必须强调一个极其重要的警告：
（图片来源网络，侵删）
⚠️ 严重警告：Windows Server 2003 已于2025年7月14日停止所有支持（包括安全更新），在公共互联网上使用 Windows Server 2003 是极其危险的行为，它极易受到病毒、勒索软件和恶意攻击，会导致数据泄露、系统被控制等严重后果，强烈建议不要在任何生产环境中使用它。
以下信息仅用于历史学习、技术回顾、在完全隔离的私有网络中进行测试等目的。
Windows Server 2003 终端服务 概述
Windows Server 2003 的终端服务是其一项核心功能，它允许用户从远程计算机通过网络连接到 Windows Server 2003 桌面，就像坐在服务器前操作一样，这实现了集中化管理、远程访问和应用部署。
主要功能和工作原理
- 核心原理：终端服务基于微软的 RDP (Remote Desktop Protocol, 远程桌面协议)，客户端（通常是Windows XP, Vista, 7或专门的RDP客户端）通过RDP协议连接到服务器上的终端服务。
- 会话隔离：每个用户连接到服务器时，都会获得一个独立的、隔离的“会话”（Session），在用户看来，他们拥有自己完整的桌面环境，但实际上所有用户都在共享同一个操作系统的核心内核。
- 两种主要模式：
- 远程管理模式：
- 这是默认模式,最多支持2个并发远程管理连接。
- 主要用于管理员远程管理服务器,例如安装软件、配置系统、排查问题等。
- 连接后通常获得的是服务器的“登录桌面”或“任务管理器”。
- 应用服务器模式：
- 这是用于提供终端服务的模式,可以配置为支持更多的并发用户连接（需要相应的客户端访问许可证 CAL）。
- 主要用于集中部署应用程序,用户远程连接后运行的是指定的应用程序或一个自定义的桌面环境，而不是完整的服务器桌面。
- 这是实现“瘦客户端/服务器架构”的基础。
- 远程管理模式：
主要组件
- 终端服务器：运行 Windows Server 2003 并启用了终端服务的服务器。
- 终端服务客户端：
- Windows 客户端：几乎所有版本的 Windows 都内置了“远程桌面连接”客户端。
- Web 客户端：用户可以通过 IE 浏览器访问一个特殊的 Web 地址（TS Web Access），在浏览器窗口内使用远程桌面。
- 其他客户端：还有适用于 Mac、Linux、移动设备的第三方 RDP 客户端。
- 终端服务授权：用于管理和跟踪客户端访问许可证，当服务器配置为应用服务器模式时，必须在指定时间内（通常是120天）向授权服务器申请 CAL，否则用户将无法登录。
- 终端服务配置工具：一个管理工具，用于配置终端服务的端口、安全设置、权限、初始程序等。
典型应用场景（在当年）
- 集中化管理：管理员可以从任何地方管理多台服务器，无需物理接触。
- 远程办公：员工可以通过家庭电脑或笔记本安全地连接到公司内网的服务器，访问其桌面和应用程序。
- 应用部署与虚拟化：在旧时代，很多应用程序（特别是老旧的DOS或16位应用）难以在新版本的Windows上运行，通过终端服务，可以在服务器上集中安装和维护这些应用，用户只需一个简单的客户端就能使用，实现了应用虚拟化的早期形态。
- 降低硬件成本：可以使用配置较低的“瘦客户端”来替代昂贵的员工PC，因为所有的计算和数据处理都在服务器端完成。
配置与管理要点
- 安装：
- 通过“管理您的服务器”向导或“添加/删除程序”中的“Windows 组件”来安装“终端服务器”角色。
- 安装过程中会提示你选择“远程管理模式”还是“应用服务器模式”。
- 配置用户权限：
- 默认情况下,只有“Administrators”组的成员才有权限通过终端服务登录。
- 需要将普通用户添加到“Remote Desktop Users”本地组中，他们才能被允许登录。
- 配置连接：
- 可以设置默认的连接端口号（默认为3389）。
- 可以配置用户连接后自动启动的程序,而不是完整的桌面。
- 防火墙配置：
必须在 Windows 防火墙中开启“远程桌面”例外，否则外部连接会被阻止。
（图片来源网络，侵删）
Windows Server 2003 终端服务 vs. 现代版本
| 特性 | Windows Server 2003 终端服务 | Windows Server 2012+ / Windows 10/11 远程桌面服务 |
|---|---|---|
| 协议 | RDP 5.2, 6.0 | RDP 8.0, 8.1, 10.0 |
| 性能 | 较差，尤其是在图形处理方面 | 极大提升，支持硬件GPU加速、压缩、多显示器等 |
| 安全性 | 弱，缺少现代安全功能 | 强，支持网络级身份验证、CredSSP、单一登录、加密增强 |
| 管理 | 基于MMC管理控制台，功能分散 | PowerShell 为主，集成在服务器管理器和更统一的管理界面中 |
| 虚拟化 | 早期形式，应用虚拟化能力有限 | 强大的虚拟桌面基础架构，支持个人桌面池、会话桌面池 |
| 许可证 | 复杂的TS CAL，按设备/用户购买 | 更灵活的RDS CAL，与Windows Server CAL绑定 |
| 用户体验 | 基础，易卡顿，多显示器支持差 | 流畅，接近本地体验，完美支持多显示器、音频、视频重定向 |
如果您仍然需要使用它（仅限隔离环境）
如果您因为某种特殊原因（维护一个古老的、与特定硬件绑定的专用系统）必须在完全隔离的网络中使用它，请务必遵循以下安全最佳实践：
- 物理或网络隔离：绝对不要将其连接到互联网，将其放在一个独立的、没有出口的局域网中。
- 强密码策略：为所有管理员账户设置极其复杂的密码。
- 禁用不必要的服务：关闭所有不需要的服务，如Server、Workstation等。
- 禁用网络协议：如果不需要，禁用NetBIOS over TCP/IP。
- 使用本地账户：不要尝试加入域，使用强密码的本地账户进行管理。
- 定期备份：虽然无法打补丁，但定期备份系统状态和数据至关重要。
- 文档记录：清晰记录系统用途、配置和所有操作，以便维护。
Windows Server 2003 的终端服务是微软远程访问技术发展史上的一个重要里程碑，它为后来的远程桌面服务和虚拟桌面基础架构奠定了基础，由于其已停止支持带来的巨大安全风险，它早已不适合任何现代应用场景，任何需要远程桌面功能的需求，都应该迁移到至少是 Windows Server 2012 或更高版本，甚至是基于云的虚拟桌面解决方案。
（图片来源网络，侵删）
