RDP Session Shadowing ve Session Broker ile Uzaktan Yönetim Stratejileri

RDP Session Shadowing (oturum gölgeleme) ve RD Connection Broker (Session Broker), kurumsal Windows ortamlarında uzaktan yönetim, destek ve oturum yönlendirme süreçlerini profesyonelce yürütmek için kullanılan temel bileşenlerdir. Bu rehberde; shadowing’in nasıl çalıştığı, Connection Broker ile oturumların nasıl dengelendiği ve yüksek erişilebilirlik, güvenlik ile izlenebilirlik gereksinimlerinin nasıl karşılanacağı adım adım anlatılmaktadır.

Temel Kavramlar

• Session Shadowing: Bir yönetici veya destek teknisyeninin kullanıcının aktif RDP oturumuna bağlanıp etkileşimli veya sadece izleme amaçlı görmesi.
• RD Connection Broker: Kullanıcı oturumlarını takip eder, yeniden bağlanma (reconnect) ve oturum yönlendirme (load balancing) görevlerini yönetir.
• RD Session Host / RD Gateway / RD Web Access: Host oturumları barındırır, Gateway dış erişimi güvenli halleder, Web Access portalı tarayıcı tabanlı erişim sağlar.

Session Shadowing: Kurulum ve Kullanım

Shadowing için hedef makinede uygun izinler ve RDS rolünün yüklü olması gerekir. Windows Server 2012R2 ve sonrası sürümlerde PowerShell veya Remote Desktop Services araçlarıyla yönetilir. Örnek manuel adımlar:

# Sunucuda oturumları listeleme (komut istemi)
qwinsta /server:RD-SERVER1

# Oturumu gölgelemek (yarım/etkileşimli) - eski shadow.exe yöntemi bazı sürümlerde kısıtlı
shadow  /server:RD-SERVER1

# PowerShell ile (RDS rolü yüklü ise)
Get-RDUserSession -ConnectionBroker "RDBroker01"
Invoke-RDUserLogoff -HostServer "RD-SERVER1" -UnifiedSessionID 10

Güncel yönetim senaryolarında, Get-RDUserSession ile önce hedef session id/username tespit edilir; ardından uygun izinlerle destek teknisyeni bağlanır. Shadowing için kullanıcı onayı gereksinimini Group Policy ile kontrol edebilirsiniz.

Kullanıcı Onayı ve Grup İlkesi (GPO) Ayarları

GPO üzerinden oturum gölgeleme davranışını belirleyin:

Computer Configuration → Administrative Templates → Windows Components → Remote Desktop Services → Remote Desktop Session Host → Connections
Policy: "Require user authentication for remote connections by using Network Level Authentication" (Açık)
Policy: "Set rules for remote control of Remote Desktop Services user sessions" 
  - Options: "Full Control without user's permission" / "View Session" / "Require user's permission"

GDPR veya KVKK gibi veri-koruma yükümlülükleri varsa “Require user’s permission” tercih edin ve destek süreçlerine açık onay/kaçınma aşaması ekleyin.

RD Connection Broker (Session Broker) – Mimari ve HA

Connection Broker, oturum yeniden bağlanmalarını (reconnect) sağlar ve yük dengelemesi için merkezi bir mantık sunar. Yüksek erişilebilirlik için:

• RD Connection Broker rolünü birden fazla sunucuya kurun ve SQL Server üzerindeki HA veritabanını kullanın (WID yerine SQL için HA önerilir).
• RD Licensing ve RD Gateway bileşenlerini ayrı sunucularda konumlandırarak sorumlulukları ayırın.

# Bağlantı broker üzerindeki temel PowerShell sorguları
Get-RDServer -Role RDS-VIRTUALIZATION
Get-RDSessionCollection -ConnectionBroker "RDBroker01"
Get-RDSessionHost -CollectionName "RDSCollection1"

Oturum Yönlendirme ve Load Balancing

Connection Broker, yeni bağlantıları hangi Session Host’a yönlendireceğine karar verir (Load balancing yöntemleri: Round Robin, User Profile Disk ile affinity vb.). En iyi uygulamalar:

• Session koleksiyonlarını doğru segmentlere ayırın (ör. departmanlara göre).
• Kullanıcı profili yönetimi için FSLogix veya User Profile Disks (UPD) kullanın—bu sayede reconnect’lerde profil tutarlılığı korunur.
• RD Gateway ile dış bağlantıları TLS üzerinden zorunlu kılın; doğrudan 3389 erişimini kapatın.

Güvenlik ve Erişim Kontrolleri

• Network Level Authentication (NLA): Her zaman etkinleştirin.
• RD Gateway + MFA: Gateway’i Azure MFA veya yerel RADIUS/MFA ile entegre ederek kimlik doğrulamayı güçlendirin.
• Least Privilege: Shadowing yapacak destek hesabına sadece gerekli RBAC izinlerini verin; Event Log’ları izleme yetkisini ayrı tutun.
• Şifrelenmiş iletişim: RD SSL sertifikalarını kurumsal PKI’dan sağlayın ve TLS 1.2/1.3 kullanın.

İzlenebilirlik ve Logging

Denetim (audit) için Event ID’leri ve RDS loglarını toplayın:

• Event Viewer → Applications and Services Logs → Microsoft → Windows → TerminalServices-LocalSessionManager
• Shadowing ile ilgili olaylar: Event ID (örnek) 21, 40 vb. (sürüm ve ayara göre değişir).
• SIEM’e (Splunk/Elastic/Microsoft Sentinel) Winlogbeat/Universal Forwarder ile RDS olaylarını gönderin; “who shadowed whom” korelasyon kuralı oluşturun.

Otomasyon ve PowerShell Örnekleri

Destek süreçlerini otomatikleştirmek için örnek akış:

# 1) Kullanıcı oturumunu bul
$sessions = Get-RDUserSession -ConnectionBroker "RDBroker01" | Where-Object {$_.UserName -eq "user@contoso.com"}
# 2) Destek teknisyenine izin verilecek session id al
$sessionId = $sessions[0].UnifiedSessionID
# 3) (Opsiyonel) Kullanıcıdan onay isteyen işlem - eposta veya ticket
# 4) Shadow bağlantısı (management araçları veya mstsc /shadow)
mstsc /v:rd-server -shadow:$sessionId /control

Not: /shadow komutu ve parametreleri Windows sürümüne göre farklılık gösterebilir; modern yönetim PowerShell ve RDS API’lerine kaymıştır.

Performans, Ölçek ve En İyi Uygulamalar

• Session Host’larda CPU/Memory limitleri belirleyin; profil I/O için ayrı disk (SSD/NVMe) kullanın.
• Collection başına kullanıcı yoğunluğunu test ederek boyutlandırma yapın (ör. 50–150 kullanıcı/host arası tipik aralık, uygulamaya göre değişir).
• Profile yönetimi (FSLogix) ile oturum açma sürelerini kısaltın ve yeniden bağlanma deneyimini sorunsuz hale getirin.

Sık Karşılaşılan Problemler & Çözümleri

• Shadow bağlantısında izin reddi: GPO “Set rules for remote control” ayarını gözden geçir ve destek hesabı izinlerini kontrol et.
• Oturum yeniden bağlanmıyor: Connection Broker ile Session Host saat ve DNS çözümlemesini kontrol et; Perfmon ile bağlantı hatalarını incele.
• Performans sorunları: Disk I/O, profil yükü ve ağ bant genişliğini ölçün; kullanıcı başına IOPS tahmini yapın.

Sonuç

RDP Session Shadowing, kullanıcı destek ve troubleshooting süreçlerini hızlandırırken; RD Connection Broker oturum yönetimi, load balancing ve reconnect deneyimini merkezi olarak sağlar. Güvenlik (NLA, RD Gateway + MFA, least-privilege), izlenebilirlik (SIEM entegrasyonu) ve kullanıcı profili stratejileri (FSLogix/UPD) bir araya geldiğinde; kurumsal uzak yönetim hem skalalanabilir hem de denetlenebilir bir hale gelir. Yüksek erişilebilirlik için Connection Broker veritabanını HA SQL üzerine taşıyın ve RD rol mimarınızı ölçeklenebilir şekilde planlayın. Daha kapsamlı RDS mimarisi kurulumları için HostLigo altyapı ve danışmanlık çözümlerini değerlendirebilirsiniz.