Удаленный доступ для офиса: сравниваю RDP и TeamViewer

Для доступа одного сотрудника к своему офисному ПК обычно хватает встроенного RDP в Windows Pro, но это не многопользовательский терминальный сервер и не вся инфраструктура бесплатна. Для работы нескольких людей нужны Windows Server, RDS CAL и настроенное лицензирование. TeamViewer удобен для поддержки, но бесплатен только для личного использования. Ниже считаю полную стоимость и показываю, где схема дает сбой.

Что на самом деле бесплатно в RDP, а что нет

Сначала разведу понятия, потому что реклама их старательно смешивает. Протокол RDP и клиент mstsc.exe есть в Windows, но принимать входящие подключения может не каждая редакция: Windows Professional, Enterprise, Education и Windows Server подходят для роли хоста, Home — нет. Сам RDP в Windows обычно надо включить и разрешить в брандмауэре. Стандартный порт — TCP и UDP 3389; для доступа извне я выбираю VPN или RD Gateway, а не прямую публикацию порта. На хосте оставляю NLA — проверку учетных данных до открытия полноценной сессии. Сценарий «сотрудник подключается к своему офисному ПК» не требует RDS CAL, но компьютер, Windows и защищенный канал не появляются бесплатно.

Бесплатность клиентской Windows заканчивается там, где нужен общий рабочий стол для нескольких пользователей. Windows 10 и 11 Pro рассчитаны на удаленную работу с одним пользовательским сеансом, а не на одновременную работу офиса как на терминальном сервере: второй вход может отключить активный сеанс. Для многопользовательских сеансов используют роль Remote Desktop Session Host на Windows Server. На каждого подключающегося пользователя или устройство нужна подходящая RDS CAL. Для доступа к серверу также нужна базовая Windows Server CAL — RDS CAL ее не заменяет. У нового узла сеансов есть 120-дневный льготный период без сервера лицензирования. Это срок настройки, а не бесплатная лицензия и не план эксплуатации. Я видел, как такие 120 дней заканчиваются ровно к квартальной отчетности.

У Windows Server есть два одновременных подключения для удаленного администрирования без RDS CAL. Это не бесплатные рабочие места: если сотрудникам нужны полноценные пользовательские сеансы, разворачивают RD Session Host и приобретают CAL. Не смешивайте администрирование сервера и работу бухгалтерии — у этих сценариев разные правила. Когда сервер нужен для 1С или другой общей программы, лицензии и емкость закладывают до запуска, а не после первого конфликта сеансов.

TeamViewer и аналоги: за что платят и где ловушка бесплатной версии

Программы вроде TeamViewer решают другую задачу. Они упрощают поддержку устройств, когда между площадками нет общей настроенной сети: оператор подключается к удаленному экрану через сервис производителя. Это удобно для разовой помощи и поддержки точек, но бесплатный режим предназначен для личного использования. TeamViewer относит работу в организации, помощь коллегам и доступ к рабочему компьютеру к коммерческому использованию. Поэтому обещать офису «бесплатно навсегда» нельзя. Если коммерческое использование ошибочно распознано как личное, у производителя есть процедура проверки.

У подписки проверяю конкретную комплектацию: число пользователей и каналов подключений, набор функций, ограничения по устройствам, срок договора и условия продления. Тарифы и доступность продаж меняются, поэтому цену фиксирую по актуальному предложению перед покупкой, а не переношу из старой статьи. И обязательно назначаю владельца подписки: после ухода сотрудника доступы и учетные записи нужно пересмотреть, а оплачиваемые места — привести к фактической потребности.

Облачный удаленный доступ хорош как инструмент поддержки, но ежедневную работу офиса я строю на управляемом доступе к рабочим местам. Сотруднику может подойти RDP через VPN; для общего приложения — терминальный сервер с CAL; для помощи пользователю — программа поддержки с коммерческой лицензией. Так у каждого инструмента своя задача. Изменение тарифа у поставщика тогда не превращается в остановку бухгалтерии.

• Бесплатный TeamViewer предназначен для личного использования
• Перед покупкой проверьте состав коммерческого тарифа
• После увольнения пересмотрите доступы и оплачиваемые места
• Не завязывайте ежедневную работу на один сервис поддержки

Как считать стоимость удаленки честно: не только лицензии

Сравнивать «RDP бесплатный, TeamViewer платный» бессмысленно: у вариантов разные задачи и полная стоимость. Для доступа к рабочим станциям учитываю VPN или RD Gateway, настройку, сопровождение учетных записей и обновлений. Для терминального сервера — оборудование или аренду, Windows Server, RDS CAL, резервное копирование и поддержку. Для TeamViewer — коммерческую подписку, срок договора и зависимость от условий поставщика. Добавляю трудозатраты: выдача доступа, отзыв учеток, помощь пользователям. Они не попадают в счет за лицензию, но занимают рабочее время.

Для сравнения беру единый горизонт, например три года: разовые затраты плюс ежемесячные расходы, умноженные на 36. Отдельно оцениваю простой: сколько сотрудников не могли работать и сколько длился простой. Не надо рисовать штрафы и потери из воздуха — внесите их только там, где они действительно возможны. Такой расчет не выдаст универсального победителя, зато покажет, какой вариант подходит именно вашему числу сотрудников, устройств и рабочих сценариев.

Есть и стоимость инцидента, но считать ее лозунгом «в десятки раз дороже» бессмысленно. Прямо опубликованный RDP увеличивает доступность службы извне, а общий пароль затрудняет контроль того, кто подключался. Я закладываю в схему отдельные учетные записи, ограничение доступа через VPN или RD Gateway, NLA, актуальные обновления и проверяемые резервные копии. Это снижает риск и упрощает разбор события; абсолютной гарантии не дает ни один пункт списка.

Лицензионные ловушки, о которых не пишут в рекламе

Первая ловушка — патчи, которые включают несколько сеансов на Windows 10 или 11 Pro. Они вмешиваются в компоненты удаленного рабочего стола и не превращают клиентскую Windows в лицензированный терминальный сервер. После обновления такая модификация может перестать работать; предсказать совместимость заранее нельзя. Еще хуже — ради нее отключают обновления безопасности. Если нужны общие сеансы, штатное решение — Windows Server с ролью RD Session Host и корректно лицензированными пользователями.

Вторая ловушка — выбрать тип CAL по привычке. Лицензия на устройство закрепляется за устройством; она может подойти, когда разные смены используют один компьютер. CAL на пользователя закрепляется за человеком и удобна, когда сотрудник подключается с нескольких своих устройств. Сравнивайте количество людей и устройств, а также условия домена. Лицензия RDS дополняет базовую Windows Server CAL, а не заменяет ее. В рабочей группе Microsoft требует модель Per Device, CAL на пользователя там не отслеживается. Выбор режима лицензирования — административная настройка, ее можно изменить; утверждение, что для этого всегда надо переразвернуть сервер, неверно. А вот сами лицензии должны соответствовать версии Windows Server и вашему договору.

Третья ловушка — оставить лицензирование «на потом». У нового RD Session Host предусмотрен льготный период 120 дней, но это не основание откладывать настройку. До ввода в работу активируют сервер лицензирования, устанавливают совместимые CAL, указывают сервер и режим Per User или Per Device. После изменений проверяют настройки в Server Manager и убеждаются, что узел сеансов видит сервер лицензирования. Я не жду дня отказа пользователей, чтобы выяснить, что настройки никто не проверил. Календарь с пометкой «потом» сервер лицензирования не настраивает.

• Патч не заменяет лицензионный RD Session Host
• Per Device удобно для общих рабочих станций по сменам
• В рабочей группе используйте CAL на устройство
• Проверьте сервер лицензирования до рабочего запуска

Разбор: как сеть «Янтарь» платила за удаленку дважды

Разберу условную сеть «Янтарь»: четыре магазина, офис на 22 рабочих места, бухгалтерия из шести человек работает в 1С. В исходной схеме одновременно оплачивали программу удаленной поддержки и использовали два административных подключения Windows Server для бухгалтеров. Остальным приходилось ждать свободного сеанса. Порт 3389 был опубликован наружу. Для такого сценария это и неудобно, и лишний риск: не нужно открывать службу всему интернету, чтобы сотрудник вошел в свою рабочую систему.

Мы разделили задачи. Сотрудникам настроили вход через VPN по отдельной учетной записи каждому. Для бухгалтерии выбрали RD Session Host на Windows Server с RDS CAL на пользователя: люди подключались из офиса и дома с нескольких устройств. Программу удаленной поддержки оставили для обращений из магазинов, где оператору нужно быстро увидеть экран. Тариф и число мест сверили с реальной нагрузкой, а административные сеансы оставили администраторам.

В этой схеме одновременно работают все шесть бухгалтеров, наружный проброс 3389 закрыт, а журнал VPN показывает, под какой учетной записью был вход. Если описываете реальный проект, такие цифры и сроки нужно брать из журнала работ и договора; в примере я показываю логику выбора, а не обещаю универсальный срок внедрения. После запуска проверяют печать, профили, 1С и резервное восстановление — иначе «переехали» может означать только «окно открылось».

Что выбрать офису до 50 мест: короткое правило

Я выбираю по задаче. Человек подключается к своему офисному компьютеру — RDP на поддерживаемой редакции Windows через VPN или RD Gateway. Несколько сотрудников одновременно работают в общем приложении — Windows Server с ролью RD Session Host и нужными RDS CAL. Администратор помогает пользователю или удаленной точке — коммерчески лицензированная программа поддержки. Небольшому офису могут пригодиться все три варианта, но для разных операций.

Перед запуском проверяю редакцию Windows, число одновременных пользователей, способ лицензирования и доступность рабочих программ. На сети — TCP/UDP 3389 только там, где он нужен, правила брандмауэра и закрытый внешний доступ через VPN или RD Gateway. На хосте — NLA, отдельные учетные записи и обновления. Раз в год сверяю список CAL и коммерческих подписок с фактическим штатом: лицензия на уволенного сотрудника — не резерв, а забытая строка счета.

Если схема строится на патче для многосессионности, общем пароле или открытом наружу RDP, остановитесь и сначала проверьте архитектуру. Это не повод пугаться каждого подключения, но эти решения плохо управляются и осложняют восстановление контроля. Проверка до запуска обычно дешевле аварийной переделки: достаточно описать, кто куда входит, с какого устройства и кому администрировать сервер.

• Свой ПК из дома → RDP через защищенный доступ
• Общее приложение для нескольких людей → RD Session Host + CAL
• Поддержка пользователя → коммерческая программа
• Опубликуйте только необходимые службы и порты

Частые вопросы