Настройка RemoteApp для внешних пользователей, как работает шлюз RDS?

Я чувствую, что, должно быть, просто упускаю что-то очевидное. У меня есть работающее развертывание RDS с двумя хостами RDSH. Он не идеально спроектирован, но он был получен из PoC и будет переработан через несколько месяцев, поэтому меня это не беспокоит. У нас есть три системы - шлюз RDS, один блок RDSH и другой блок RDSH (который является оригинальным), на котором также есть RDWeb / Broker / Licensing. Вероятно, проще всего просто проигнорировать второй блок RDSH в этом уравнении, поэтому я сделаю это.

Сейчас я пытаюсь сделать программное обеспечение RemoteApp доступным вне сети, чтобы пользователям не приходилось использовать VPN для доступа к приложениям. Я работал с предположением, что шлюз RDS был частью этой головоломки, но теперь кажется очевидным (особенно теперь, когда у меня настроен шлюз RDS), что пользователи не подключаются к нему напрямую.

Мы не распространяем .rdp или предоставление пользователям RDP доступа к другим системам. Я хочу только публиковать для них приложения. Мне дали понять, что я должен использовать шлюз RDS для аутентификации здесь, но мне действительно неясно, как должна выглядеть архитектура. Для меня имеет смысл просто открыть 443 прямо в Интернет, а затем люди могут просто войти в систему без единого входа. Если это так, и я публикую только программное обеспечение RemoteApp, мне вообще нужен шлюз? Я совершенно нормально разверну его, если он мне понадобится, но я просто не понимаю, где он подходит и как заставить его работать правильно.