前天凌晨2:40，我把最后一台 RDSH 的 NIC 绑定完成，回到控制台，WeCom里的采购同事冒出一句：‘刚从深圳家里远程上 ERP，输入没延迟了，昨天还是像卡带一样。’ 我抬头看着机柜里那块 A16 的状态灯，心里踏实了——这一周，我们把香港的这套 VDI 真正跑顺了。

这篇文章是我在香港机房基于 Windows Server 2022 + RDS（Remote Desktop Services） 打磨的一线实操指南：从硬件与网络选型、到 RDS 角色规划、FSLogix 用户配置文件、图形协议调优、再到跨境链路的小技巧与坑。我会尽量把“为什么这样做”“怎么做”“出过什么问题、怎么救火”都写清楚，让新手能照着走，老手能拿去对表优化。

一、场景与目标：跨境远程办公的“手感”要稳到什么程度？

业务画像：深圳/广州/上海/北京等地员工在家或出差地，跨境连到香港机房的 VDI——主要跑 ERP、浏览器后台、Excel/PowerPoint、轻量 PS/AI、远程会议预览。少量研发同事跑 CAD/轻 3D（这批用 GPU 池）。

体验目标（SLA/UX）

• 键鼠回显：< 120 ms（95 线）
• 登录到桌面就绪：≤ 25 s（FSLogix 容器加载完成）
• 屏幕刷新（无视频时）：30–60 FPS 动态自适应
• 稳定性：工作时段会话掉线 < 0.5%/日

二、架构与硬件：在香港把“算、存、网”搭平衡

2.1 逻辑架构（简述）

AD / DNS / NTP：2 台虚机冗余（同一机房不同宿主）

RDS 角色：

• RD Connection Broker（HA2 节点）
• RD Web / RD Gateway（合并部署，前置 Nginx 反代，可做 HTTP/2，后面开 UDP 3391）
• RDSH 池（会话主机）/ VDI 池（个人/共享虚机）

用户配置文件：FSLogix Profile/ODFC 容器 存放在香港文件集群（SMB 共享）

GPU 虚拟化：NVIDIA vGPU（A16/A40），或 DDA（离散设备指派）给少数重图形用户

链路：公网优先（TCP 443 + UDP 3391 经 RDGW），必要时 IPsec 隧道/SD-WAN；双 ISP 出口（CMI + CN2/GIA）

2.2 参考硬件 BOM（我们实际跑的配方）

密度经验（Office/ERP 混合）：每 8 vCPU 可稳定 18–22 人会话，每用户分配 1.5–2.5GB 内存；若重 Excel/VBA 或浏览器标签多，适当降到 15–18 人/8 vCPU。

三、网络与端口策略：先把“通道”打顺

必须打开

• RD Gateway：TCP 443（HTTPS），UDP 3391（RDP over UDP via Gateway）
• 直接 RDP（不建议暴露公网）：TCP/UDP 3389（仅内网/隧道）

QoS/DSCP：在出口路由/SD-WAN 标记 RDP/UDP 为 AF31，限制大文件复制抢占带宽。

MTU：公网跨境复杂网络保持 1500 为主，不轻易调小；若走 IPsec/隧道统一 1400–1460 并端到端一致。

双 ISP 出口：BGP/策略路由把 443/3391 指向更优的中港路径（CMI/CN2），DNS 做健康检查切换。

四、RDS 快速落地（PowerShell 实操）

所有命令在 Windows Server 2022，建议先准备好 AD、证书（公网可信）、文件共享。

4.1 安装 RDS 基础角色（含 Broker/Web/Gateway）

# 1) 安装 RDS 角色
Install-WindowsFeature RDS-Connection-Broker,RDS-Licensing,RDS-Web-Access -IncludeAllSubFeature -IncludeManagementTools
Install-WindowsFeature RDS-Gateway -IncludeAllSubFeature

# 2) 部署会话集合（示例：2 台会话主机）
New-RDSessionDeployment -ConnectionBroker "cb01.contoso.local" `
  -SessionHost @("rds01.contoso.local","rds02.contoso.local") `
  -WebAccessServer "rdweb01.contoso.local"

# 3) 添加网关与证书（替换为你的 FQDN）
Set-RDPublishedName -ConnectionBroker cb01.contoso.local -PublishedName "vdix.contoso.com"
Set-RDCertificate -Role RDGateway -ImportPath "C:\certs\vdix_contoso_com.pfx" -Password (Read-Host -AsSecureString)
Set-RDCertificate -Role RDWebAccess -ImportPath "C:\certs\vdix_contoso_com.pfx" -Password (Read-Host -AsSecureString)
Set-RDCertificate -Role RDRedirector -ImportPath "C:\certs\vdix_contoso_com.pfx" -Password (Read-Host -AsSecureString)

# 4) RD Gateway 启用 UDP
# 网关管理器里勾选“连接授权策略允许 UDP”更直观；PowerShell 可校验服务状态
Get-Service Tsgateway,TermService

4.2 创建会话集合、限制资源

# 创建集合
New-RDSessionCollection -CollectionName "OfficePool" -SessionHost @("rds01.contoso.local","rds02.contoso.local") -ConnectionBroker "cb01.contoso.local"

# 会话限制与重连
Set-RDSessionCollectionConfiguration -CollectionName "OfficePool" -ConnectionBroker "cb01.contoso.local" `
  -IdleSessionLimitMin 60 -DisconnectedSessionLimitMin 120 -ActiveSessionLimitMin 480 -TemporaryFoldersDeletedOnExit $true

# 单主机最大会话数（配合密度测试）
qwinsta /server:rds01 | measure

五、FSLogix：把“登录 25 秒内”当硬指标

5.1 安装与目录规划

在 每台 RDSH/VDI 模板 安装 FSLogix（版本 2210+），统一指向香港 SMB 共享：\\files01\Profiles$

目录结构

• \\files01\Profiles$\%username%（Profile 容器）
• \\files01\ODFC$\%username%（Office/OneDrive 容器）

5.2 配置（GPO/注册表）

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\FSLogix\Profiles]
"Enabled"=dword:00000001
"VHDLocations"="\\\\files01\\Profiles$"
"SizeInMBs"=dword:00019000 ; 102400 = 100 GB 上限，按需设
"IsDynamic"=dword:00000001
"ConcurrentUserSessions"=dword:00000001
"DeleteLocalProfileWhenVHDShouldApply"=dword:00000001
"LockedRetryCount"=dword:00000014
"LockedRetryInterval"=dword:00000002

[HKEY_LOCAL_MACHINE\SOFTWARE\FSLogix\ODFC]
"Enabled"=dword:00000001
"VHDLocations"="\\\\files01\\ODFC$"
"IncludeOfficeActivation"=dword:00000001

优化点

• 文件服务器磁盘用 NVMe RAID10，ReFS + 大缓存写回，Profile/ODFC 各用独立共享。
• 杀软在文件服务器与 RDSH 上统一排除 \\files01\Profiles$、C:\ProgramData\FSLogix、C:\Users\* 的实时扫描。
• 每周定时 VHDX 紧凑（见 § 九 脚本）。

六、图形协议与 GPO：把带宽用在刀刃上

Windows 10/11 + Server 2022 的 RDP 默认已很强，但跨境需要更精细的取舍。

6.1 关键 GPO（建议作用于 RDSH/VDI）

计算机配置 → 管理模板 → 远程桌面服务 → 远程桌面会话主机 → 远程会话环境

• 启用 H.264/AVC 优先（AVC 444 在网络好时更清晰）
• 限制视觉特效：禁用窗口动画、半透明；桌面背景可按部门策略关闭

计算机配置 → 管理模板 → 远程桌面服务 → 远程桌面会话主机 → 连接

• 允许使用 UDP 传输（默认“TCP+UDP”）

计算机配置 → 管理模板 → 系统 → 用户配置文件

• 配合 FSLogix，禁用漫游配置文件，禁止缓慢网络漫游

用户配置 → 管理模板 → 远程桌面服务 → 远程会话环境

• 限制剪贴板方向（防数据外泄），禁用本地磁盘映射（只开放特定驱动器）

6.2 RD Gateway

开启 UDP 传输（3391），证书必须公网可信（减少握手失败）。

前置 Nginx/ALB 做健康检查与多 ISP 出口分流。

关闭旧 TLS/Cipher（仅留 TLS1.2 及以上 + ECDHE 套件）。

七、容量与性能：算清“人/核/GB/IOPS”的账

7.1 经验指标（办公型）

换算示例：200 人并发、以 0.4 vCPU/人计，需要 80 vCPU；两台宿主各 56 vCPU 就绰绰有余（考虑 1.2–1.5 倍冗余）。IOPS 以人均 20 计，峰值 4000 IOPS，NVMe RAID10 轻松覆盖。

7.2 磁盘/登录优化

页文件 固定大小（系统盘），避免突发扩容导致卡顿。

事件分析：查看 Microsoft-FSLogix-Apps/Operational 日志，定位 Profile 挂载慢、锁冲突。

登录脚本 避免映射大目录、避免 GPO 过多同步项；必要时用 LGPO 压平策略层级。

八、GPU：不是人人需要，但有人离不开

办公/网页/视频会议多数走 CPU 编码足够。

轻 3D/CAD/AI 预览 用户：

• NVIDIA A16/A40 + vGPU（推荐）
• 或 DDA 把整张卡直通给关键虚机（密度低但简单）

Hyper-V DDA 简要步骤（示例）

# 识别并把 GPU 从宿主卸载到 DDA 可用状态
Dismount-VMHostAssignableDevice -LocationPath "<PCIeLocation>"

# 直通到目标 VM
Add-VMAssignableDevice -LocationPath "<PCIeLocation>" -VMName "CAD-VDI-01"

# VM 内装对应 NVIDIA 驱动

vGPU 方案需要 vGPU 授权与 GRID 驱动，能更细颗粒调度；DDA 简洁但牺牲密度。

九、实用脚本合集（现场最常用）

9.1 采集关键性能计数器（每 15 秒写 CSV）

$Counters = @(
 '\Processor Information(_Total)\% Processor Time',
 '\Memory\Available MBytes',
 '\Network Interface(*)\Bytes Total/sec',
 '\PhysicalDisk(_Total)\Avg. Disk sec/Read',
 '\PhysicalDisk(_Total)\Avg. Disk sec/Write',
 '\RemoteFX Network(*)\Current TCP RTT'
)
$Path = "D:\perf\$(hostname)-$(Get-Date -Format yyyyMMdd-HHmm).csv"
logman create counter VDITrace -c $Counters -si 00:00:15 -o $Path -f csv -v mmddhhmm -max 500 -cnf 24:00:00
logman start VDITrace

9.2 每周紧凑 FSLogix 容器（文件服务器上跑）
$root = '\\files01\Profiles$'
Get-ChildItem $root -Recurse -Filter *.vhdx | ForEach-Object {
    Write-Host "Compacting $($_.FullName)"
    Mount-VHD -Path $_.FullName -ReadOnly
    Optimize-VHD -Path $_.FullName -Mode Quick
    Dismount-VHD -Path $_.FullName
}

9.3 一键关闭会话里“多余的美化”

New-ItemProperty "HKLM:\SOFTWARE\Policies\Microsoft\Windows\DWM" -Name UseMachineCheck -Value 1 -Type DWord -Force
# 配合 GPO：禁用透明、动画、主题同步

十、安全与合规：把“可达”与“可控”同时做到

• 禁止直接暴露 3389，一律走 RD Gateway（443/3391）。
• MFA：RD Web/HTML5 门户对接 Azure AD / Entra ID + NPS 扩展（或第三方 MFA）。
• 最小权限：RDSH 上普通用户去本地管理员，阻止命令行/PowerShell（按部门放行）。
• 数据外发控制：剪贴板方向白名单、本地磁盘重定向按 OU 策略开放。
• 补丁/基线：月度 OS 与驱动补丁，CIS 基线取舍应用（注意别误伤 RDS/UDP）。

十一、跨境体验特别篇：我们做过的“边走边调”

UDP 丢包 > 8% 时（家宽或移动网络高峰常见）：

• RDGW 侧保留 UDP 3391，但允许客户端降级 TCP；
• 对个别城市/ISP，DNS 下发“备选网关”走另一出口（权重切换），丢包立刻降到 2–3%。

登录偶发超 40 秒：

• 定位是 OneDrive 占用 + 杀软扫描 VHDX；
• 处理：ODFC 独立容器、杀软排除、VHDX 紧凑周任务——回到 20–25 秒。

打印队列卡住拖垮会话：

• 关闭 Easy Print 的 GDI 优化，固定使用通用 PCL6 驱动；
• 将分公司打印机统一映射共享，RDS 端不允许用户自装驱动。

浏览器视频会议突刺 8–12 Mbps：

• GPO 禁止 1080p 发送，限制到 720p；
• RD 编码保持 AVC，自适应码率回稳；网关限速防单会话“吃满”。

FSLogix VHDX 锁冲突：

• 经常是用户“野路子”多端登录；设置 ConcurrentUserSessions=1，Broker 强制单活跃会话，问题消失。

十二、验收与对比：上线前后关键指标

上表来自我们一周高峰时段的 Perf/网关日志 + 工单系统统计（样本量 180–220 人/日）。

十三、步骤清单（Checklist）：照着走，不容易偏

•  机房：双电、双 ISP（CMI/CN2），25G 上联，外网 BGP/健康检查
•  宿主：BIOS/微码升级，开启 SR-IOV/VT-d，NUMA 对齐
•  Hyper-V：vSwitch 绑定 25G，RSS/RDMA 开启，存储直通 NVMe
•  RDS：Broker HA、RDGW 443/3391、证书合规、RDWeb HTML5 门户
•  FSLogix：NVMe 文件集群、Profile/ODFC 分离、杀软排除、周紧凑
•  GPO：H.264 优先、视觉降噪、UDP 允许、重定向白名单化
•  监控：Perfmon 采集、RDGW 日志、登录时延报表、掉线率告警
•  安全：MFA、最小权限、只暴露 443/3391、3389 内网化
•  变更：灰度 10%→30%→50%，滚动观察 3 天再全量

十四、常见坑位速查表

十五、收尾：从“能用”到“好用”的那一刻

“早上 9 点半，深圳和杭州的同事接连在群里丢了两张 ERP 截图，上面是批量核销的秒回。有人调侃：‘昨晚你是不是把机房搬到福田了？’ 我笑着回了一个 OK 手势——这套 VDI，不需要他们知道发生了什么，只要他们体感像在本地桌面就够了。”

VDI 做到“稳”和“顺”，靠的不是某一条神奇参数，而是：合理的硬件配比、干净的网络通道、靠谱的存储与配置文件方案、再加上持续的度量与小步优化。如果你也在香港机房支撑跨境办公，欢迎把这份清单对照起来，从 RDGW 的 UDP、FSLogix 的盘、到 GPO 的每一条小开关开始——你会看到同样的那条“平滑曲线”。

附：我自己的最小可用（MVP）参数包（可直接上手）

• RDGW：只开 443/3391，证书公网可信，健康检查 + 双出口
• RDSH 池：每 8 vCPU 控制在 ≤ 18–20 人，内存预留 > 20%
• FSLogix：Profile/ODFC 分离，NVMe 存储，周 Optimize-VHD
• GPO：H.264 优先、禁动画/透明、UDP on、重定向白名单
• 监控：登录时延、UDP RTT、掉线率 3 指标看一周