Не така отдавна внедрихме решение на терминален сървър с Windows. Както е обичайно, поставихме на работните настолия на служителите ярлици за свързване и им казахме — работете. Но потребителите се оказаха уплашени относно КиберСигурността. И при свързването със сървъра, виждайки съобщения като: „Доверявате ли се на този сървър? Наистина ли?“, се стряскаха и се обръщаха към нас — дали всичко е наред, може ли да натиснат ОК? Тогава решихме да направим всичко красиво, за да няма въпроси и паника.
Ако вашите потребители все още идват при вас с подобни страхове и ви е омръзнало да поставяте отметка „Не питайте повече“ — добре дошли под кат.
Стъпка нула. Подготовка и въпроси за доверие
И така, нашият потребител кликва на запазения файл с разширение .rdp и получава такъв запитване:
„Зловредно“ свързване.
За избавяне от този прозорец се използва специална утилита, наречена RDPSign.exe. Пълната документация е налична, както обикновено, на , а ние ще разгледаме пример за използване.
Първо трябва да вземем сертификат за подписване на файла. Той може да бъде:
- Публичен.
- Издаден от вътрешна служба за удостоверяване.
- Напълно самоподписан.
Най-важното е, че сертификатът трябва да има възможност за подписване (да, може да бъде взет
от счетоводителите на ЕЦП), а клиентските РС да му се доверяват. Тук ще използвам самоподписан сертификат.
Напомням, че доверието на самоподписания сертификат може да се организира с помощта на групови политики. Малко повече подробности — под спойлера.
Как да направим сертификат доверен с помощта на магията на GPO
Първо трябва да вземем наличния сертификат без частен ключ в формат .cer (това може да се направи, като експортирате сертификата от инструментариума „Сертификати“) и да го поставим в мрежова папка, достъпна за потребителите за четене. След това може да се настрои груповата политика.
Импортът на сертификата се настройва в раздела: Конфигурация на компютъра — Политики — Конфигурация на Windows — Параметри за сигурност — Политики за открит ключ — Доверени коренови центрове за сертификация. След това с десен клик импортираме сертификата.
Настроената политика.
Сега клиентските РС ще се доверяват на самоподписания сертификат.
Ако проблемите с доверието са решени, преминаваме директно към въпросите за подписване.
Първа стъпка. Подписваме файла с размах
Сертификатът е наличен, сега трябва да разберем неговия отпечатък. Просто ще го отворим в инструмента „Сертификати“ и ще го копираме от раздела „Съдържание“.
Необходимият ни отпечатък.
По-добре е веднага да го приведем в правилния вид — само главни букви и без интервали, ако има такива. Удобно е да го направим в конзолата PowerShell с командата:
("6b142d74ca7eb9f3d34a2fe16d1b949839dba8fa").ToUpper().Replace(" ","")
След като получим отпечатъка в необходимия формат, можем спокойно да подписваме файла rdp:
rdpsign.exe /sha256 6B142D74CA7EB9F3D34A2FE16D1B949839DBA8FA .contoso.rdp
Където .contoso.rdp е абсолютният или относителен път до нашия файл.
След като файлът е подписан, вече не може да се променят част от параметрите чрез графичния интерфейс, като името на сървъра (наистина, иначе какъв е смисълът да подписваме?). А ако сменим настройките с текстов редактор, то подписът „падне”.
Сега при двойно щракване върху прекия път съобщението ще бъде различно:
Ново съобщение. Цветът е по-малко опасен, вече е напредък.
Да се избавим и от него.
Втора стъпка. И отново въпросите на доверието
За да се избавим от това съобщение, отново ще ни е необходима групова политика. Този път пътят води до раздела Конфигурация на компютъра — Политики — Административни шаблони — Компоненти на Windows — Услуги за отдалечен работен плот — Клиент на връзката за отдалечен работен плот — Укажете SHA1 отпечатъците на сертификатите, представляващи доверените издатели RDP.
Необходимата ни политика.
В политиката е достатъчно да добавим вече познатия ни отпечатък от предишната стъпка.
Следва да се отбележи, че тази политика наддава на политиката „Разрешаване на RDP файлове от допустими издатели и потребителски параметри RDP, зададени по подразбиране”.
Настроената политика.
Вуаля, сега вече няма странни въпроси — само запитване за име и парола. Хм…
Трета стъпка. Прозрачен вход на сървера
Наистина, ако вече сме се удостоверили при влизане на домейнов компютър, защо да въвеждаме повторно същото име и парола? Ще предадем удостоверението на сървера „прозрачно”. В случай на прост RDP (без използване на RDS Gateway) на помощ ни идва… Правилно, груповата политика.
Отиваме в раздела: Конфигурация на компютъра — Политики — Административни шаблони — Система — Предаване на удостоверения — Разрешаване на предаване на удостоверения, зададени по подразбиране.
Тук можете да добавите нужните сървъри в списъка или да използвате wildcard. Това ще изглежда така TERMSRV/trm.contoso.com или TERMSRV/*.contoso.com.
Настроената политика.
Сега, ако погледнем нашия ярлык, той ще изглежда приблизително така:
Името на потребителя не може да бъде променяно.
Ако се използва RDS Gateway, ще трябва да позволите и предаването на данни на него. За целта в мениджъра на IIS е необходимо в "Методите за удостоверяване" да изключите анонимното удостоверяване и да включите удостоверяването на Windows.
Настроен IIS.
Не забравяйте след приключване да рестартирате уеб услугите с командата:
iisreset /noforce
Сега всичко е наред, без проблеми и запитвания.
Само регистрирани потребители могат да участват в анкетата. , моля.
Кажете, вие ли подписвате ярлиците RDP на вашите потребители?
43%Не, те са свикнали да натискат "ОК" в съобщенията, без да четат, някои дори сами слагат отметка "Не питайте отново".
29.2%Аз внимателно ръчно поставям ярлыка и първото влизане на сървъра правя заедно с всеки потребител.
6.1%Разбира се, обичам всичко да е подредено.
21.5%Не използвам терминални сървъри.
Гласуваха 65 потребители. Въздържали се 14 потребители.
Източник: habr.com
