Пытаюсь организовать подключение пользователей к локальной сети через службу RDGateway. В процессе установки (или настройки) службы удаленных рабочих столов (СУРС) предлагается через пункт "сертификаты" создать некий сертификат развертывания и соотнести его со службами ролей (посредника подключений, веб-доступа и шлюза). Такой сертификат я создаю (в мастере настройки), даю ему имя типа external.mydomain.ru (которое резолвится во внешних DNS). Пытаюсь подключаться через https://external.mydomain.ru/RDWeb - вроде бы нормально, шлюз виден.
Одновременно с этим во внутреннем домене (mydomain.internal, в локальной сети) настроен центр сертификации с корневым сертификатом mydomain.internal, посредством которого я, используя шаблон авторизации по смарт-карте, записываю на e-токен сертификат пользователя, посредством которого успешно логинюсь на локальный компьютер в локальной сети.
Вопрос: какой и каким образом мне нужно создать (использовать) сертификат для доступа по смарт-карте к шлюзу external.mydomain.ru с внешней машины (из интернета), чтобы оттуда уже попасть во внутреннюю сеть? Сертификат для локального домена не прокатывает (на клиенте rdp выскакивает ошибка типа "Не удалось подключиться..., т.к адрес сервера шлюза удаленных рабочих столов является недостижимым или неправильным"), хотя сменив метод входа (на клиенте rdp) на логин-пароль коннект проходит нормально.

Вроде всё должно работать из коробки.
А с этим клиентским сертификатов RunAs на доменной машене работает?
ГОСТ-используете?

А сертификат на RDG ГОСТ?

У нас есть подробная инструкция:
https://support.cryptopr...dgateway-i-kriptopro-csp

Инструкцию эту я знаю, чуть не наизусть...

Все одно - не складывается у меня общая картинка (не исключаю, что просто туплю, тем не менее). Может кто-нибудь попробует нарисовать общую схему и порядок действий? Не могу понять как соотносятся локальный центр сертификации в домене (посредством которого я создаю сертификаты для входа по смарт-карте (на компьютеры сети)) и тестовый центр КриптоПро (откуда я должен сгенерить сертификат для https и (наверное в этом основной затык - некий сертификат пользователя для доступа к шлюзу RD, который к тому же мне надо (как я понимаю) поместить на ту же смарт-карту..)) Или у меня должно быть два центра сертификации в домене? Посредством чего тестовый сертификат пользователя от тестового УЦ КриптоПро связан с тестовым сертификатом сервера от того же центра? Не не могу я уложить всю эту схему в голове