HostAllow
מרכז הידע · שרתיםמאת אורי שלום עודכן נובמבר 2026

שרת טרמינל, מה זה ואיך מקימים אחד שלא נתקע

שרת טרמינל הוא Windows Server אחד שעשרה או שלושים עובדים מתחברים אליו בבת אחת, כל אחד בסשן משלו, ועובדים על אותה חשבשבת, אותו פריוריטי ואותן תיקיות. הרעיון פשוט. מה שמכשיל אותו בפועל הוא זיכרון שלא תוכנן לפי משתמש, פורט RDP פתוח לאינטרנט, ורישוי שהתגלה אחרי 120 יום. הנה איך עושים את זה נכון.

בקצרה
שרת טרמינל (Remote Desktop Services) מריץ כמה משתמשים במקביל על Windows Server אחד, כל אחד בסשן נפרד. כדי שיעבוד צריך תפקיד Session Host, שרת רישוי עם רישיונות RDS CAL לכל משתמש או מכשיר (מעבר לרישיון של Windows Server עצמו), ודרך גישה מאובטחת כמו RD Gateway או VPN במקום פורט 3389 פתוח. את הגודל קובעים לפי מה שכל משתמש מריץ, לא לפי מספר המשתמשים בלבד: דפדפן ו-Outlook צורכים לרוב יותר זיכרון מהתוכנה העסקית.

מה זה שרת טרמינל, בפועל?

Windows Server עם תפקיד Remote Desktop Session Host. כל עובד מתחבר ב-Remote Desktop ומקבל שולחן עבודה משלו, אבל התוכנות, המעבד והזיכרון הם של השרת.

בשביל משרד זה אומר שהתוכנה העסקית מותקנת פעם אחת, הנתונים לא יוצאים מהשרת, ועובד מהבית מקבל בדיוק את אותו מסך כמו במשרד. מה שעובר ברשת הוא תמונת המסך והקלדות, ולכן תוכנה כמו חשבשבת, שעובדת לאט על קובץ משותף ברשת, עובדת מהר בשרת טרמינל: בסיס הנתונים יושב באותו שרת או ממש לידו.

ההבדל מ-Windows VPS רגיל
כל Windows Server מאפשר שני חיבורים בו-זמנית לצורכי ניהול. זה מספיק למנהל המערכת, לא למשרד. שרת טרמינל הוא אותו Windows Server, עם התפקיד והרישיונות שמאפשרים לעשרות לעבוד עליו יחד.

אילו רכיבים צריך כדי להקים שרת טרמינל?

במשרד קטן מספיקים שלושה: Session Host שעליו עובדים, שרת רישוי, ודרך גישה מאובטחת מבחוץ. שאר התפקידים נכנסים כשיש יותר משרת אחד.

RD Session Host

מה הוא עושה
מריץ את הסשנים של המשתמשים
מתי צריך אותו
תמיד

RD Licensing

מה הוא עושה
מנפיק ועוקב אחר רישיונות RDS CAL
מתי צריך אותו
תמיד, אחרת החיבורים ייחסמו אחרי 120 יום

RD Gateway

מה הוא עושה
מעביר את החיבורים מבחוץ על HTTPS, עם אימות
מתי צריך אותו
כשעובדים מתחברים מחוץ לרשת

RD Connection Broker

מה הוא עושה
מחלק משתמשים בין כמה שרתים ומחזיר לסשן שנותק
מתי צריך אותו
משני Session Hosts ומעלה, או בפריסה מלאה

RD Web Access

מה הוא עושה
פורטל דפדפן שמציג את היישומים והשולחנות
מתי צריך אותו
כשמפרסמים יישומים בודדים במקום שולחן עבודה מלא

כל התפקידים יכולים לשבת על אותו שרת במשרד של עשרה עובדים. כשהמשרד גדל, מפצלים: שני Session Hosts מאחורי Connection Broker נותנים גם יותר משתמשים וגם שרת שאפשר לעדכן ולאתחל בלי לעצור את כולם.

כמה זיכרון ומעבד צריך לכל משתמש?

מה שכל משתמש מריץ, כפול מספר המשתמשים שעובדים במקביל, ועוד מערכת ההפעלה. התוכנה העסקית היא בדרך כלל החלק הקטן; דפדפן עם עשר לשוניות ו-Outlook הם החלק הגדול.

אין מספר אחד שמתאים לכל משרד, ולכן לא כדאי להאמין לטבלה שאומרת "2GB למשתמש". הדרך הנכונה היא למדוד: לפתוח את מנהל המשימות אצל עובד טיפוסי, אחרי שעתיים של עבודה רגילה, ולראות כמה זיכרון התוכנות שלו תופסות. את המספר הזה מכפילים במספר המשתמשים בשעת השיא, ומוסיפים מרווח למערכת ולצמיחה.

מה בודקים לפני שקובעים גודל

  • כמה משתמשים מחוברים במקביל בשעת השיא, לא כמה יש ברשימה
  • אילו תוכנות כל קבוצה מריצה: הנהלת חשבונות, מחסן, מכירות
  • האם עובדים בדפדפן בתוך הסשן, וכמה לשוניות
  • האם בסיס הנתונים יושב על אותו שרת או על שרת נפרד
  • האם יש תוכנה שמחייבת כרטיס גרפי או שאינה תומכת בריבוי משתמשים
בסיס הנתונים על אותו שרת
במשרד קטן מפתה להריץ את SQL Server ואת הסשנים על אותו שרת. זה עובד עד שמשתמש אחד מריץ דוח כבד והשרת כולו מאט, ויש יצרנים שמבקשים במפורש שרת טרמינל נפרד משרת בסיס הנתונים. כך למשל בדרישות של חשבשבת. בודקים את דרישות היצרן לפני שקובעים תצורה.

איך מתחברים מבחוץ בלי לפתוח את השרת לתוקפים?

לא פותחים את פורט 3389 לאינטרנט. מתחברים דרך RD Gateway על HTTPS או דרך VPN, עם אימות דו-שלבי, ונועלים חשבונות אחרי ניסיונות כושלים.

שרת RDP שחשוף לאינטרנט מקבל ניסיונות התחברות אוטומטיים כמעט מהדקה הראשונה. סיסמה חלשה של משתמש אחד מספיקה, ומשם הדרך לכופרה קצרה. RD Gateway עוטף את החיבור ב-HTTPS, מאפשר לקבוע מי רשאי להתחבר ולאיזה שרת, ומתחבר לפתרונות אימות דו-שלבי.

  1. 1

    סוגרים את 3389 בחומת האש

    השרת מקבל חיבורי RDP רק מתוך הרשת הפנימית או מה-Gateway.

  2. 2

    מקימים RD Gateway או VPN

    עם תעודת SSL אמיתית, לא תעודה עצמית שכל עובד מאשר בלי לקרוא.

  3. 3

    מוסיפים אימות דו-שלבי

    סיסמה לבד לא מספיקה לשרת שמחזיק את כל המידע של העסק.

  4. 4

    מפעילים נעילת חשבון

    כמה ניסיונות כושלים נועלים את החשבון לזמן קצר. זה עוצר ניחוש סיסמאות.

  5. 5

    מגבילים מי מתחבר

    רק משתמשים שצריכים גישה מרחוק נמצאים בקבוצה שמורשית לה.

ואם כבר קרה משהו, המדריך מה עושים בשעות הראשונות של מתקפת כופרה מסביר את הסדר.

מה חייבים לדעת על רישוי RDS?

מעבר לרישיון של Windows Server, כל משתמש או מכשיר שמתחבר צריך RDS CAL. יש תקופת חסד של 120 יום, ואחריה החיבורים נחסמים אם שרת הרישוי לא מוגדר.

לפי משתמש או לפי מכשיר

מה זה אומר בפועל
לפי משתמש מתאים למי שעובד גם מהבית וגם מהמשרד. לפי מכשיר מתאים לעמדות משותפות במשמרות.

Per User דורש דומיין

מה זה אומר בפועל
ספירה ודיווח של רישיונות לפי משתמש נתמכים רק בסביבת Active Directory.

גרסת הרישיון

מה זה אומר בפועל
ה-CAL צריך להיות מגרסה זהה לגרסת ה-Windows Server של ה-Session Host או חדשה ממנה.

120 יום

מה זה אומר בפועל
תקופת החסד מתחילה עם התקנת התפקיד. מגדירים את שרת הרישוי ביום ההקמה, לא אחריה.

על המשמעות התקציבית, ועל ההבדל בין רכישה חד-פעמית לרישוי חודשי, ראו VDI מול שרת טרמינל ו רישוי Windows Server בשרת מושכר. ב-Windows VPS שלנו רישיון Windows Server כלול במחיר. רישיונות RDS למשתמשים הם תוספת, ונקבעים באפיון לפי מספר המשתמשים.

מה עושה שרת טרמינל יציב לאורך זמן?

פרופילים שלא מתנפחים, עדכונים בחלון קבוע, הדפסה שנבדקה מראש, וגיבוי של השרת כולו, כולל בסיס הנתונים במצב עקבי.

  • פרופילי משתמשים נשמרים מחוץ לדיסק המערכת ונמחקים מזמניים, אחרת הדיסק מתמלא
  • עדכוני Windows בחלון קבוע מחוץ לשעות העבודה, עם הודעה למשתמשים
  • מדפסות נבדקות לפני המעבר: מדפסת תעודות משלוח ישנה היא תקלה קלאסית
  • ניטור על זיכרון ודיסק, עם התראה לפני שהשרת מאט, לא אחרי
  • גיבוי של השרת כולו, ובנפרד גיבוי עקבי של בסיס הנתונים

על הגיבוי של בסיס הנתונים עצמו ראו גיבוי SQL Server למערכות ERP.

שאלות נפוצות

שרת Windows שמותקן עליו תפקיד Remote Desktop Session Host, כך שכמה משתמשים מתחברים אליו במקביל דרך Remote Desktop, כל אחד בסשן משלו, ומריצים את התוכנות שמותקנות על השרת. המחשב של העובד משמש רק כמסך ומקלדת. השם הרשמי היום הוא RDS, והשם הישן הוא Terminal Services.

בלי תפקיד RDS ורישיונות, Windows Server מאפשר שני חיבורי ניהול בו-זמנית. עם RDS המגבלה היא כמות הרישיונות והמשאבים. בפועל הגבול נקבע לפי הזיכרון והמעבד: כל משתמש צורך את מה שהתוכנות שלו צורכות, ולכן שרת של 32GB יכול לשרת משרד אחד היטב ולהיחנק במשרד אחר באותו גודל.

אחרי הוספת תפקיד ה-Session Host יש תקופת חסד של 120 יום. בסיומה, אם אין שרת רישוי עם רישיונות מתאימים, החיבורים נחסמים. זו התקלה שמגיעה בדיוק ארבעה חודשים אחרי ההקמה, כשכבר אף אחד לא זוכר את ההגדרה.

אפשר להריץ Session Host גם בלי דומיין, אבל רישיונות לפי משתמש (Per User) נספרים ומדווחים רק בסביבת דומיין. במשרד בלי דומיין בוחרים בדרך כלל רישוי לפי מכשיר, או מקימים דומיין קטן. שווה להחליט על זה לפני רכישת הרישיונות.

טכנית אפשר, ובפועל זו אחת הדרכים הנפוצות שבהן תוקפים נכנסים לשרתים של עסקים קטנים. הגישה הנכונה היא דרך RD Gateway על HTTPS או דרך VPN, עם אימות דו-שלבי, ובנוסף נעילת חשבון אחרי ניסיונות כושלים.

שרת טרמינל משתף מערכת הפעלה אחת בין כולם, ולכן הוא זול יותר למשתמש. VDI נותן לכל עובד מכונה משלו, וזה נדרש כשתוכנה לא תומכת בריבוי משתמשים או כשצריך הפרדה מלאה. ההשוואה המלאה נמצאת במדריך VDI מול שרת טרמינל.

מקורות ובדיקה אחרונה

התאריכים והתנאים במדריך הזה נקבעים על ידי היצרן ויכולים להשתנות. אלה המקורות הראשוניים, כדי שתוכלו לאמת מול המקור ולא מולנו.

נבדק לאחרונה:

מדריכים קשורים

צריכים שרת טרמינל למשרד?

ספרו לנו כמה עובדים מתחברים ואילו תוכנות הם מריצים, ונתאים שרת עם גישה מאובטחת ורישוי מסודר.

052-3373912