Windows Server 2016 RDS 50 User CAL

Пакет 50 User CAL для Windows Server 2016 Remote Desktop Services закрывает потребность в удаленном доступе для 50 сотрудников одной покупкой. Каждая лицензия привязывается к учетной записи Active Directory конкретного пользователя, а не к устройству. Один сотрудник подключается с рабочего ПК, домашнего ноутбука, планшета и смартфона — все покрывает одна User CAL. RDS CAL работает в связке с базовой Windows Server CAL: базовая открывает доступ к серверу, RDS — к удаленному рабочему столу. Одна без другой бесполезна. Лицензия бессрочная. Ключ поступает на email сразу после оплаты.

Сценарии: когда User CAL экономит бюджет

Отдел продаж, 30 менеджеров. У каждого корпоративный ноутбук и смартфон с RDP-клиентом. Утром менеджер работает в офисе за ноутбуком, днем на встрече проверяет CRM со смартфона. User CAL: 30 лицензий (1 на человека). Device CAL: 60 лицензий (30 ноутбуков + 30 смартфонов). Экономия с User CAL — 50%. При стоимости одной CAL в 3000 рублей разница составляет порядка 90 000 рублей на одном отделе.

Бухгалтерская фирма — 15 бухгалтеров на терминальном сервере 1С. Каждый бухгалтер работает с 1С:Бухгалтерией на терминальном сервере из офиса днем и из дома вечером во время квартальной отчетности. Два устройства на человека: офисный ПК и домашний ноутбук. User CAL: 15 лицензий. Device CAL: 30 лицензий (15 офисных + 15 домашних). Экономия с User CAL — 50%. Для фирмы из 15 человек это примерно 45 000 рублей разницы.

Сколько лицензий нужно консалтинговой компании с 40 консультантами в разъездах? Консультанты работают у клиентов и в дороге. У каждого три устройства: корпоративный ноутбук, планшет для презентаций и смартфон для оперативного доступа к внутренним системам. User CAL: 40 лицензий. Device CAL: 120 лицензий (40 ноутбуков + 40 планшетов + 40 смартфонов). Экономия с User CAL — 67%. Разница при цене CAL 3000 рублей: около 240 000 рублей.

Больница — 25 врачей с мобильными планшетами. Врачи обходят палаты с планшетами, заполняя электронные карты через RDP. В ординаторской работают за стационарными ПК. Один врач — два устройства. User CAL: 25 лицензий (1 на врача). Device CAL: 50 лицензий (25 планшетов + 25 ПК). Экономия с User CAL — 50%. Если в больнице 3 отделения по 25 врачей, суммарная экономия на 75 User CAL вместо 150 Device CAL составляет 225 000 рублей.

50 операторов колл-центра на 20 станциях — здесь User CAL невыгоден. Операторы работают посменно: 3 смены, 20 рабочих мест. За каждым ПК в течение суток сидят 2-3 разных оператора. User CAL: 50 лицензий (по одной на каждого оператора). Device CAL: 20 лицензий (по одной на рабочее место). User CAL обходится в 2.5 раза дороже. Разница: 90 000 рублей переплаты. Правильный выбор здесь — Device CAL.

Университет — 100 студентов на 25 ПК в компьютерном классе (User CAL НЕ подойдет). Четыре группы по 25 студентов занимаются в разное время. Каждая группа работает за одними и теми же 25 компьютерами. User CAL: 100 лицензий (по одной на студента). Device CAL: 25 лицензий (по одной на ПК). User CAL обходится в 4 раза дороже. Для учебных классов с высокой ротацией пользователей Device CAL — единственно разумный вариант.

Как работает RD Licensing изнутри

Знание внутренней механики RD Licensing помогает избежать типичных ошибок при развертывании. На практике нередко встречаются ситуации, когда проблемы возникают из-за неправильного обнаружения License Server.

Сервер лицензирования (License Server). Роль RD Licensing устанавливается на любом сервере в домене — не обязательно на том, где работает RD Session Host. Один License Server обслуживает несколько Session Host. После установки роли сервер нужно активировать через Microsoft Clearinghouse. Активация подтверждает подлинность сервера и создает цифровой сертификат, на основе которого выпускаются токены лицензий.

Service Connection Point (SCP) в Active Directory. При активации License Server регистрирует Service Connection Point в AD. SCP — объект в контейнере CN=Configuration, который содержит DNS-имя сервера лицензирования. RD Session Host использует SCP для автоматического обнаружения License Server. Если SCP не зарегистрирован (например, из-за недостаточных прав при установке), Session Host не находит License Server и выдает ошибку. Решается либо повторной активацией с правами Domain Admin, либо явным указанием сервера через групповую политику.

Групповая политика (GPO). Альтернативный способ указать License Server — групповая политика. Путь: Computer Configuration — Administrative Templates — Windows Components — Remote Desktop Services — Remote Desktop Session Host — Licensing. Параметр «Use the specified Remote Desktop license servers» задает адрес License Server напрямую. Параметр «Set the Remote Desktop licensing mode» определяет режим: Per User или Per Device. GPO переопределяет SCP. Если SCP некорректен, GPO решает проблему без исправления Active Directory.

Grace Period — 120 дней. После установки роли RD Session Host без настроенного License Server работает льготный период 120 дней. В это время пользователи подключаются без CAL. По истечении 120 дней сервер перестает принимать подключения (кроме административных). Grace Period начинается с момента первого подключения пользователя к Session Host, а не с момента установки роли. Проверить оставшиеся дни можно через RD Licensing Diagnoser в Server Manager.

Режим Per User: отслеживание через базу License Server. В режиме Per User License Server не выдает временные токены, как в Per Device. Вместо этого он фиксирует факт подключения учетной записи в своей локальной базе данных. Каждая учетная запись, подключившаяся к RDS, получает запись в базе License Server. Microsoft официально заявляет, что Per User CAL не имеет принудительного контроля (enforcement): сервер не блокирует подключения, если User CAL закончились. Но юридическое требование остается. Отчеты по использованию Per User CAL доступны в Licensing Manager через правый клик по серверу — Create Report.

RD Gateway: удаленный доступ без VPN

Через Remote Desktop Gateway сотрудники подключаются к терминальному серверу через интернет без VPN-туннеля. Для мобильных пользователей из сценариев выше это критически важно: менеджеры в полях, консультанты у клиентов, врачи между корпусами больницы.

Протокол и порт. RD Gateway инкапсулирует RDP-трафик внутри HTTPS на порту 443. Со стороны клиента подключение выглядит как обычный HTTPS-запрос. Файрволы, прокси-серверы и публичные Wi-Fi сети пропускают этот трафик без проблем. Порт 3389 на внешнем файрволе закрыт — прямой RDP-доступ из интернета заблокирован.

Сертификат. RD Gateway требует SSL-сертификат, выданный на публичное DNS-имя сервера (например, rdgw.company.ru). Сертификат от публичного CA (Let’s Encrypt, DigiCert, Comodo) обязателен для подключений извне. Самоподписанный сертификат работает, но клиенты получат предупреждение безопасности, а на iOS и Android подключение может не установиться вовсе. Wildcard-сертификат (*.company.ru) допустим.

Архитектура подключения. Клиент устанавливает TLS-соединение с RD Gateway на порту 443. Gateway аутентифицирует пользователя (Kerberos или NTLM), проверяет политики авторизации (CAP и RAP) и создает туннель до целевого RD Session Host во внутренней сети. Session Host видит подключение как локальное — для него RDP-сессия приходит от IP-адреса Gateway, а не от внешнего клиента.

Connection Authorization Policy (CAP). CAP определяет, кто имеет право подключаться через Gateway. Указываются группы Active Directory, допустимые методы аутентификации (пароль, смарт-карта) и требования к перенаправлению устройств (можно запретить перенаправление дисков из соображений безопасности).

Resource Authorization Policy (RAP). RAP определяет, к каким серверам может подключиться пользователь через Gateway. Указывается группа компьютеров AD или конкретные серверы. RAP предотвращает ситуацию, когда сотрудник через Gateway получает доступ к серверам, не предназначенным для удаленной работы.

Планирование мощности RDS-фермы

Для 50 пользователей с User CAL важно правильно рассчитать ресурсы серверов. Недостаток мощности приводит к задержкам при работе с 1С, Office и другими приложениями в удаленных сессиях.

Оперативная память на сессию. Каждая RDP-сессия потребляет от 200 МБ до 2 ГБ RAM в зависимости от приложений. Базовая сессия Windows Desktop — 200-300 МБ. Сессия с Office 2016 — обычно 500-800 МБ. Сессия с 1С:Предприятие — 800 МБ-1.5 ГБ. Сессия с AutoCAD LT — 1-2 ГБ. Операционная система и служебные процессы требуют 4-8 ГБ. Формула: (количество сессий на хосте x RAM на сессию) + 8 ГБ для ОС. Для 25 сессий с 1С: (25 x 1 ГБ) + 8 ГБ = 33 ГБ. Рекомендуется закладывать запас около 20%, итого 40 ГБ RAM на хост.

Процессор. Общее правило: 1 ядро на 4-8 легких сессий (Office, браузер) или 1 ядро на 2-4 тяжелых сессий (1С, база данных). Для 25 пользователей 1С: минимум 8 ядер, рекомендуется 12. Процессоры с высокой частотой (3.0+ ГГц) как правило предпочтительнее многоядерных с низкой частотой, поскольку 1С и Office работают преимущественно в однопоточном режиме.

Дисковая подсистема. Профили пользователей (UPD — User Profile Disks) хранятся на общем хранилище. Для 50 пользователей UPD генерирует значительную случайную нагрузку на диск. SSD обязателен для хранения профилей. HDD допустим только для файловых шар с документами. IOPS на 50 сессий: порядка 2000-5000 случайных операций. NVMe или RAID-10 из SSD закрывает эту потребность.

Размер фермы. 50 пользователей лучше распределить по двум Session Host серверам по 25 сессий. Преимущества: при падении одного хоста вторая половина пользователей продолжает работу. Connection Broker (роль RD Connection Broker) распределяет сессии между хостами и направляет переподключение к правильному серверу. Для отказоустойчивости Connection Broker используйте SQL Server для хранения базы брокера и настройте DNS Round Robin или NLB для имени фермы.

User CAL против Device CAL: сравнение

Совместимость RDS CAL с версиями Windows Server

RDS CAL 2016 устанавливаются на License Server под управлением Windows Server 2016 и обслуживают подключения к Session Host на Server 2016 и всех более старых версиях (2012 R2, 2012, 2008 R2). Обратная совместимость не работает: CAL 2016 не подходят для Server 2019, 2022 или 2025. Версия CAL должна совпадать с версией сервера или быть новее.

Когда планируется миграция на Server 2019 или 2022, разумнее сразу приобрести CAL нужной версии. CAL старшей версии покрывают младшие серверы по праву понижения версии (downgrade rights): CAL 2022 работают с Server 2016.

Системные требования

Активация через Remote Desktop Licensing Manager

1. Установка роли RD Licensing. Откройте Server Manager — Add Roles and Features. В разделе Remote Desktop Services отметьте RD Licensing. Мастер установит службу и зарегистрирует ее в Active Directory (при наличии прав Enterprise Admin или Domain Admin). Перезагрузка не требуется.
2. Запуск Licensing Manager. Откройте Server Manager — Tools — Remote Desktop Licensing Manager. В списке отобразится ваш сервер со статусом «Not Activated».
3. Активация сервера лицензирования. Правый клик по серверу — Activate Server. Мастер предлагает три метода: Automatic Connection (через интернет), Web Browser (на сайте Microsoft Clearinghouse) или Telephone. Automatic — самый быстрый: мастер связывается с Microsoft, передает данные сервера и получает сертификат активации за 10-30 секунд. Укажите название организации, страну и тип лицензионного соглашения.
4. Запуск мастера установки лицензий. После активации сервера Licensing Manager предложит «Start Install Licenses Wizard». Если окно не появилось — правый клик по серверу — Install Licenses.
5. Выбор программы лицензирования. В мастере выберите License Program в зависимости от источника приобретения. Для розничных ключей выбирайте License Pack (Retail Purchase).
6. Ввод ключа продукта. Введите 25-значный ключ, полученный после покупки. Мастер проверяет ключ через Microsoft Clearinghouse. Укажите тип продукта: Windows Server 2016 — RDS Per User CAL. Количество: 50.
7. Подтверждение установки. Мастер отображает результат: «50 RDS Per User CALs successfully installed». В Licensing Manager в правой панели появится запись с количеством доступных, выданных и оставшихся лицензий.

После установки лицензий настройте GPO для Session Host серверов: Computer Configuration — Administrative Templates — Windows Components — Remote Desktop Services — Remote Desktop Session Host — Licensing. Укажите адрес License Server и режим Per User. Обновите политику на Session Host серверах. Проверьте статус через RD Licensing Diagnoser в Server Manager — диагностика должна показать «Licensing mode: Per User» без ошибок.

Если позже понадобится больше лицензий, повторите шаги 4-7 с новым ключом. Лицензии суммируются: 50 + 50 = 100 User CAL на одном License Server.

Доставка ключа

После оплаты лицензионный ключ RDS 50 User CAL отправляется на указанный email. Одновременно ключ появляется в личном кабинете на сайте. Письмо содержит 25-значный ключ продукта и ссылку на инструкцию по активации через Remote Desktop Licensing Manager. Среднее время доставки — 2 минуты после подтверждения платежа.

Гарантия и поддержка

Каждый ключ проверен на активацию перед отправкой. Если ключ не проходит активацию через Licensing Manager — бесплатная замена в течение 24 часов. Лицензия бессрочная: один платеж, никаких продлений или подписок. Поддержка по вопросам активации и настройки доступна через страницу помощи или ответом на email с заказом.

Часто задаваемые вопросы

Чем RDS CAL отличается от обычной Windows Server CAL?

Windows Server CAL дает право подключаться к серверу и использовать его ресурсы (файлы, принтеры, AD). RDS CAL дополнительно разрешает подключение через Remote Desktop Services — удаленный рабочий стол, RemoteApp, RD Gateway. Для работы через RDS нужны оба типа CAL одновременно. Без базовой CAL пользователь не имеет права доступа к серверу, без RDS CAL — не имеет права на удаленную сессию.

Почему User CAL, а не Device CAL?

User CAL выгоднее, когда у сотрудников больше одного устройства. Один менеджер с ноутбуком, планшетом и смартфоном — 1 User CAL вместо 3 Device CAL. Для сменных работников за фиксированными ПК дешевле Device CAL.

Можно ли смешивать User CAL и Device CAL на одном сервере?

Технически License Server поддерживает оба типа, но Microsoft требует выбрать один режим лицензирования для каждого Session Host через GPO. На практике: один Session Host работает в режиме Per User, другой — в режиме Per Device. Оба обслуживаются одним License Server.

User CAL не имеет принудительного контроля — зачем тогда покупать?

Per User CAL действительно не блокирует подключения при превышении лимита (в отличие от Per Device). Но юридическое требование остается. При аудите Microsoft проверяет количество учетных записей, подключавшихся к RDS, и сравнивает с количеством приобретенных CAL. Штрафы за нелицензионное использование многократно превышают стоимость лицензий.

Можно ли перенести User CAL на другого сотрудника?

Да. User CAL привязывается к учетной записи, а не к конкретному человеку. При увольнении сотрудника и приеме нового его учетная запись либо переименовывается, либо создается новая — и CAL переназначается. В отчете Licensing Manager старая запись удаляется администратором вручную.

Пакет 50 CAL — это один ключ или 50 отдельных?

Один 25-значный ключ, который активирует 50 лицензий при установке через Licensing Manager. В мастере указываете количество 50, и все лицензии добавляются одной операцией.

RDS CAL 2016 подойдут для Windows Server 2019 или 2022?

Нет. CAL 2016 совместимы только с Server 2016 и старше. Для Server 2019 нужны RDS CAL 2019, для Server 2022 — RDS CAL 2022. CAL старшей версии работают с младшими серверами (downgrade rights), но не наоборот.

Нужны ли RDS CAL для обычного RDP-подключения к серверу?

Windows Server разрешает 2 одновременных административных RDP-сессии без RDS CAL. Это режим Remote Desktop for Administration. Нужно больше двух одновременных сессий или работа через RemoteApp, RD Gateway, RD Web Access? Тогда требуется роль RD Session Host и соответствующие RDS CAL.

Что произойдет после окончания Grace Period без лицензий?

Через 120 дней после первого подключения сервер перестанет принимать новые RDP-сессии (кроме 2 административных). Существующие сессии при разрыве не восстанавливаются. Установка лицензий через Licensing Manager и настройка GPO восстанавливают работу в течение нескольких минут.

Подходят ли RDS CAL для Azure или облачных VPS?

Для Azure Virtual Desktop используются собственные подписки Microsoft, а не классические RDS CAL. Для VPS у хостинг-провайдеров (Beget, Selectel, Hetzner) с выделенной Windows Server — да, RDS CAL подходят. Провайдер должен быть участником программы SPLA или вы используете собственные лицензии с правом переноса (License Mobility через Software Assurance).