お客様環のオンプレ環境にサーバを構築して保守まで請け負う場合、リモート接続できる環境が欲しくなる場合があります。最近はリモート接続ツールも使いやすいのがあるで、ツール利用でもよいのですがお客様サーバをインターネットアクセスできる環境に直接さらせないという問題もあります。そんな場合、踏台環境を作ることがよくあるので今回はRD Gateway機能を使った踏台環境構築について記事にします。
RD Gatewayとは?
Windows Serverに標準搭載されているRD Gateway（リモートデスクトップ ゲートウェイ）は、一言で言うと「リモート接続する際の安全な中継先」を作る機能です。
通常、リモートデスクトップ（RDP）をインターネット越しに行うには、セキュリティ上の大きなリスクが伴いますが、RD Gatewayはその懸念を解消するために設計されています。
主な特徴と仕組みは以下です。
1. 主な役割：RDP専用のプロキシ（仲介役）
本来、RDP接続には「3389番ポート」を使用しますが、これをインターネットに公開するのは非常に危険です。RD Gatewayは、RDP通信を HTTPS（443番ポート） の中にカプセル化して通信させます。
■標準的なRDP: 直接ターゲットに接続しようとする。
■RD Gateway経由: Webサイトの閲覧と同じポート（443）を使って通信し、ゲートウェイが「認証」と「転送」を代行する。
2. RD Gatewayの3つのメリット
セキュリティの向上:
ファイアウォールで3389番ポートを開放する必要がなくなります。また、外部からはゲートウェイしか見えないため、社内のサーバー構成を隠蔽できます。
認証とポリシー管理:
「誰が」「どの社内サーバに」接続してよいかを細かく制御できます。
3. 接続の仕組み（フロー）
接続要求: 外出先のPCが、RD Gatewayに対してHTTPSで接続を試みます。
認可: RD Gatewayが「このユーザーは社内サーバに接続する権限があるか？」をチェックする。
橋渡し: RD Gatewayが社内のターゲットへRDP接続を中継する。
今回のゴール
クライアントPCから内部サーバにリモートデスクトップ接続を行う際にRD gatewayを経由するようにします。
経由すると言っても多段リモート接続ではなく、宛先としては直接内部サーバを指定し、内部でRD gatewayを経由するという設定にします。またRD gatewayの利用アカウントと内部サーバにアクセスする際のアカウント情報は別々とします。
RD gatewayの利用アカウントと内部サーバにアクセスする際のアカウントを分けるのは、一方の情報が流出しても内部サーバに不正アクセスされることを防ぐことが目的です。
ちなみに多段リモートデスクトップ接続のイメージは以下です。
RD Gatewayとの違いですが、RD Gatewayはリモートデスクトップ接続処理は１度で済むところ、多段リモートデスクトップ接続方式だと、1回リモートデスクトップ接続したサーバでさらに宛先指定でリモートデスクトップ接続をすることになります。
前提条件
- 環境設定は自己責任でお願いします。
- RD GatewayはWindowServer2025で構築しています。
- クライアントPCとRD Gatewayサーバは直接通信可能な環境とし、クライアントPCと内部サーバは直接アクセス不可という環境が前提です。
- Firewallで内部サーバへHTTPSの透過設定が必要となります。
- 今回はワークグループ環境で構築しています。
- 証明書は自己署名を利用します。
- 本番環境での運用はセキュリティ設定を厳格に行いましょう
設定の流れ
① RD Gateway機能のインストール
WindowsServerの役割と機能の追加で、「リモートデスクトップ接続」を選択します。
役割の中で「リモートデスクトップゲートウェイ」にチェックを入れます。
オプションや管理ツールは自動選択されますのでそのままで。
インストールはこれでOKです。サーバマネージャのツールの中に「Remote Desktop Services」が追加されます。
② 自己署名証明書の作成
「Remote Desktop Services」をクリックして、管理画面を開くと以下のように黄色でまだ設定完了していない旨のメッセージが出ます。
「構成タスク」の[証明書のプロパティの表示または変更]から設定を入れていきます。
「自己署名証明書を作成する」を選択し、「証明書の作成とインポート」をクリックします。
証明書の名前と格納先を設定して、OKを押します。証明書の名前は判別しやすければ何でもOKです。
これで証明書の作成が完了です。この作業をすることで、「RDゲートウェイサーバの状態」の下に出ていたアラートが1つ消えると思います。
後ほどここで作成した証明書をクライアントPCへ配布する必要があります。
③ RD Gatewayのアクセス許可、接続許可設定
次にRD Gatewayサーバへ接続許可設定を行います。（RD Gatewayを誰が利用できるかの設定です)
今回はRD gatewayサーバのローカルユーザとそのユーザが所属するローカルグループを作成して、グループ単位で許可するようにします。以下のように適当なグループを作り、ローカルユーザを所属させます。
今回はローカルユーザ=gateway-user1とgateway-user2で、ローカルグループ=gateway-usersというものを作成しました。
次にサーバマネージャのツールの中に「Remote Desktop Services」を起動します。
「構成状態」の中の「接続承認ポリシーの作成」をクリックします。
全般タブでポリシー名は任意のものを設定します。「このポリシーを有効にする」はチェックを入れてください。
要件タブではWindows認証方法でパスワードにチェックを入れて、接続許可の単位が
・ユーザ単位の場合 →ユーザグループのメンバーシップの「グループの追加」から先ほど作成したグループを追加します。
・コンピューター単位の場合 →クライアントコンピューターグループメンバーシップで該当の「グループの追加」を追加してください
デバイスリダイレクトタブはデフォルトのままでOKです。
続いてリソース承認ポリシー(RD Gateway経由でどこへのアクセスを許可するか)を設定します。「構成の状態」の「リソース承認ポリシーの作成」をクリックします。
全般タブで任意のポリシー名を記入してください。
ユーザグループは接続承認ポリシーの作成」で選択したユーザグループを追加します。
ネットワークリソースタブで「RDゲートウェイで管理される既存のグループを選択するか、新しいグループを作成」の参照を選択して、内部サーバをグループ登録します。
登録は任意の名前と
IＰアドレスの登録だけです。
登録が完了するとこんな感じでグループとグループメンバー(RD gaetwayからアクセスできる接続先)が表示されます。
許可されたポートタブでRD Gatewayからどのポートを使ってアクセスするのかポート番号を選択して完了です。
これでアラート表示が消え、こんな感じになります。
④ クライアントPCへの自己署名証明書インストール
あとはクライアントPCに② 自己署名証明書の作成で作成した、自己署名証明書をインストールしていきます。
デフォルトでは作成した自己署名証明書はRD gaetewayサーバのドキュメントフォルダに保存されています。そのファイルをクライアントPCへ送っておきましょう。
クライアントPCで、証明書ファイルをダブルクリックして、「証明書のインストール」ー「現在のユーザ」を選択してインポートします。
インストール後の確認は検索欄で「cert」と検索し、ユーザ証明書の管理を選択します。
「個人」ー「証明書」の中にインストールしたものが表示されていればOKです。
⑤ クライアントPCのRD Gateway利用設定
最後に実際にRD gateway経由で内部サーバにアクセスする設定をクライアントPCに入れます。
クライアントPCのリモートデスクトップアプリの詳細設定で「設定」をクリックします。
サーバ名のところにRD gatewayサーバのIPアドレスを入力します。その他の項目はデフォルトのままでOKです。
これで内部サーバのIPアドレス宛にリモートデスクトップしようとすると、こんな感じでRD Gatewayに接続するユーザID認証が来ます。
このときに入力するID/PWはRD gatewayのローカルユーザ=gateway-user1かgateway-user2のID/PWで、内部サーバのログイン情報ではありません。
認証OKになると、再度内部サーバにログインするためのID、PWの入力を求められる画面が表示されます。
おわりに
クラウド環境だともっとセキュアな方法がたくさんあると思いますが、オンプレ環境だと意外と候補が少なく、重宝する設定でした。