凌晨 2 点，我抱着键盘在香港将军澳机房的第3台机柜前蹲下，给刚到货的NVMe拉料。电话那头是伦敦同事：‘视频会议卡成 PPT 了。’ 我看着监控屏上 RDS 会话的 RTT 折线，心里有数：今晚，得把新的网关和会话主机上线，流量切到 443/3391 + UDP。第二天早上他们再上班时，应该就能‘顺滑’了。

这篇文章，我按真实项目节奏来写：从规划、硬件选型、拓扑、部署脚本，到 GPO 优化、接入网关、全局流量调度、FSLogix 配置、容量估算与常见坑。我会用第一人称把过程摊开说，尽量让新手能按部就班复刻，老手也能看到有用的参数与避坑位。

1. 目标与约束（先把“战场”划清）

目标

• 以香港机房为核心节点，向中国内地、东南亚、欧洲、北美的员工提供稳定、低时延的远程桌面/发布应用访问。
• 所有外部接入统一走 RD Gateway (443/TCP + 3391/UDP)，穿越公司和家庭网络防火墙。
• 会话主机采用 RDS Session Host 池化，配合 Connection Broker 做会话路由、粘性与排队。
• 用户配置、Outlook 缓存等用 FSLogix Profile Container 落到独立文件服务器，避免漫游配置“飘”。
• 支持 MFA（NPS + Azure MFA 扩展），并对接企业 AD。
• 具备 高可用 与 灰度/免扰维护 能力。

非目标

• 不做 AVD 或 DaaS 公有云方案对比；本文聚焦自建香港节点的 RDS 设计与实操。

2. 现场环境与硬件清单（真实可复刻）

2.1 机房与网络

位置：香港（PCCW/HKT、HGC、NTT 混合 BGP 出口），重视对内地与海外的路由质量。

互联网：双线冗余（1000M/1000M x2），上游 BGP 监控，UDP 放行（这对 RDP 体验很重要）。

内网：核心交换 10GbE，上行到各 RDS 主机 10GbE（或至少 2×1/10GbE LACP）。

2.2 服务器与角色（推荐起步配比）

容量经验值（办公类应用）：

• 轻办公（Office/ERP/浏览器）：每 vCPU 10–15 并发；每用户 1.5–2.5 GB RAM。
• 典型会话平均带宽：200–600 Kbps；有多媒体/视频会议时峰值 2–3 Mbps/人。
• Session Host 盘：NVMe 可显著改善 FSLogix/临时 I/O 抖动。

3. 逻辑拓扑与端口矩阵

3.1 文字拓扑图（便于脑补）

[Internet User]
     |
 443/TCP + 3391/UDP
     |
 [VIP: rdg.hk.example.com]
     | (NLB/负载均衡，健康检查 + 会话粘性)
 ┌───────────┴───────────┐
 [RDG-01]             [RDG-02]
     |                       |
   3389/UDP/TCP (内部) / 443 内部管理
     |                       |
     └──> [RDCB-01/02] <──┘  (Broker, TCP 3389/55036+)
               |
             SQL AO/DB
               |
        [RDSH 池: RDSH-01..N]
               |
         [FSLogix FileSrv]

3.2 端口表（对外、对内最小集）

4. 部署前的“坑位排查清单”

• 运营商是否屏蔽 UDP？ 没有 3391/UDP，用户体验会降级到纯 TCP。
• 证书：准备好 rdg.hk.example.com、rdweb.hk.example.com 公有可信证书（Let’s Encrypt 也可），EKU 有 Server Authentication。
• MTU/路径：跨境/跨洲时碎片重组多，先预设 MSS Clamp 1350–1380（见下文）。
• RDS 授权服务器：120 天宽限期用完会“突然踢人”，上线前就激活与导入 CAL。
• 时间同步：Kerberos 对时差敏感（5 分钟漂移就炸），DC、RDG、RDSH、SQL 全部对齐 NTP。
• UDP 健康检查：负载均衡器要能感知 3391/UDP，不然单边 UDP 挂了你也不知道。

5. 系统与基础角色安装（PowerShell 可直接复刻）

OS：Windows Server 2022 Datacenter（建议每台先打到当月 CU）

5.1 安装 RDS 栈（在管理机或任一服务器上执行）

# 变量根据你的主机名替换
$Broker       = "RDCB-01.hk.local"
$WebAccess    = @("RDWEB-01.hk.local","RDWEB-02.hk.local")
$Gateways     = @("RDG-01.hk.local","RDG-02.hk.local")
$SessionHosts = @("RDSH-01.hk.local","RDSH-02.hk.local","RDSH-03.hk.local")

# 安装必要角色
Install-WindowsFeature RDS-Connection-Broker,RDS-Web-Access,RDS-RD-Server,RDS-Gateway -IncludeManagementTools

# 创建标准部署
New-RDSessionDeployment -ConnectionBroker $Broker -SessionHost $SessionHosts[0] -WebAccessServer $WebAccess[0]

# 批量加入更多主机
$SessionHosts | ForEach-Object { Add-RDServer -Server $_ -Role RDS-RD-SERVER -ConnectionBroker $Broker }
$WebAccess    | ForEach-Object { Add-RDServer -Server $_ -Role RDS-WEB-ACCESS -ConnectionBroker $Broker }
$Gateways     | ForEach-Object { Add-RDServer -Server $_ -Role RDS-GATEWAY -ConnectionBroker $Broker }

# 创建会话集合
New-RDSessionCollection -CollectionName "Global-Office" -SessionHost $SessionHosts -ConnectionBroker $Broker -CollectionDescription "全球办公池"

# 设置授权模式（Per User）并指定授权服务器
Set-RDLicenseConfiguration -LicenseServer @("RDL-01.hk.local") -Mode PerUser -ConnectionBroker $Broker

5.2 RD Gateway 证书与绑定（win-acme 示例）

在 RDG/WEB 节点各自申请：

# 下载安装 win-acme (wacs.exe) 后以管理员运行，交互选择：
# - Create new certificate (simple)
# - Single binding or manual
# - 输入 rdg.hk.example.com 或 rdweb.hk.example.com
# - 自动创建/更新 HTTP(S) 绑定与证书存储

在 RD Gateway 管理器中将证书绑定到 SSL Certificate；RD Web 用 IIS 绑定。

5.3 Broker HA（可选但推荐）

准备 SQL（可先单实例，后续升级 AO）。

在 RDMS 中把 Connection Broker 指向 SQL 数据库（数据库名例如 RDS_CB），完成 HA。

6. 安全与接入控制（NPS + MFA）

6.1 RDG 的 CAP/RAP

CAP（Connection Authorization Policy）：谁能连（AD 组 + MFA）。

RAP（Resource Authorization Policy）：能去哪（目标主机/集合）。

6.2 Azure MFA NPS 扩展（要点）

在 NPS 服务器安装 NPS Extension for Azure MFA；

将 RD Gateway 的 CAP 指向该 NPS 作为 RADIUS；

验证流程：用户输入域凭据 → NPS/扩展触发手机号/App 批准 → 通过后放行。

7. 会话体验调优（GPO & 注册表）

目标：尽量走 UDP、启用 H.264/AVC 444、限制帧率、合理重定向，减少带宽尖峰。

7.1 关键 GPO 路径

计算机配置 → 管理模板 → Windows 组件 → 远程桌面服务 → 远程桌面会话主机 → 远程会话环境

• Prioritize H.264/AVC 444 Graphics mode：启用
• Configure H.264/AVC hardware encoding：启用
• Use WDDM graphics display driver for Remote Desktop Connections：启用
• Limit maximum frame rate：启用（30 fps 起步；多媒体重度可调 45）
• Configure compression for RemoteFX：Balanced/Optimized to bandwidth

计算机配置 → 管理模板 → Windows 组件 → 远程桌面服务 → 远程桌面连接客户端

• Turn Off UDP On Client：禁用（确保允许 UDP）

用户配置 → 管理模板 → 远程桌面服务 → 远程桌面会话环境

• 禁用无必要的重定向（打印机/驱动器/剪贴板按需放开）。

7.2 RD Gateway 首选传输

在 RDG 管理器（或 GPO）设置 “UDP 优先，TCP 备份”。

7.3 TCP KeepAlive 与 MTU/MSS（跨境稳定性关键）

# 延长 KeepAlive（毫秒）
New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters" -Name KeepAliveTime -PropertyType DWord -Value 60000 -Force | Out-Null
New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters" -Name KeepAliveInterval -PropertyType DWord -Value 10000 -Force | Out-Null

# 如果边界路由/防火墙支持，做 MSS Clamp（示例 1350）
# 在边界设备/防火墙执行（这里示意，不同厂商命令不同）
# ip tcp adjust-mss 1350 (Cisco)

8. FSLogix 配置（让用户配置“跟着人走”）

8.1 SMB 与存储

文件服务器：NVMe RAID1/10，10GbE，卷开启 数据重删（可观节省 Outlook OST）。

共享：\\filesrv01\FSLogix\Profiles，配额与监控启用。

8.2 GPO（核心项）

计算机配置 → 管理模板 → FSLogix

• Enabled
• VHD Locations：\\filesrv01\FSLogix\Profiles
• VHDX：启用（比 VHD 更稳）
• Size in MBs：动态增长，最大 30–50 GB
• Delete local profile：启用（避免脏本地）

9. 负载均衡与全局访问

9.1 香港站点内 LB

RDG/WEB 做 双活，前置四层 LB（支持 443/TCP + 3391/UDP 健康检查）。

会话粘性：基于源地址/会话 Cookie，避免掉线重连换节点。

9.2 全球分流建议

如果用户分布广，除了香港，还可以在 洛杉矶、法兰克福 部署相同小集群。

使用 延迟优先的 GeoDNS（如 Route 53 Latency/Health Check）：

rdg.global.example.com 指向最近健康的区域 VIP。

会话建立后由 RDG → RDCB → RDSH 内部决定落点；跨区成本需评估（通常建议就近区域内完成全链路）。

注意：HTTP 反代（如传统 WAF/七层网关）不能代理 RDG UDP，请选择支持 3391/UDP 的方案或直接四层 LB + ACL。

10. 容量规划与公式（可快速估）

10.1 主机侧

并发 U，轻办公：

需要 vCPU ≈ U / 12（向上取整，给 20% 余量）。

内存 ≈ U × 2 GB + 30% 余量。

磁盘：NVMe 延迟优先；随机写 IOPS 对 FSLogix 登出/登录峰值影响大。

10.2 带宽

外网出口保守估算：

U × 0.6 Mbps（含余量）；有视频/多媒体再加系数 2。

UDP 放通后，延迟波动对体验影响显著降低（抖动抚平）。

11. 监控与告警（问题要看得见）

RD Gateway Operational 日志：UDP 失败率 > 5% 告警。

RDCB 事件：会话分配失败/许可证异常。

PerfMon：\Processor(_Total)\% Processor Time、\Memory\Available MBytes、\Network Interface(*)\Output Queue Length、\LogicalDisk(_Total)\Avg. Disk sec/Write。

FSLogix：VHDX attach 失败/锁定告警。

合规与安全：失败登录、MFA 拒绝率、CAP/RAP 命中统计。

12. 维护与灰度

Drain Mode：RDSH 维护前对该主机“排空会话”。

# 停止接收新会话
Change logon /drain
# 维护结束恢复
Change logon /enable

分批更新：WEB → RDG → RDSH → Broker → SQL 的顺序，配合 LB 下掉节点。

快照与回滚：RDSH 做“黄金镜像”，月更；FSLogix 做文件级快照与异地副本（至少每日）。

13. 现场“硬核坑”与我的解决过程

症状：伦敦用户反映“偶发黑屏后自动重连”。

排查：RDG 日志看到 UDP 会话频繁降级为 TCP；运营商对 UDP 有 QOS/丢包。

解决：

• 启用 KeepAlive（见上文注册表），降低 NAT 超时影响；
• 边界设备对 3391/UDP 做优先级；
• GeoDNS 将该用户网段偏向走法兰克福站点（更稳）。

症状：中国内地用户输入延迟高。

排查：跨境链路 MTU 抖；抓包发现 ICMP 不通导致 PMTUD 失效。

解决：在边界做 MSS Clamp 1350，端到端稳定性明显提升（丢包下降，RTT 抖动收敛）。

症状：上线 3 个月后会话突然被踢。

排查：RDS 授权宽限期到期。

解决：立刻激活 RDS Licensing 并导入 CAL，GPO 强制 Per-User，问题消除。经验：上线日就把授权搞定，写进 Runbook。

症状：FSLogix VHDX 偶发“正在使用，无法挂载”。

排查：SMB 租约 + 网络微断触发锁残留。

解决：文件服务器开启 自修复租约，FSLogix 配置 robust retry；VHDX 存储迁移到更好的 NVMe 阵列后问题基本消失。

症状：Teams 会议 CPU 飙升、体验差。

解决：启用 Teams VDI 媒体优化（Server 2019/2022 支持），并在 GPO 限帧到 30fps，带宽与 CPU 均显著下降。

14. 一键式基线脚本（节选）

下面脚本把一些通用基线合并，便于新环境快速达标。

# region 基线：服务、NTP、RDP、UDP、体验相关
# NTP 指向权威源
w32tm /config /manualpeerlist:"time.windows.com,0x8 time.cloudflare.com,0x8" /syncfromflags:manual /reliable:yes /update
Restart-Service w32time

# 启用 RDP、允许 UDP（服务器侧）
Set-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services\Client" -Name fClientDisableUDP -Type DWord -Value 0 -Force | Out-Null

# 启用 AVC444 与限制帧率（等效于 GPO）
New-Item -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services" -ErrorAction SilentlyContinue | Out-Null
New-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services" -Name AVC444ModePreferred -Type DWord -Value 1 -Force | Out-Null
New-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services" -Name MaxFrameRate -Type DWord -Value 30 -Force | Out-Null

# TCP KeepAlive
New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters" -Name KeepAliveTime -Type DWord -Value 60000 -Force | Out-Null
New-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters" -Name KeepAliveInterval -Type DWord -Value 10000 -Force | Out-Null

# 关闭无必要的设备重定向（示例禁止打印机）
New-ItemProperty -Path "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services" -Name fDisableCdm -Type DWord -Value 1 -Force | Out-Null
# endregion

15. 验收清单（上线前最后一遍）

 从外网 mstsc + rdg.hk.example.com 成功登录，About → 连接质量 显示 UDP。

 RDS Web 门户发布的 RemoteApp 正常启动，证书链无黄盾。

 单台 RDSH 下线（Drain），用户不受影响。

 GeoDNS 停掉香港探针后，欧洲用户自动切至法兰克福。

 FSLogix 登录/登出平均 < 5s；VHDX 均为动态扩展。

 NPS + MFA 流程顺利，失败告警能收到。

16. FAQ：我常被问到的几个问题

Q1：为什么一定要开 UDP？
A：RDP 8+ 的 UDP 通道能把抖动、丢包对画面的影响显著降低，尤其跨境/跨洲。不开 UDP 的体验差距一眼能看出。

Q2：RD Gateway 必须公网证书吗？
A：是的。客户端在互联网上，用企业内 CA 证书会报不受信任，除非你能给全体外部设备下发根证书（不现实）。

Q3：Broker、Gateway、Web 能合在一台吗？
A：实验室可以，生产建议 Gateway/Web 与 Broker 分离；Gateway 需要面向公网，尽量收敛暴露面。

Q4：能不能只用香港一个站点覆盖全球？
A：能，但欧洲/美洲用户高峰期体验会受限。建议“三点布局”：香港 + 美西 + 欧洲中部，用 GeoDNS 做就近接入。

17. 尾声：凌晨 4 点的那封邮件

机房的空调风仍旧均匀地吹。我把最后一条健康检查写完，LB 上两台 RDG 变成了“绿”。
早上 8 点，伦敦那边来了一封邮件：“刚开会，不卡了，远程桌面拖窗也很顺。”
这就是我喜欢这份工作的原因：把参数、线路、角色对齐后，世界另一端的人，工作会真的变得顺滑。

18. 附：快速配置表（便于抄）

如果你也正打算把全球远程办公“拎到”香港节点上，按这篇文章抄一遍，大部分坑你会提前绕开；剩下那些小坑，凌晨的机房里我们再一起把它填上。