可以，Nginx自1.9.0起通过stream模块支持RDP四层代理，需启用模块并配置基于$remote_addr的hash会话保持，避免连接中断；NLA通常兼容，但需确保证书有效；官方RD Gateway方案更稳妥。
Nginx 可以代理 RDP 流量，但必须用 stream 模块 做四层（TCP 层）转发，不能走 HTTP 模块。它不解析 RDP 协议内容，只按规则分发 TCP 连接，关键在于保证同一客户端始终连到同一台后端 Windows 主机，否则容易登录失败或会话中断。
前提：确认 stream 模块已启用
Nginx 默认安装通常不含 stream 模块，需确认编译时加了 --with-stream 参数：
- Ubuntu/Debian 推荐装
nginx-full包，自带 stream； - RHEL/CentOS 请用 EPEL 源的 nginx ≥1.12，或自行编译；
- 运行
nginx -V 2>&1 | grep -o with-stream，有输出即表示支持。
核心配置：放在 http 块之外
stream 配置与 http 平级，不能嵌套在 http{} 里。典型结构如下：
stream {
upstream rdp_backend {
hash $remote_addr consistent; # 强制同IP始终打到同一后端
server 192.168.1.10:3389 weight=5;
server 192.168.1.11:3389 weight=5;
# 可加 backup 或 max_fails/fail_timeout 实现容错
}
<pre class="brush:php;toolbar:false;">server {
listen 3389;
proxy_pass rdp_backend;
proxy_timeout 1h; # 避免空闲断连，比 Windows 默认超时略长
proxy_responses 1; # 等至少一个响应包再认为连接建立成功
}
}
注意：hash $remote_addr 是刚需，RDP 协议本身无会话标识，靠源 IP 绑定才能维持登录上下文。
注意事项与替代建议
RDP 代理对网络稳定性、证书和认证流程较敏感：
- NLA（网络级别身份验证）一般可透传，但若后端启用了强制证书校验，需确保证书有效且被客户端信任；
- 如果后端是标准远程桌面会话主机（非虚拟桌面），轮询分发必然失败，必须依赖 IP 哈希或更高级会话保持；
- 生产环境更推荐使用 Windows 自带的 RD Gateway，它原生支持多节点、SSL 加密、单点登录和精细策略控制，比 Nginx 代理更稳妥。
验证与排错要点
部署后建议检查几项实际表现：
- 用不同客户端 IP 连接，观察是否稳定落在固定后端（查后端 Windows 的事件日志或 netstat）；
- 模拟断网重连，看是否仍回到原主机（hash 一致性起作用）；
- 检查 Nginx error.log 是否有
connection refused或timeout，确认后端 RDP 服务确实在监听且防火墙放行； - 避免把 proxy_timeout 设得比 Windows 组策略里的“空闲会话限制”还短，否则 Nginx 先断连。
