Медленный вход на Terminal Server 2008 со сбалансированной нагрузкой за сервером шлюза

У меня есть небольшая ферма Terminal Server 2008 с балансировкой нагрузки (с помощью Session Broker) за сервером шлюза, доступ к которому осуществляется через Интернет. У меня проблема в том, что с задержкой 20-30 секунд, если посредник сеанса переключает пользователя на другой сервер во время входа в систему. Я думаю, что это связано с тем, что я заставляю уровень безопасности быть RDP, а не SSL.
http://www.lytzen.name/blogimages/tsstructure.png

Фон
Сервер шлюза имеет открытые маршрутизируемые IP-адреса и DNS-имя, поэтому к нему можно получить доступ из Интернета, и все пользователи заходят по этому маршруту (система используется для предоставления доступа к размещенным приложениям внешним клиентам). Фактические терминальные серверы имеют только внутренние IP-адреса. Это работает очень хорошо, за исключением того, что с клиентом Vista или Windows 7 клиент удаленного рабочего стола будет согласовывать с сервером использование SSL для уровня безопасности. Это тогда выставляет автоматически сгенерированный сертификат, который имеет TS1 или TS2 - но так как они являются внутренними, автоматически сгенерированными сертификатами, клиент получит строгое предупреждение, что сертификат недействителен. Я не могу дать серверам должным образом авторизованный сертификат, поскольку у серверов нет общедоступного IP-адреса или DNS-имени. Вместо этого я использую групповую политику, чтобы заставить соединения быть поверх RDP вместо SSL.

\Computer Configuration\Policies\Administrative Templates\Windows Components\Terminal Services\Terminal Server\Security\Require use of specific security layer for remote (RDP) connections  

Пользователь Windows 7 теперь получает гораздо менее строгое предупреждение о том, что "идентичность сервера не может быть подтверждена", с чем я могу жить.
У меня недостаточно контроля над компьютерами конечных пользователей, чтобы попросить их установить новый корневой сертификат.

TS1 и TS2 также сбалансированы по нагрузке с помощью Session Broker, который установлен на сервере шлюза. Я использую циклический DNS, поэтому первоначальное подключение пользователя будет проходить через шлюз1 к TS1 или TS2. TS1/TS2 будет затем общаться с посредником сеансов и может передать пользователя на другой сервер. Т.е. пользователь может подключиться к TS2, но после разговора с посредником сеанса пользователь может быть передан в TS1, где они будут запускать свой сеанс.

Когда происходит такое переключение серверов, в моей настройке экран сидит со словом "Добро пожаловать" в течение 20-30 секунд, после чего он мигает, снова отображается "Добро пожаловать", а затем мигает через обычные экраны входа в систему (т. Е. "Ждать менеджера профилей пользователей"). " так далее). Проведя некоторое исследование, я думаю, что происходит то, что пользователь полностью вошел в TS2 (пока отображается "Добро пожаловать"), прежде чем он будет передан в TS1, где они затем снова войдут в систему. Интересно, что обычно, когда вы видите слово "приветствия", маленький кружок влево вращается, однако он не вращается во время этой задержки - экран выглядит просто замороженным.

Этот пост в блоге заставляет меня думать, что это потому, что CredSSP не используется, возможно потому, что я запрещаю SSL и форсирую RDP.

Что я пробовал

• Я снова включил SSL, который удаляет задержку "Добро пожаловать". Тем не менее, кажется, что вводит новую задержку гораздо раньше в этом процессе. В частности, когда клиент RDP говорит "инициализация соединения" - это теперь намного медленнее. Помимо того, что проблема с сертификатом не позволяет мне использовать это решение без особых трудностей.

• Я попытался отключить балансировку нагрузки (просто удалите серверы из фермы посредника сеансов), и соединения не имеют никакой задержки.

• Проблема также является периодической в ​​том смысле, что это происходит только тогда, когда пользователь сталкивается с одного сервера на другой. Я проверил это, пытаясь подключиться напрямую к TS1 (через шлюз, конечно) и затем проверить, к какому серверу я подключился.

• Просто чтобы быть уверенным, я также обошел обходной DNS, чтобы посмотреть, оказал ли он какое-либо влияние, и нет. Настройка в основном соответствует рекомендациям MS здесь: Пошаговое руководство по балансировке нагрузки TS Session Broker

• Я попытался перейти на использование специального перенаправителя. По сути, вместо использования циклического DNS я направил свой DNS на сервер шлюза и настроил его в качестве выделенного перенаправителя (запретить вход в систему, добавить его в ферму). Та же проблема, увы.

Любые идеи или предложения с благодарностью принимаются.