Servidor de sesiones de escritorio remoto

Un servidor de sesiones de escritorio remoto es el servidor que hospeda aplicaciones basadas en Windows, o configuraciones completas de escritorio con aplicaciones, para usuarios de entornos de virtualización de la presentación (sesiones de escritorio remoto).

Los usuarios se pueden conectar a los servidores de sesiones de escritorio remoto para ejecutar las aplicaciones disponibles en su escritorio, y para acceder a los recursos de dicho servidor (como archivos o acceso a red).

Los usuarios pueden obtener acceso a un servidor de sesiones de escritorio remoto desde la red corporativa o desde Internet, usando para ello el cliente de conexión a escritorio remoto, o RemoteApp (según el tipo de implementación).

Cuando un usuario obtiene acceso a un programa en un servidor de sesiones de escritorio remoto, la ejecución del programa se produce realmente en el servidor, pero el usuario interactúa con la aplicación, o con el escritorio, desde un dispositivo de cliente.

Los servidores de sesiones de escritorio remoto basados en Microsoft RDS permiten que sesiones de distintos usuarios se ejecutan simultáneamente en el mismo equipo físico (servidor) de forma totalmente independiente, y garantizando que cada usuario tenga acceso únicamente a su sesión individual.

Entre las ventajas de usar sesiones de escritorio remoto se encuentran:

- Gestión simplificada de aplicaciones corporativas: es posible implementar rápidamente programas basados en Windows en dispositivos informáticos de toda una empresa; esto resulta especialmente útil cuando se tienen programas que se actualizan con frecuencia, se usan con poca frecuencia o son difíciles de administrar.

- Reutilización de hardware: los usuarios pueden acceder a las sesiones de escritorio remoto desde una amplia variedad de dispositivos como equipos domésticos, puestos de venta, dispositivos móviles, equipos antiguos o con pocos recursos, sistemas operativos no Windows...

- Centralización de delegaciones: sesiones de escritorio remoto proporciona una manera de dar acceso a los usuarios de delegaciones remotas, a los usuarios móviles y a los teletrabajadores, a los sistemas corporativos centrales, usando los accesos a Internet con un gran rendimiento. De esta manera se pueden desplegar aplicaciones que no están preparadas para trabajar en modo cliente / servidor, o que aún estándolo tiene un mal rendimiento al usar redes WAN (redes de área extensa).

La funcionalidad de servidor de sesiones de escritorio remoto está recogida en el servicio de rol "Host de sesión de escritorio remoto", incluido en el rol de Servicios de escritorio remoto (RDS) de Windows Server 2008 R2.

Nota: la arquitectura de sesiones de escritorio remoto también es muy utilizada para administrar remotamente dispositivos como por ejemplo servidores; para esta finalidad los sistemas operativos de Microsoft ya tienen incluido un servicio específico ("Escritorio remoto", no confundir con "Sesiones de escritorio remoto"), y no se requiere habilitar el rol de RDS, ni el servicio de rol de "Host de sesión de escritorio remoto".

Instalación paso a paso del servicio de rol "Host de sesión de escritorio remoto"

1) Requisitos previos: antes de convertir un servidor en servidor de sesiones de escritorio remoto se deben tener en cuenta diversas consideraciones:

- Hardware: a la hora de dimensionar correctamente el servidor se debe tener en cuenta el consumo de memoria y procesador que puede llegar a tener cada aplicación o cada conjunto de aplicaciones a los que pueden acceder los usuarios. El cómputo debe hacerse en función del número máximo estimado de usuarios concurrentes de sesiones de escritorio remoto, no del total, pero debe tenerse en cuenta que aunque un usuario no esté usando su sesión si ésta no está cerrada sigue consumiendo recursos del servidor.

Nota: los servicios de sistema operativo, que representan una importante cantidad del consumo de memoria y procesador en los equipos de usuario, son comunes a todas las sesiones concurrentes en el caso de escritorio remoto, razón por la cual a efectos prácticos, las sesiones de escritorio remoto demandan menos recursos que las sesiones en equipos físicos.

- Software: se recomienda que todas las aplicaciones que vayan a ser usadas con servicios de escritorio remoto se instalen en el servidor con posterioridad a la instalación del servicio de rol, y no antes. Si ya estaban instaladas es recomendable reinstalarlas.

- Licencias: el uso de sesiones de escritorio remoto está sujeto a la adquisición de licencias, y éstas pueden ser de varios tipos. Antes de instalar el rol debe evaluarse las necesidades, decidir qué estrategia de licenciamiento es la mejor para cada caso y adquirir las licencias correspondientes.

- Seguridad: deben configurarse los usuarios que van a tener acceso al servidor de sesiones de escritorio remoto, y deben asignarse las políticas de uso correspondientes.

- Conectividad: sesiones de escritorio remoto se basa en el uso del protocolo RDP (Remote Desktop Protocol), que es un protocolo TCP/IP que opera en el puerto TCP 3389; hay que asegurarse de que el firewall no bloquea este puerto, y en el caso de requerir acceso desde otras redes se debe verificar que el puerto es accesible.

Nota: es posible cambiar el número del puerto usado.

- Alta disponibilidad: según la criticidad de las sesiones que se van ejecutar en los servidores se debe decidir si se requieren configuraciones hardware tolerantes a fallos para el servidor (RAID, fuentes redundantes...) o incluso usar una granja de servidores para dar el servicio, en vez de uno solo.

2) Añadimos el servicio de rol host de sesión de escritorio remoto:

Desde la consola de administración de servidores ejecutamos el asistente para añadir roles, seleccionamos el rol de RDS, y luego el servicio de rol de "Host de sesión de escritorio remoto".

Figura 1.- Servicio de rol host de sesión de escritorio remoto en Windows Server 2008 R2

3) Nivel de seguridad:

El asistente nos permite elegir el nivel de seguridad de red que se desea implementar. La opción "Requerir autenticación a nivel de red" permite que el necesario proceso de autenticación de usuario se produzca sin que se llegue a iniciar la sesión de escritorio remoto, lo cual consume menos recursos del servidor de sesiones de escritorio remoto, y es mucho más seguro que iniciar primero la sesión, y luego, dentro de ella, solicitar las credenciales de usuario.

Autenticación a nivel de red sólo puede usarse con clientes que ejecuten sistemas operativos compatibles con la característica CredSSP (como Windows Vista o Windows 7), y que ejecuten el cliente de conexión a escritorio remoto versión 6 o superior.

Figura 2.- Seleccionar nivel de autenticación a nivel de red de host de sesión de escritorio remoto

4) Configurar licenciamiento:

A continuación debemos elegir el modo de licenciamiento que va a utilizar el servidor; se dispone de dos opciones:

i) Licencias por usuario: se asignará una licencia de uso a cada usuario que establezca una sesión con el servidor, con independencia del dispositivos desde el que se conecte. En este caso las licencias están vinculadas a cuentas de usuario en el propio servidor o en un dominio de Active Directory.

ii) Licencias por dispositivo: se asignará una licencia de uso a cada dispositivo desde el que se establezca una sesión de escritorio remoto con el servidor, con independencia del usuario que establezca dicha sesión. En este caso las licencias están vinculadas a los propios dispositivos cliente.

La opción que elijamos lógicamente debe coincidir con las licencias adquiridas y con el modo de licenciamiento establecido para el servidor de licencias de escritorio remoto, que es quien las asigna.

En el caso de que aún no dispongamos de las licencias, o de que aún no esté operativo un servidor de licencias para gestionarlas, se puede elegir la opción "Configurar más adelante" que permite usar los servicios del servidor de sesión e escritorio remoto durante un periodo de gracia de hasta 120 días. En cualquier momento de ese periodo podremos configurar manualmente el tipo de licencias a usar y las opciones de selección de servidor de licencias.

Figura 3.- Seleccionar tipo de licencias de RDS a usar en el host de sesión de escritorio remoto

5) Usuarios de escritorio remoto:

En la siguiente pantalla del asistente se nos permite elegir qué usuarios, o grupos de usuarios, van a poder usar los servicios de sesión de escritorio remoto.

Los grupos o usuarios que añadamos en esta pantalla del asistente tras la instalación quedarán añadidos a un grupo especial de usuarios llamado "Usuarios de escritorio remoto"; los miembros de este grupo tienen automáticamente acceso a los servicios de sesión de escritorio remoto.

Nota: por defecto los usuarios del grupo "Administradores" tienen siempre acceso, aunque no aparecen como miembros de este grupo.

En el caso de que se esté instalando el servicio en un controlador de dominio, no basta con añadir un grupo o un usuario al grupo "Usuarios de escritorio remoto", ya que por defecto, en los controladores de dominio, sólo los miembros del grupo "Administradores" pueden iniciar sesión a través de sesiones de escritorio remoto.

Para permitir que los miembros del grupo "Usuarios de escritorio remoto" puedan usar sesiones de escritorio remoto en un controlador de dominio, es necesario editar las directivas de grupo aplicadas al controlador de dominio, y conceder el derecho "Permitir el inicio de sesión a través de Servicios de Escritorio remoto" al grupo "Usuarios de escritorio remoto".

Nota: por seguridad Microsoft no recomienda habilitar el rol de Host de sesión de escritorio remoto en un controlador de dominio.

6) Experiencia de usuario:

Se puede configurar la experiencia de usuario al usar sesiones de escritorio remoto. Por defecto las sesiones se establecen con unas configuraciones básicas a nivel de gestión de gráficos y multimedia en general, de tal manera que el rendimiento de las transmisiones se optimiza al máximo posible, sin embargo es posible habilitar características como por ejemplo la redirección de la reproducción multimedia al equipo cliente, o la redirección de la grabación de audio (lo que permitiría por ejemplo usar aplicaciones de telefonía IP).

Seleccionando en el asistente la opción "Composición de escritorio" también es posible habilitar en las sesiones de escritorio remoto el uso de la tecnología Aero de Microsoft, que por defecto está deshabilitada.

Figura 4.- Configuración de la experiencia de usuario en el host de sesión de escritorio remoto

Estas opciones deben estar habilitadas para que el servidor de sesión de escritorio remoto pueda ofrecer a los usuarios la posibilidad de mejorar la experiencia de escritorio, pero desde el cliente de conexión de escritorio remoto los usuarios pueden configurar también si desean usar esas características o no.

7) Finalización del asistente:

Por último el asistente muestra un resumen de la configuración seleccionada y comienza el proceso de instalación.

Al finalizar se debe reiniciar el servidor de sesión de escritorio remoto. Es posible que se produzca más de un reinicio durante el proceso de instalación.

Tras los reinicios se realizan las últimas tareas de configuración y el servicio queda instalado y operativo.

Figura 5.- Finalización de la instalación del servicio de rol de host de sesión de escritorio remoto

Se nos informa de que además del servicio de rol se ha instalado una característica de Windows Server 2008 R2: la característica de "Experiencia de escritorio"; esta característica es requerida por las funcionalidades de "Composición de escritorio" y "Reproducción de audio y vídeo" que hemos habilitado en el servidor de sesión de escritorio remoto.

También se nos informa de que está pendiente la configuración de un servidor de licencias con el que operar.

8) Configuración adicional:

Puesto que "Host de sesión de escritorio remoto" es un servicio de rol incluido en el rol de Remote Desktop Services (RDS), la instalación ha añadido en el servidor el conjunto de herramientas de administración y configuración de RDS, que son un conjunto de aplicaciones agrupadas bajo la carpeta "Servicios de Escritorio Remoto", disponible en el menú de inicio del servidor, en el elemento "Herramientas administrativas".

Figura 6.- Herramientas de administración y configuración de RDS

De las 4 herramientas disponibles 2 son aplicables al servidor de sesiones de escritorio remoto:

i) Configuración de host de sesión de escritorio remoto: permite configurar las propiedades y el comportamiento de un servidor de sesiones de escritorio remoto.

Hay propiedades de dos tipos: propiedades globales del servidor y propiedades de conexión.

- Propiedades globales del servidor: afectan a todas las conexiones que se definan en el mismo; controlan 4 tipos de aspectos del funcionamiento del servidor de sesiones de escritorio remoto: aspectos generales (control de conexión y desconexión de sesiones, control de archivos temporales...), licencias (control del servidor de licencias a usar y tipo de licenciamiento), agente de conexión de escritorio remoto (configuración de la pertenencia del servidor a una granja, direcciones IP válidas en la granja...) y virtualización IP (que es una característica nueva que permite la asignación de direcciones IP virtuales a sesiones de escritorio remoto, para que no usen las direcciones IP asignadas al servidor).

Figura 7.- Configuración global del servidor de sesión de escritorio remoto

- Propiedades de conexión: una conexión se define como un conjunto de adaptador de red y protocolo de conexión a escritorio remoto (o protocolo de transporte) usado para dar servicio de sesiones de escritorio remoto.

Por defecto se crea una al instalar el servicio de rol, que agrupa todos los adaptadores presentes en el servidor y el protocolo RDP 6.1, pero es posible crear otras conexiones (seleccionando la acción "Crear una conexión nueva" en el panel de acciones de la consola de configuración de Host de sesión de escritorio remoto).

Para cada conexión se pueden configurar aspectos como: cifrado de la conexión, uso de autenticación a nivel de red, opciones en principio disponibles para las sesiones pero que no se desea que estén disponibles (como por ejemplo el uso de impresoras o la reproducción de audio y video), programas que se ejecutarán automáticamente al iniciar una sesión...

Figura 8.- Configuración de un tipo de conexión de sesión de escritorio remoto

ii) Administrador de servicios de escritorio remoto: permite supervisar y ver información acerca de las sesiones de escritorio remoto establecidas en un servidor.

También permite realizar determinadas tareas administrativas sobre las sesiones de escritorio remoto (como, por ejemplo, desconectar o cerrar sesiones, enviar mensajes a los usuarios de escritorio remoto, o tomar el control remoto de una sesión para, por ejemplo, poder interactuar con ella a la vez que lo hace el usuario de la sesión).

La siguiente información está disponible en el Administrador de servicios de escritorio remoto:

- Ficha usuarios: muestra información acerca de los usuarios conectados al servidor de sesión de escritorio remoto (por ejemplo, el nombre de la cuenta de usuario con la que se inició sesión, la fecha y hora de inicio de la sesión, el estado...).

- Ficha sesiones: muestra información acerca de las sesiones que se ejecutan en el servidor de sesión de escritorio remoto (por ejemplo, la conexión usada o el dispositivo cliente desde el que se establece la sesión).

- Ficha procesos: muestra información acerca de qué programas se ejecutan en las distintas sesiones de usuario del servidor de sesión de escritorio remoto.

Figura 9.- Administrador de sesiones de escritorio remoto

Nota: tanto la herramienta Configuración de host de sesión de escritorio remoto, como el administrador de servicios de escritorio remoto pueden ejecutarse sobre el servidor local o sobre servidores de sesión de escritorio remoto accesibles a través de red.