Uzak masaüstü sunucusu kurulumu: Windows Server 2025'te RDS, CAL lisansı ve RD Gateway ile güvenli erişim

Ofisteki 5 ile 50 kişinin Logo, Mikro ya da başka bir iş yazılımına evden ve şubeden bağlanması gerekiyorsa en yaygın çözüm bir uzak masaüstü sunucusudur. Rehber, Windows Server 2025 üzerinde Remote Desktop Services (RDS) kurmayı, doğru CAL lisansını seçmeyi ve 3389 portunu internete açmadan RD Gateway ile güvenli erişim sağlamayı anlatıyor. Okuyucu olarak KOBİ sahiplerini ve sistem yöneticilerini düşündük.

Uzak masaüstü sunucusu nedir, kime gerekir?

Her Windows Server kurulumu RDP ile bağlantı kabul eder. Ancak RDS rolü kurulmadan bu bağlantı yalnızca yönetim amaçlıdır ve aynı anda en fazla 2 oturuma izin verilir. Üçüncü kullanıcı bağlandığında birinin oturumu düşer. Bu sınırı aşmanın lisansa uygun tek yolu, RD Session Host rolünü kurmak ve her kullanıcı ya da cihaz için RDS CAL almaktır. İnternette dolaşan "RDP wrapper" türü yamalar lisans ihlalidir ve Windows güncellemeleriyle sık sık bozulur.

Uzak masaüstü sunucusu şu durumlarda mantıklıdır:

• İş yazılımınız masaüstü uygulamasıdır ve web arayüzü yoktur.
• Veritabanının internet üzerinden doğrudan istemcilere açılmasını istemiyorsunuz.
• Şubeler ve evden çalışanlar aynı veriye aynı anda erişmelidir.
• Her bilgisayara ayrı ayrı kurulum ve güncelleme yapmak yerine tek noktadan yönetmek istiyorsunuz.

Kaynak planlama: CPU, RAM, disk ve lokasyon

Kullanıcı başına sabit bir rakam vermek yanıltıcı olur. Logo Tiger ile yalnızca fatura kesen bir kullanıcı ile aynı oturumda Excel, tarayıcı ve Outlook açık tutan bir kullanıcı çok farklı kaynak tüketir. Daha sağlıklı yöntem ölçmektir:

1. Tipik iki ya da üç kullanıcıyla deneme oturumu açın.
2. Görev Yöneticisi'nin Kullanıcılar sekmesinde oturum başına bellek ve CPU kullanımını iş saatinde gözleyin.
3. Bu değeri eş zamanlı kullanıcı sayısıyla çarpın, işletim sistemi ve varsa SQL Server için ayrı pay ekleyin.

Disk tarafında NVMe ya da SSD tercih edin. Kullanıcı profilleri, geçici dosyalar ve iş yazılımının veritabanı aynı diskte yarıştığında en çok hissedilen yavaşlık budur. Kullanıcı sayısı arttıkça SQL Server'ı ayrı bir sunucuya almak hem performansı hem de bakım esnekliğini artırır.

Gecikme de önemlidir. Uzak masaüstünde her tuş vuruşu ve fare hareketi sunucuya gidip döner. Kullanıcılarınız Türkiye'deyse sunucunun da Türkiye'de olması bu gidiş dönüş süresini kısaltır ve yazarken hissedilen gecikmeyi azaltır. Kişisel veriler içeren muhasebe kayıtlarının yurt içinde kalması KVKK açısından da işinizi kolaylaştırır.

Windows Server 2025'te RDS rollerini kurma

RDS dağıtımında dört temel rol vardır:

• RD Session Host: Kullanıcı oturumlarının ve uygulamaların çalıştığı sunucu.
• RD Connection Broker: Oturumları dağıtır, bağlantı kopan kullanıcıyı kendi oturumuna geri götürür.
• RD Web Access: Yayınlanan uygulamaları web sayfası ve RDP dosyası olarak sunar.
• RD Licensing: CAL'ları dağıtan ve takip eden lisans sunucusu.

Küçük ölçekte dört rolün de aynı sunucuda çalışması olağandır. Server Manager'daki Remote Desktop Services installation sihirbazı ile yapılan standart dağıtım, sunucunun bir Active Directory etki alanına üye olmasını gerektirir. Etki alanınız yoksa önce bir etki alanı denetleyicisi kurmanız gerekir; Active Directory kurulumu yazısı bu adımı anlatıyor.

Aşağıdaki betik, tüm rolleri tek sunucuya kurar, lisans sunucusunu ekler ve bir oturum koleksiyonu oluşturur. Windows Server 2025 ve PowerShell 5.1 için hazırlandı, yönetici olarak ve etki alanı hesabıyla çalıştırılmalıdır. rds01.corp.example.com yerine sunucunuzun tam etki alanı adını, RDS_Kullanicilari yerine kendi güvenlik grubunuzu yazın. Betik mevcut dağıtımı kontrol ettiği için ikinci kez çalıştırıldığında var olanı yeniden kurmaz. Geri almak için koleksiyonu Remove-RDSessionCollection ile, rolleri Server Manager'daki Remove Roles and Features ile kaldırabilirsiniz.

# Uzak masaüstü sunucusu: tek sunucuda RDS dağıtımı
# Windows Server 2025, PowerShell 5.1 için hazırlandı. Yönetici olarak çalıştırın.
$Sunucu    = "rds01.corp.example.com"   # ORNEK: sunucunun FQDN adı
$Koleksiyon = "Ofis"                     # ORNEK: koleksiyon adı
$Grup      = "CORP\RDS_Kullanicilari"   # ORNEK: bağlanacak kullanıcı grubu

Import-Module RemoteDesktop

# 1. Dağıtım yoksa oluştur (Session Host, Broker, Web Access). Sunucu yeniden başlayabilir.
$mevcut = Get-RDServer -ConnectionBroker $Sunucu -ErrorAction SilentlyContinue
if (-not $mevcut) {
    New-RDSessionDeployment -ConnectionBroker $Sunucu -WebAccessServer $Sunucu -SessionHost $Sunucu
}

# 2. Lisans sunucusu rolü yoksa ekle
if (-not (Get-RDServer -ConnectionBroker $Sunucu -Role RDS-LICENSING -ErrorAction SilentlyContinue)) {
    Add-RDServer -Server $Sunucu -Role RDS-LICENSING -ConnectionBroker $Sunucu
}

# 3. Lisans modunu belirle: PerUser (kullanıcı başına) ya da PerDevice (cihaz başına)
Set-RDLicenseConfiguration -LicenseServer $Sunucu -Mode PerUser -ConnectionBroker $Sunucu -Force

# 4. Oturum koleksiyonu yoksa oluştur ve kullanıcı grubunu yetkilendir
if (-not (Get-RDSessionCollection -ConnectionBroker $Sunucu -CollectionName $Koleksiyon -ErrorAction SilentlyContinue)) {
    New-RDSessionCollection -CollectionName $Koleksiyon -SessionHost $Sunucu -ConnectionBroker $Sunucu
}
Set-RDSessionCollectionConfiguration -CollectionName $Koleksiyon -UserGroup $Grup -ConnectionBroker $Sunucu

Rollerin kurulumu bitince lisans sunucusunu etkinleştirmeniz ve CAL'ları yüklemeniz gerekir. Bunu Remote Desktop Licensing Manager (licmgr.exe) üzerinden yaparsınız. Ayrıntılı adımlar Microsoft'un RDS CAL yükleme belgesinde anlatılıyor.

RDS CAL lisansı: kullanıcı başına mı, cihaz başına mı?

RDS CAL, sunucu lisansından ayrı alınır. Windows Server Standard ya da Datacenter lisansınız olması, çok kullanıcılı uzak masaüstü hakkı vermez.

Kullanıcı başına CAL (Per User): Bir kişi, kaç cihazdan bağlanırsa bağlansın tek lisans kullanır. Ofisteki bilgisayarından, evdeki dizüstünden ve tabletinden bağlanan çalışanlar için uygundur. Takip Active Directory üzerinden yapılır, bu yüzden etki alanı gerektirir.

Cihaz başına CAL (Per Device): Bir cihaz, kaç kişi kullanırsa kullansın tek lisans kullanır. Vardiyalı çalışılan ve aynı bilgisayarı birkaç kişinin paylaştığı depo, mağaza ya da üretim ortamında daha ekonomiktir.

Çoğu KOBİ'de çalışan sayısı cihaz sayısından az ya da eşittir ve insanlar birden fazla cihazdan bağlanır, bu yüzden kullanıcı başına CAL genelde daha mantıklıdır. Karar vermeden önce bağlanacak kişi ve cihaz listesini çıkarın.

Sürüm uyumu ve 120 günlük ek süre

CAL sürümü, bağlanılan Session Host sürümüne eşit ya da daha yeni olmalıdır. Windows Server 2025 Session Host için 2025 RDS CAL gerekir. Lisans sunucusu da yüklediğiniz CAL'ların sürümüne eşit ya da daha yeni olmalıdır: 2025 CAL'ları Windows Server 2022 üzerinde çalışan bir lisans sunucusuna yüklenemez. Yükseltme yapıyorsanız önce lisans sunucusunu yükseltin.

RDS rolü kurulduktan sonra 120 günlük bir ek süre (grace period) başlar. Bu sürede lisans olmadan bağlanılabilir. Süre dolduğunda ve geçerli lisans sunucusu bulunamadığında kullanıcılar bağlanamaz. Ek süre bir deneme imkânıdır, kalıcı çözüm değildir; takviminize bitiş tarihini yazın.

Kiralık sunucuda lisans nasıl işler?

Sunucuyu bir sağlayıcıdan kiraladığınızda iki model vardır. Birincisi, sağlayıcının Microsoft SPLA (Services Provider License Agreement) üzerinden RDS lisansını aylık kullanıcı başına kiralamasıdır. Bu modelde baştan büyük lisans yatırımı yapmazsınız, kullanıcı sayısı değiştikçe faturanız da değişir. İkincisi, kendi satın aldığınız CAL'ları getirmektir. Kendi CAL'larınızın paylaşımlı ya da kiralık altyapıda kullanılıp kullanılamayacağı lisans sözleşmenize bağlıdır; bu konuda sağlayıcınızdan ve lisans satıcınızdan yazılı teyit alın. Microsoft'un ödeme seçenekleri sayfası modelleri özetliyor.

RD Gateway ile 3389 portunu kapatma

3389 portu internete açık bir sunucu, dakikalar içinde otomatik parola deneme saldırılarıyla karşılaşır. RD Gateway, RDP trafiğini HTTPS içinde 443 portundan taşır. Kullanıcılar önce ağ geçidinde kimlik doğrular, ardından içerideki Session Host'a yönlendirilir. Böylece 3389 dışarıya hiç açılmaz.

Kurulum için gerekenler:

• Dışarıdan çözülen bir ad, örneğin rdp.example.com, ve bu ada ait güvenilir bir SSL sertifikası.
• Güvenlik duvarında TCP 443. İsteğe bağlı olarak performans için UDP 3391.

Aşağıdaki betik RD Gateway rolünü mevcut dağıtıma ekler. Windows Server 2025 ve PowerShell 5.1 için hazırlandı. rdp.example.com yerine kendi alan adınızı yazın. Rol zaten ekliyse tekrar eklemez. Geri almak için Remove-RDServer -Role RDS-GATEWAY kullanabilirsiniz.

# RD Gateway rolünü ekle. Windows Server 2025, PowerShell 5.1 için hazırlandı.
$Sunucu = "rds01.corp.example.com"   # ORNEK: sunucu FQDN
$DisAd  = "rdp.example.com"          # ORNEK: dışarıdan kullanılacak ad

Import-Module RemoteDesktop
if (-not (Get-RDServer -ConnectionBroker $Sunucu -Role RDS-GATEWAY -ErrorAction SilentlyContinue)) {
    Add-RDServer -Server $Sunucu -Role RDS-GATEWAY -ConnectionBroker $Sunucu -GatewayExternalFqdn $DisAd
}

Rol eklendikten sonra Server Manager'da Remote Desktop Services > Overview > Deployment Properties > Certificates bölümünden sertifikayı RD Gateway, RD Web Access ve yayın (Publishing) rollerine atayın. Kendinden imzalı sertifika istemcilerde uyarı verir ve kullanıcıları uyarıyı geçmeye alıştırır; bundan kaçının.

3389'u kısıtlama: önce kendinizi kilitlemeyin

Uyarı: Aşağıdaki güvenlik duvarı değişikliği, kendi bağlantınızı kesebilir. Uygulamadan önce RD Gateway üzerinden 443 ile bağlanabildiğinizi doğrulayın ve sağlayıcınızın sunduğu konsol (KVM ya da web konsolu) erişiminin çalıştığından emin olun. Bir hata durumunda sunucuya yalnızca konsoldan ulaşabilirsiniz.

Betik, 3389'a yalnızca belirttiğiniz yönetim ağından izin veren bir kural ekler ve varsayılan herkese açık RDP kurallarını kapatır. Windows Server 2025 ve PowerShell 5.1 için hazırlandı. 198.51.100.0/24 yerine kendi ofis ya da VPN ağınızı yazın. Geri almak için Enable-NetFirewallRule -DisplayGroup "Remote Desktop" ve Remove-NetFirewallRule -DisplayName "RDP-Yonetim-Agi" yeterlidir. Sistem dili Türkçe ise grup adı farklı görünebilir; önce Get-NetFirewallRule -DisplayGroup * ile kontrol edin.

# 3389'u yalnız yönetim ağına aç, herkese açık RDP kurallarını kapat.
# ONCE: RD Gateway (443) ile bağlantıyı ve konsol erişimini doğrulayın.
$YonetimAgi = "198.51.100.0/24"   # ORNEK: ofis ya da VPN ağı

# 443 açık değilse aç (RD Gateway için)
if (-not (Get-NetFirewallRule -DisplayName "RDGW-HTTPS" -ErrorAction SilentlyContinue)) {
    New-NetFirewallRule -DisplayName "RDGW-HTTPS" -Direction Inbound -Protocol TCP -LocalPort 443 -Action Allow
}

# Yönetim ağı için kısıtlı 3389 kuralı
if (-not (Get-NetFirewallRule -DisplayName "RDP-Yonetim-Agi" -ErrorAction SilentlyContinue)) {
    New-NetFirewallRule -DisplayName "RDP-Yonetim-Agi" -Direction Inbound -Protocol TCP -LocalPort 3389 -RemoteAddress $YonetimAgi -Action Allow
}

# Varsayılan, her kaynaktan izin veren RDP kurallarını devre dışı bırak
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Disable-NetFirewallRule

Sağlayıcınızın panelinde ayrı bir ağ güvenlik duvarı varsa, aynı kısıtlamayı orada da yapmak katmanlı koruma sağlar.

Güvenlik sertleştirme

NLA (Network Level Authentication): Kullanıcı, oturum ekranı yüklenmeden önce kimlik doğrular. Koleksiyon özelliklerinde Security sekmesinden açık olduğunu kontrol edin.

MFA: RD Gateway'e çok faktörlü doğrulama eklemenin yaygın yolu, NPS (Network Policy Server) üzerine Microsoft Entra MFA NPS uzantısını kurmaktır. Entra kullanmıyorsanız, RD Gateway ile uyumlu üçüncü taraf MFA ürünleri de vardır. Parolası sızan bir kullanıcının hesabı MFA sayesinde tek başına işe yaramaz.

Hesap kilitleme: Etki alanında Group Policy ile Account Lockout Policy tanımlayın. Eşiği çok düşük tutmak, saldırganın meşru kullanıcıları kilitlemesine yol açar; çok yüksek tutmak koruma sağlamaz. Dengeli bir değer seçin ve kilitlenen hesapların nasıl açılacağını ekibinize anlatın.

Başarısız oturum izleme: Olay Kimliği 4625 başarısız oturum açmaları gösterir. Aşağıdaki betik son 24 saatteki denemeleri kaynak IP'ye göre gruplar. Windows Server 2025 ve PowerShell 5.1 için hazırlandı, yalnızca okur, değişiklik yapmaz.

# Son 24 saatteki başarısız oturum açmaları (4625) kaynak IP'ye göre listele.
$olaylar = Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddDays(-1)} -ErrorAction SilentlyContinue
$olaylar | ForEach-Object {
    $xml = [xml]$_.ToXml()
    ($xml.Event.EventData.Data | Where-Object Name -eq 'IpAddress').'#text'
} | Group-Object | Sort-Object Count -Descending | Select-Object Count, Name -First 20

Gateway arkasında bu listede dış IP görmeniz beklenmez. Görüyorsanız bir yerde RDP hâlâ dışarıya açıktır.

Güncellemeler: Aylık güvenlik güncellemelerini bakım penceresinde uygulayın. Uzak masaüstü bileşenlerindeki açıklar geçmişte uzaktan kod çalıştırmaya imkân vermiştir.

Logo, Mikro ve ofis uygulamalarını yayınlama

İki seçeneğiniz var: kullanıcıya tam masaüstü vermek ya da yalnızca uygulamayı RemoteApp olarak yayınlamak. RemoteApp'te kullanıcı yalnızca iş yazılımının penceresini görür; uygulama kendi bilgisayarında çalışıyormuş gibi açılır. Bu, kullanıcının sunucuda gezinmesini de sınırlar.

# İş yazılımını RemoteApp olarak yayınla. Windows Server 2025 için hazırlandı.
# FilePath değerini kendi kurulum yolunuzla değiştirin. Geri almak: Remove-RDRemoteApp
$Sunucu = "rds01.corp.example.com"
$Yol    = "C:\ORNEK_PROGRAM\ornek.exe"   # ORNEK: iş yazılımının exe yolu
if (-not (Get-RDRemoteApp -CollectionName "Ofis" -DisplayName "Muhasebe" -ConnectionBroker $Sunucu -ErrorAction SilentlyContinue)) {
    New-RDRemoteApp -CollectionName "Ofis" -DisplayName "Muhasebe" -FilePath $Yol -ConnectionBroker $Sunucu
}

Uygulamaları her zaman RDS rolü kurulduktan sonra yükleyin. Kurulumdan önce yüklenen bazı programlar çok kullanıcılı ortamda kullanıcıya özel ayarları doğru tutmaz. Microsoft 365 uygulamaları için paylaşılan bilgisayar etkinleştirme (shared computer activation) gerekir; bu da lisans türünüzün desteklemesine bağlıdır. Logo ve Mikro gibi yazılımlarda veritabanı bağlantı ayarlarının ve paylaşılan çalışma klasörlerinin tüm kullanıcılar için aynı yolu gösterdiğini ilk günden kontrol edin.

Kullanıcı profilleri büyüdükçe disk dolar ve oturum açılışı yavaşlar. Birden fazla Session Host kullanacaksanız profilleri FSLogix gibi bir çözümle merkezi tutmak, kullanıcının hangi sunucuya düştüğünden bağımsız aynı masaüstünü görmesini sağlar.

Doğrulama

Kurulumdan sonra şunları kontrol edin:

• Get-RDLicenseConfiguration -ConnectionBroker rds01.corp.example.com lisans modunu ve sunucusunu doğru gösteriyor mu?
• RD Licensing Diagnoser (lsdiag.msc) hata ya da uyarı vermiyor mu?
• Ofis dışındaki bir bilgisayardan RD Web Access sayfası (https://rdp.example.com/RDWeb) açılıyor ve uygulama başlıyor mu?
• Dışarıdan 3389'a bağlantı denemesi reddediliyor mu?
• Aynı anda en az üç kullanıcı oturum açabiliyor mu?

Sık yapılan hatalar

"Kullanılabilir Uzak Masaüstü lisans sunucusu yok" hatası: Genellikle ek süre dolmuş ve Session Host lisans sunucusunu bulamıyordur. Lisans modunu ve sunucusunu yeniden tanımlayın. Etki alanı dışı sunucularda bu ayar yerel Group Policy'de Computer Configuration > Administrative Templates > Windows Components > Remote Desktop Services > Remote Desktop Session Host > Licensing altından yapılır. Microsoft'un sorun giderme makalesi adımları anlatıyor.

Workgroup sunucuda kullanıcı başına CAL: Kullanıcı başına CAL'ların takibi Active Directory gerektirir. Etki alanı olmayan bir sunucuda cihaz başına CAL kullanmak ya da bir etki alanı kurmak gerekir.

Sürüm uyuşmazlığı: 2025 CAL'larını eski sürüm lisans sunucusuna yüklemeye çalışmak ya da 2025 Session Host için 2022 CAL almak.

Açık RDP portu: "Portu 3389'dan başka bir numaraya taşıdım" demek koruma sağlamaz; tarayıcılar tüm portları dener. Gateway ya da VPN kullanın.

Maliyet: kendi fiziksel sunucunuz mu, bulutta kiralık sunucu mu?

Ofiste kendi sunucunuz: Donanım, Windows Server lisansı ve CAL'lar bir kerede satın alınır. Uzun vadede tahmin edilebilir bir maliyettir. Buna karşılık elektrik, soğutma, yedek parça, ofisin internet hattının yükleme hızı ve sabit IP sizin sorumluluğunuzdadır. Ofiste elektrik ya da hat kesildiğinde evden çalışanlar da bağlanamaz.

Bulutta kiralık uzak masaüstü sunucusu: Aylık ödeme yaparsınız, büyük ilk yatırım yoktur. Kaynakları kullanıcı sayısına göre artırıp azaltabilirsiniz, lisans SPLA ile aylık olarak faturalanabilir. Eksi tarafı, uzun vadede toplam ödemenin satın almayı geçebilmesi ve sağlayıcının hizmet kalitesine bağımlı olmanızdır.

Ara yol olarak, donanımı kimseyle paylaşmak istemiyorsanız veri merkezinde bir fiziksel sunucu kiralayabilirsiniz. Esnek büyüme önemliyse bulut sunucu daha uygundur. Hangisini seçerseniz seçin, yedeği sunucunun dışında ayrı bir yerde tutun.

Sık sorulan sorular

RDP'de 2 kullanıcı sınırını lisanssız aşmanın yolu var mı?

Lisansa uygun bir yolu yok. Varsayılan 2 oturum yalnızca yönetim içindir. Daha fazla eş zamanlı kullanıcı için RD Session Host rolü ve her kullanıcı ya da cihaz için RDS CAL gerekir.

120 günlük ek süre bittiğinde ne olur?

Geçerli bir lisans sunucusu ve yeterli CAL yoksa yeni bağlantılar reddedilir. Ek süreyi kurulum ve test için kullanın, lisansları süre dolmadan yükleyin.

RD Gateway yerine VPN kullanabilir miyim?

Evet. VPN de 3389'u dışarıya kapatmanızı sağlar. Fark, RD Gateway'in istemcide ayrı bir VPN yazılımı gerektirmemesi ve yalnızca RDP trafiğine izin vermesidir. VPN ise kullanıcıya ağa daha geniş erişim verir.

Windows Server 2022 CAL'larım 2025 sunucuda çalışır mı?

Hayır. CAL sürümü Session Host sürümüne eşit ya da daha yeni olmalıdır. 2025 Session Host için 2025 RDS CAL gerekir.

Logo veya Mikro veritabanı aynı sunucuda olabilir mi?

Küçük ekiplerde olabilir. Kullanıcı sayısı arttıkça SQL Server'ı ayrı bir sunucuya almak performansı ve bakım kolaylığını artırır, uzak masaüstü sunucusunu yeniden başlatmak veritabanını etkilemez.

Sonuç

Doğru kurulmuş bir uzak masaüstü sunucusu, iş yazılımınızı tek yerde toplar ve ekibi ofisten bağımsız hale getirir. Bunun için RDS rollerini kurun, kullanıcı yapınıza uygun CAL türünü ve sürümünü seçin, 3389'u kapatıp erişimi RD Gateway ve MFA üzerinden verin. Kurulum ve lisans yönetimiyle uğraşmak istemiyorsanız terminal sunucu sayfasındaki hazır yapıyı inceleyebilirsiniz.