Logon Information For This Connection”选项，该页面会显示“User Name and Domain”区域。
点击“Connect”后，你会看到一个登录对话框。假如选择了全屏模式，这时候你的电脑就会和远程服务器端的电脑画面一样，显示出全屏的“Remote Desktop Connection”进程。你可以通过[Ctrl][Alt][Pause]键在窗口和全屏模式间切换，在切换时你会发现，这种远程连接确实是在IE浏览器中进行的。输入用户名密码后点击OK，就可以登录到远程服务器进行治理了。其界面和在本地电脑上登录一样，只不过某些操作受到帐号权限的限制罢了。
在其它平台使用RDWC
事实上，RDWC不但可以方便的控制一台远程服务器，对于多台服务器，它依然可以很好的进行控制。
假设你在企业网内部的多台服务器上安装了RDWC，并打算通过你在企业网内的工作站来远程治理它们。当你输入所要治理的服务器地址时，只需输入该服务器的Tsweb地址，然后输入你想要治理的服务器主机名。只要你在RDWC中配置了该服务器，你会该服务器发出的一个提示信息并且可以开始同它进行远程会话了。一定要保证你所输入的主机名和该工作站相匹配，或者指定的IP地址一定要是目标服务器的。
另外，RDWC不仅限于治理 Windows Server 2003平台的系统。在Windows NT 4.0、Windows 2000 Professional/Server以及 Windows XP Professional都是一样的。本质上说，只要操作系统可以运行IIS4.0或以上版本的服务，你就可以在其上安装RDWC来实现对该系统的远程治理。
RDWC与NAT联合使用
也许有些人会对RDWC产生误解，认为使用了RDWC就可以避免对可激活 NAT防火墙端口映射的配置工作，这是错误的。你需要在防火墙上配置到该系统的HTTP传输端口。假如你需要通过防火墙访问内部网中的多台电脑，最好的方法就是使用VPN连接到该局域网。这样，你就可以简单的使用80端口和3389端口进行远程治理了，因为此时配置NAT已经没有必要了。
当然，假如你必须要联合使用RDWC和NAT，这也不难。比如你已经在内部网中建立了一个可以被远程治理的服务器，并做好了80端口和3389端口的映射工作，这时候你又需要在局域网的另一台系统上安装RDWC并从互联网访问。在这种情况下，你需要改变默认的HTTP端口并在防火墙上进行相应的映射工作。
下载本文示例代码