Тонкий клиент на базе windows 10

After some positive user feedback from the launch of our new Server 2016-powered RDS setup I started wondering if it could have a wider use that just the remote access concept we initially wanted to address. One thought in mind was making use of old \ low-spec devices that would be a bit too clunky for running a modern OS but where the physical hardware itself was in good condition.

Chrome-OS esque distributions such as CloudReady sound nice but come at cost so I set up a little side-project to see if there’s anything that could be done with what we have on our licensing agreement or anything in the open-source space.

Looking around there do seem to be various thin-client “converter” products but again they all seem to be commercial e.g. https://www.igel.com/desktop-converter-udc/

The only other option I found was ThinStation which may also be worth a look when I have more time as it seems a bit more involved to get set up and I wanted to stick to the Microsoft RDP client for now for maximum compatibility.

Windows options

Going back some time I remember Microsoft released cut-down versions of Windows for RDS-type scenarios; going back to the XP days it was called Windows Fundamentals for Legacy PCs and morphed into Windows 7 Thin PC in its next incarnation. Effectively all I want the OS to do is boot up, log in quickly then pass the credentials to a pre-configured RDP file using the standard mstsc.exe application.

However building any solutions on a Windows 7 base going forward seems to be a false economy so I decided to have a look around to see what was available on the Windows 10 codebase – the results were interesting…

IoT is name of the day

Going forward it seems Microsoft have changed the branding for this kind of cut-down devices to Windows IoT. In fact there’s a free edition which sounds ideal but it only runs on certain devices and isn’t really geared for UI use:

Ref: https://www.theregister.co.uk/2015/05/21/first_look_windows_10_iot_core_on_raspberry_pi_2/
Ref: http://blogs.perficient.com/microsoft/2016/01/windows-10-iot-editions-explained/

Reading a bit further it appears Microsoft license an edition called Windows 10 IoT Enterprise for new thin client devices. Now it gets interesting… it seems that the OS itself is Windows 10 Enterprise LTSB but with some special OEM licensing. It just so happens the edu customers get Enterprise LTSB on EES licensing so it’s time to take a closer look!

What this does mean is that Windows 10 Enterprise LTSB gets features from the old Windows Embedded products such as Unified Write Filter, perfect for a locked down device that shouldn’t need to experience configuration changes to the base OS.

Ref: https://msdn.microsoft.com/en-us/windows/hardware/commercialize/customize/enterprise/unified-write-filter

All these features are available in Enterprise LTSB simply by going into Add \ Remove Windows Features window, look for the Device Lockdown section and add whichever ones meet your needs (more on this later).

Image & GPOs

After downloading the latest ISO the LTSB 2016 WIM was imported into MDT. I made a quick task sequence to get it up and running and deployed the OS to a Hyper-V VM.

Boot and logon speeds are very quick given the lack of any Modern Apps which usually need to be provisioned at each new login. The performance gain explains why quite a few people within education have used LTSB for their desktop builds against MS’ wishes; however they’ll miss out on new features such as the much-needed OneDrive Files on Demand that will only be provided to the Current Branch release.

In theory setting up a Mandatory Profile could speed up login even further but haven’t got round to trying that yet.

RDS domain SSO

Upon logging in with domain credentials the next aim is to seamlessly drop users into the RDS farm without any further prompts. After doing a bit of research this can be achieved by setting a couple of GPOs:

• allow credential delegation
• trust SHA1 signature of signed RDP file

The need to allow delegation of credentials is fairly commonly mentioned but a lot of the articles are old and don’t mention where this needs to be set in a 2016 farm. In fact you only need to allow the delegation on the FQDN of the Connection Broker based on the results of my testing so far.

Computer Configuration > Administrative Templates > System > Credentials Delegation

Картинка с сайта: gshaw0.wordpress.com

To avoid any unwanted prompts about trusting the signature of a signed RDP file populate the GPO mentioned above and copy \ paste the signature from the RDP file that is provided by RDWeb for whatever RDS Collection you want to connect to.

User Configuration > Administrative Templates > Windows Components > Remote Desktop Services > Remote Desktop Connection Client > Specify SHA1 thumbprints of certificates representing trusted .rdp Publishers

        

          Картинка с сайта: gshaw0.wordpress.com
        
      

Custom shell

Now with the credentials side sorted out the final piece of the puzzle was to cleanly launch the session and (here’s the tricky bit) made a seamless logout once the RDS connection is closed. Now there’s a few ways to achieve the first part:

• use the IoT Embedded Shell Launcher feature \ enable Kiosk Mode via System Image Manager
• use the Custom User Interface User GPO

Ref: https://social.technet.microsoft.com/Forums/en-US/b4552957-45c2-4cc4-a13d-6397f06ee62e/windows-10-kiosk-build-embedded-shell-launcher-vs-custom-user-interface?forum=win10itprosetup

Ref: https://docs.microsoft.com/en-us/windows/configuration/set-up-a-kiosk-for-windows-10-for-desktop-editions

One thing to bear in mind with Shell Launcher is what happens when the shell i.e. mstsc.exe closes, you only have the choice of

• Restart the shell.
• Restart the device.
• Shut down the device.
• Do nothing

For the sake of speed logging off would be better so I decided to go with the Custom User Interface GPO – seeing as the Windows 10 device would be domain-joined anyway it also seemed a quicker more efficient way to configure multiple clients too.

Seeing as the Custom User Interface is a User GPO it goes without saying that Loopback Policy Processing needs to be enabled for the OU where the client resides. That also comes in handy for a few additional personalisation settings later on too.

The User GPO settings are summarised in the screenshot below, you can add more lock-down policies as you see fit:

Картинка с сайта: gshaw0.wordpress.com

Auto log-out on disconnect

Seeing as I wanted to automate the process as much as possible and all the devices would be domain managed anyway the GPO method seems to be the quickest way to achieve what I want. Also avoids needing to do an Add \ Remove Features step for each endpoint device.

Another important point is that the Shell Launcher method only provides options to relaunch the program, shut down or restart the machine. For speed I was aiming to log off the “client” when the RDS session is done so definitely going down the GPO route as a result.

In the GPO settings I initially tried the standard string you’d expect to launch a Remote Desktop session i.e. mstsc.exe C:\Default.rdp but noticed some strange behaviour:

• Windows logs in
• RDP file launched
• connection starts
• before the green bar completes i.e. handshake still in progress
• host session logs out

This seemed like a behaviour I’ve seen with some other programs in the past where they appear to terminate mid-way through actions actually occurring. To check I tried manually with the “start” command with the same result. It appears mstsc.exe doesn’t play nicely so we need another way…

Plan b) was to monitor the mstsc.exe process then log out from the client once RDS disconnected and therefore the process was no longer running. After looking around and trying a few scripts out I settled on one I found here:

Ref: https://www.experts-exchange.com/questions/24218998/Check-if-a-process-is-running-in-vbs.html

Just add the logout command as the action to run when the desired process terminates and we have the desired behaviour. It takes a second or two to react to the process closing but there doesn’t seem to be a way to speed that up as far as I can see.

Final steps

Now just some finishing touches required to give the solution a bit of polish 🙂

• set logon and desktop wallpaper
• disable Task Manager and related lockdown setings

When the machine boots users see this login screen, easily customised via GPO…

Картинка с сайта: gshaw0.wordpress.com

After login connection to RDS is pretty much immediate and no further credential \ security prompts appear…

Картинка с сайта: gshaw0.wordpress.com

UWF

The final piece of the puzzle is tidying up after the client has been in use for a while. That’s where the Unified Write Filter from earlier comes in handy:

Enable-WindowsOptionalFeature -Online -FeatureName Client-UnifiedWriteFilter

Then enable the filter;

uwfmgr.exe filter enable

Ref: https://docs.microsoft.com/en-us/windows-hardware/customize/enterprise/unified-write-filter
Ref: https://developer.microsoft.com/en-us/windows/iot/docs/uwf
Ref: https://deploymentresearch.com/Research/Post/632/Using-the-Unified-Write-Filter-UWF-feature-in-Windows-10

And there you have it, a locked down RDS client that will run on older hardware (Windows 10 works on pretty much anything from the last 10 years) which can be managed through your standard AD infrastructure, all using stuff you already have access to via your Campus agreement… enjoy!

В современном мире, где технологии развиваются с невероятной скоростью, компаниям необходимо адаптироваться к новым условиям. Решением для оптимизации работы является использование тонких клиентов. 

Что такое тонкий клиент?

Тонкий клиент — это устройство, которое выполняет минимальные вычислительные функции и зависит от серверных ресурсов. В отличие от традиционных настольных ПК, тонкие клиенты не требуют производительности, так как основные процессы происходят на сервере. Это позволяет снизить затраты на оборудование и обслуживание, а также упростить управление IT-инфраструктурой.

Преимущества

• Экономия ресурсов: Тонкие клиенты потребляют меньше электроэнергии, чем обычные ПК, что позволяет сократить затраты на электроэнергию.
• Упрощенное управление: данные и приложения хранятся на сервере, что упрощает процесс обновления и управления программным обеспечением.
• Безопасность: он обеспечивают высокий уровень безопасности, так как данные не хранятся на устройстве, а находятся на защищенном сервере.
• Мобильность: С помощью тонких клиентов сотрудники могут работать из любого места, где есть доступ к интернету.

Как сделать тонкий клиент из мини-ПК?

Создание тонкого клиента из мини-ПК — это процесс, который не требует усилий и может быть выполнен даже пользователями с базовыми техническими навыками.

Вот пошаговая инструкция, как это сделать:

Шаг 1: Выбор мини-ПК. 

Первым делом необходимо выбрать подходящий мини-ПК. Обратите внимание на производительность, объем оперативной памяти и наличие необходимых портов. Популярные модели, такие как Intel NUC или Raspberry Pi, могут стать отличным выбором для создания тонкого клиента.

Шаг 2: Установка операционной системы. 

Для создания тонкого клиента потребуется установить операционную систему.

Популярными вариантами являются:

1. Linux: Многие дистрибутивы Linux, такие как Ubuntu или ThinStation, подходят для их создания.
2. Windows 10: Если компания уже использует Windows, вы можете настроить мини-ПК с установленной Windows 10.

Шаг 3: Настройка подключения к серверу

После установки операционной системы необходимо настроить подключение к серверу. Это можно сделать с помощью протоколов RDP (Remote Desktop Protocol) или VNC (Virtual Network Computing). Убедитесь, что ваш сервер настроен для удаленного доступа.

Шаг 4: Установка необходимых приложений

После подключения к серверу установите необходимые приложения и инструменты, которые будут использоваться сотрудниками. Это могут быть офисные приложения, программы для работы с графикой и другие специализированные инструменты.

Шаг 5: Тестирование и оптимизация

После завершения всех настроек проведите тестирование. Убедитесь, что приложения работают корректно, а производительность устройства соответствует требованиям. Если необходимо, оптимизируйте настройки для достижения максимальной эффективности.

Тонкий клиент из Windows 10: возможности и преимущества

Использование Windows 10 в качестве тонкого клиента — это способ интеграции привычной операционной системы с технологиями. Windows 10 предлагает множество возможностей для настройки и оптимизации работы.

Как настроить тонкий клиент на базе Windows 10?

• Установите Windows 10: Убедитесь, что на мини-ПК установлена актуальная версия Windows 10.
• Настройте удаленный доступ: Включите функцию удаленного рабочего стола в настройках системы.
• Установите необходимые приложения: Установите необходимые для работы приложения и настройте их для работы с сервером.
• Оптимизируйте настройки: Настройте параметры производительности и безопасности для достижения максимальной эффективности.

Преимущества использования Windows 10

• Знакомый интерфейс: Сотрудники смогут легко адаптироваться к работе с Windows 10, что сократит время на обучение.
• Широкий выбор приложений: Windows 10 поддерживает множество программ, что позволяет использовать инструменты для работы.
• Безопасность: Windows 10 предлагает высокие уровни защиты данных и безопасности, что важно для бизнеса.

Создание тонкого клиента из мини-ПК — это эффективное решение для оптимизации работы бизнеса. Использование терминальных клиентов и Windows 10 в качестве основы для тонкого клиента открывает новые возможности для повышения производительности и снижения затрат. В компании «NEB» готова помочь вам в реализации этого решения, предоставляя профессиональную консультацию и техническую поддержку. Свяжитесь с нами, чтобы узнать больше о том, как они могут изменить ваш бизнес к лучшему!

You have decided to adopt virtual desktop solutions and now have an important decision to make. How do you connect to VDI?

There are five options to choose from, and we shall explore each briefly. 

This compact, flexible, and low-cost device is very popular because of the many business benefits it brings. These include, but are not limited to: centralized processing, improved security, less downtime, cost savings from reduced energy usage, and simplified user desktop backup efficiencies. 

According to Financial Planning, a research publication by Verified Market Research reveals that the international Thin Client market was estimated at 1.15 billion USD in 2018. This figure is expected to reach 1.32 billion USD by 2026, indicating a CAGR of 1.73% from 2019 to 2026.   

Zero Client 

The powerful and versatile Zero Client involves minimal maintenance and is equipped with a processor designed for a VDI protocol, such as PCoIP. Decoding and display processes mainly take place in dedicated hardware, and a high-performance Zero Client device is capable of booting up in seconds. Also, updates on this endpoint are few and far between, unless there is a BIOS version update or an enhancement to the virtualization protocol. 

PC

Using a PC to connect to VDI requires a local OS, anti-virus, and other local software. This method does not decrease the premise-based hardware which IT must maintain and troubleshoot. In this situation, the most effective way to achieve all the benefits of VDI is to opt for PC repurposing software. ClearCube’s Cloud Desktop OS allows businesses to upgrade their IT resources to a virtualized environment by transforming hardware devices like PCs and laptops into Thin Client terminals. Connecting these terminals to back end systems or remote computers delivers all the features and functionalities of full-fledged VDI setups.

Phones/Tablets

Phones and tablets with dynamic configurations offer performance along the lines of full desktop PCs. Even this, users may have to face IT anxiety as a result of limited output efficiencies, such as lack of simple mouse support. 

Laptops

You can use Chromebooks or laptops with docking stations to connect to your virtual environment. However, doing so may involve extra power consumption and system maintenance. Moreover, the possibility of limited multi-monitor support is always there. 

Owing to its flexibility, a Thin Client computer is your best bet if you wish to support your virtual workspace seamlessly. So, let’s move on to the basics of setting up an environment backed by this endpoint.

Preparation 

1. Select the OS for your server.

Administrators commonly use Linux or Windows on the server. 

1. Buy a server equipped with the memory, processor speed, and hard drive capacity required to run your Thin Client workstations.
2. Make a list of the software, programs, and applications that employees using the workstations require. 

This includes word processing programs, spreadsheets, email, and general applications. Next, confirm that your software is updated, and you have the necessary software licenses. 

Point of interest: the email program Evolution is associated with Linux. 

1. Build a test network by establishing a connection between the server and one or more Thin Client devices. 

Check that the server is performing as expected and install it alongside the workstations into a working Linux or Windows environment. 

‘Thin Client installed Linux’ is a topic which users often talk about, so let’s look into this first. 

Linux

1. Install the OS on the server. 
2. Install the terminal server software on the server and any other necessary software programs. 

These typically consist of OpenOffice, presentation software suite, spreadsheet, and a word processor similar to Microsoft Office. 

Point of interest: Samba is the standard Windows interoperability suite of programs that facilitate fast and secure file and print services for clients in Linux environments. It also allows file sharing with Microsoft servers. 

Windows 

1. Install Windows Server 2008 and Windows Terminal Server onto the server. 
2. Install Microsoft Platform Builder on the server. 
3. Launch the Platform Builder and carefully follow the installation guide. 
4. Install any applications that you need for your workstations. Common examples include Microsoft Outlook, Word, and Excel. 

Configuring The Network 

1. Choose a firewall to secure the server against virus attacks, malware, and hacking attempts on the Internet. 
2. Select a switch which connects the server to each client. 
3. Connect the firewall to the internet and switch to the firewall.
4. Use 10/100/1000 Gigabit Ethernet cables to connect the server and workstations to the switch.  

Thin Client Windows 10 Licensing And Requirements

This is a commonly asked question on many IT forums. To address it, let’s imagine that a company with 100 users is considering using Thin Client devices for some basic tasks. If we look at what is needed, the following is an approximate checklist: 

1. 6 Windows Server 2008R2 (Standard with no virtualization).
2. 100 RDS User CALs
3. 100 Windows Server User CALs
4. 100 Office Standard licenses in a scenario where the 100 employees do not share devices.
5. OS: 100 VDA subscriptions if the business is using the server OS and not serving up a virtual instance of the Windows Desktop OS. 

Setting up the Raspberry Pi as a Windows Thin Client 

This is an interesting proposition because many businesses look forward to the possibility of running Windows on Raspberry Pi Thin Client computers. Realistically, while this may not happen anytime soon, configuring a Windows PC as a server enables you to create a VDI session. You can then access this session with a Raspberry Pi device. 

Next, make a checklist of the following items:

• Raspberry Pi 2 or 3
• Formatted, blank microSD card
• Windows computer
• Keyboard, mouse, and monitor
• PC that runs Windows 10 Pro or a version that supports terminal services. Note that you can also opt for Windows Server 2016. 
• WTware, a Thin Client OS which creates connections to Windows RDS. The software works with Raspberry Pi 2, 3 (with Wi–Fi onboard) and Raspberry Pi 3 Model B+. 

Point of interest: You can power WTware from embedded monitor USB-hub and the software boots by network or an SD-card with available support from the Raspberry Pi’s PXE function. Once installed, users receive a Windows Terminal Server experience with desktop applications that run in a persistent session. 

Note that WTware provides just enough performance for regular office tasks. It enables booting from local media for the Raspberry Pi and is compatible with standard RDP servers. The OS integrates support for local hardware like smartcard authenticators and printers.

How to Install WTware on Raspberry Pi and in Windows?

Double-click to install the WTware installer on Windows. You can only do this once the installer has been downloaded. Then, place the Raspberry Pi’s microSD card in the Windows PC. If the card appears unformatted, simply download and then run the SD Card Formatter. Choose the card and apply Quick Format. Make sure to look into the CHS adjustment box that specifies the format size before clicking Format.

From the Start menu, click the WTware Configurator to run. This is a graphical interface that manages terminal configuration files and changes terminal settings. Select the SD Boot Card For Raspberry Pi icon that appears in the menu. Confirm that you have selected the right disk letter for the SD card and click Next. 

You are given two possible booting options:

Local: the Thin Client OS files are booted from the SD card.

Network: the SD card is configured for network boot on the Raspberry Pi and 3 models. For the Raspberry Pi 3, you can also configure a single boot from the SD card. This action programs the device to boot without the SD card later. 

How To Configure the Raspberry Pi’s Network Settings?

Begin by clicking Next to move to the Network tab. From there, specify a static IP for the Raspberry Pi or go for a DHCP server-assigned IP address. If you bring Wi-Fi into the picture, select the Workover Wi-Fi checkbox. 

Click Next and choose the configuration you want. Again, click Next and check the box to save parameters into an optional text file known as config.txt. This enables you to make changes to the Raspberry Pi’s configuration at some other point in time. Doing so also displays a screen where you can set the preferred resolution. Finally, click Next to set a Password to enter the terminal setup menu, and click Write to initiate installation. 

Raspberry Pi Configuration 

Eject and insert the media in the powered-off Raspberry Pi once the image is written to the microSD card. Power up the endpoint to boot it into the terminal management screen. Use the Network media option where you will be prompted to choose between Ethernet and Wi–Fi (Wireless). Once done, set the wireless network and ensure that the configuration file is ready. Otherwise, you must revisit the Configurator, select the appropriate terminal according to the MAC address, and click the file to create an empty individual configuration.

You can now log into the RDP virtual desktop session to use Windows and the apps installed on the Raspberry Pi. 

Final Remarks 

Companies can easily set up, install, and configure Thin Client devices without involving a dedicated IT department. Even then, you should only do this with the help of an experienced vendor so that your business does not experience any issues along the way. 

For more details, please contact the ClearCube team.

Компания HP является вторым по величине производителем тонких клиентов (после Dell-EMC). Недавно я взял себе для тестов ТК HP Thin Client T620 — модель среднего ценового диапазона на базе процессора AMD G-series.

Картинка с сайта: blog.vmpress.org

Одной из отличительных особенностей модельного ряда ТК от HP является поддержка широкого перечня операционных систем, это и различные версии Windows (Windows Embedded Standard 7, Windows Embedded 8 Standard, Windows 10 IoT), и Linux-подобные HP ThinPro и HP Smart Zero Core. Пользователи могут легко заменить предустановленную ОС Windows на более легковесные ThinPro или Smart Zero Core без необходимости замены клиента или покупки дополнительных лицензий. Однако этот трюк «официально» не работает в обратную сторону (из-за отсутствия необходимой OEM-лицензии Windows). Мне же как раз достался ТК с предустановленной ThinPro. Ниже описан вариант, как можно обойти ограничение по установке, однако, важно понимать, что вам потребуется лицензионный ключ для легальной работы с Windows 10 IoT.

Также стоит отметить, что ОС Windows требуется M.2 SATA накопитель большого объема (минимум — 32 ГБ, рекомендуется — 64 ГБ). В моем случае пришлось заменить имеющийся 16 ГБ накопитель Kingston RBU-SNS4151S3/16G на более емкий. Кое-какую информацию по замене можно почерпнуть из Troubleshooting Guide.

Картинка с сайта: blog.vmpress.org

Установка ОС может быть выполнена двумя способами — с помощью образа, записанного на USB-накопитель при помощи утилиты HP ThinUpdate, и через сервер управления HP Device Manager.

ThinUpdate доступен для загрузки с сайта HP, крайне прост в установке и работе — выбираете модель устройства, образ для загрузки и указываете накопитель, на который надо записать образ.

В случае, если вы используете ТК с ThinPro вам потребуется выполнить дополнительные настройки.

В отличие от обычных дистрибутивов Microsoft, образ ОС для тонких клиентов хранится не в .WIM, а в .IBR формате. За установку образа на диск отвечает утилита ibrpe.exe, которая проверяет наличие вшитого в ТК лицензионного OEM ключа Windows в момент запуска. При отсутствии ключа утилита завершает свою работу.

Я попробовал воспользоваться способом, описанным на просторах Интернет, и отредактировал на флешке файл IBRPE\THINSTATE.CMD, добавив аргументы -xb к параметрам запуска утилиты.

:DEPLOY
REM — Deploy image. Remove C for OS
if exist C:\ call :REMOVEDRV C
%~dp0\IBRPE.EXE -xb %2 %1
goto :EOF

Однако, либо версия утилиты обновилась, и аргументы больше не работают, либо ключ обязательно должен быть вшит в ТК (неважно от какой версии Windows), но данный вариант не заработал. Поэтому вам может пригодиться альтернативный вариант — замена ibrpe.exe.

Найти ibrpe.exe, который не выполняет проверку ключа достаточно легко, он идет в составе HP Device Manager, который также можно свободно загрузить с сайта HP. Загрузите и установите Device Manager на любой компьютер с Windows и скопируйте нужный файл ibrpe.exe из каталога C:\Inetpub\HPDM\Repository\Tools\Imaging\HPWES7_64\ibr на флешку в папку X:\IBRPE, заменив старую версию.

После записи образа вставьте USB-накопитель и включите ТК. При загрузке нажмите F10, чтобы открыть настройки BIOS. Перейдите на вкладку Security -> Secure Boot Configuration. Отключите загрузку с Legacy устройств: Legacy Support: Disable.

Картинка с сайта: blog.vmpress.org

Перейдите на вкладку Storage -> Boot Order и включите загрузку с USB накопителей для UEFI: UEFI Boot Sources -> USB Hard Drive. Сохраните настройки и перезагрузитесь.

После загрузки оболочки WinPE выйдите из утилиты ibrpe.exe. У вас не получится выполнить установку из-за ошибки diskpart, которая возникает из-за конфликта букв томов. Буква S: назначается тому, где размещается загрузчик WinPE и утилита ibrpe.exe, эта же буква назначается для системного диска при разметке M.2 накопителя, куда устанавливается ОС.

Из командной строки запустите утилиту diskpart.exe и смените букву диска для тома с именем THINSTATE (номер тома можно посмотреть с помощью команды list volume).

select volume 1
remove letter=S
assign letter=T
exit

Перейдите на диск T: и повторно запустите скрипт THINSTATE.CMD для установки ОС.

T:
cd T:\IBRPE
THINSTATE.CMD

В этот раз установка должна пройти корректно. В зависимости от скорости флешки и SSD накопителя на это может уйти 30-60 минут.

Картинка с сайта: blog.vmpress.org

После установки система автоматически выполнит вход под учетной записью User (пароль: User) и вы сможете выполнить настройку ТК. При необходимости используйте учетную запись с административными правами Admin (пароль: Admin).