এতদিন আগে, আমরা একটি উইন্ডোজ টার্মিনাল সার্ভারে একটি সমাধান প্রয়োগ করেছি। যথারীতি, তারা কর্মীদের ডেস্কটপে সংযোগের জন্য শর্টকাট ছুঁড়ে দিল, এবং বলল - কাজ। কিন্তু ব্যবহারকারীরা সাইবার সিকিউরিটি দ্বারা ভীত হয়ে উঠেছে। এবং সার্ভারের সাথে সংযোগ করার সময়, এই ধরনের বার্তাগুলি দেখে: “আপনি কি এই সার্ভারকে বিশ্বাস করেন? ঠিক, ঠিক?”, তারা ভয় পেয়ে আমাদের দিকে ফিরে গেল - কিন্তু সবকিছু ঠিক আছে, আমি কি ওকে ক্লিক করতে পারি? তারপর সিদ্ধান্ত নেওয়া হলো সবকিছু সুন্দরভাবে করবেন, যাতে কোনো প্রশ্ন বা আতঙ্ক না থাকে।

যদি আপনার ব্যবহারকারীরা এখনও একই রকম ভয় নিয়ে আপনার কাছে আসে এবং আপনি "আবার জিজ্ঞাসা করবেন না" টিক দিয়ে ক্লান্ত হন - বিড়ালের নীচে স্বাগতম।

শূন্য ধাপ। প্রশিক্ষণ এবং ট্রাস্ট সমস্যা

সুতরাং, আমাদের ব্যবহারকারী .rdp এক্সটেনশন সহ সংরক্ষিত ফাইলটিতে ক্লিক করে এবং নিম্নলিখিত অনুরোধটি গ্রহণ করে:

দূষিত সংযোগ.

এই উইন্ডো থেকে পরিত্রাণ পেতে, নামক একটি বিশেষ ইউটিলিটি ব্যবহার করুন RDPSign.exe. সম্পূর্ণ ডকুমেন্টেশন পাওয়া যায়, যথারীতি, এ অফিসিয়াল ওয়েবসাইট, এবং আমরা ব্যবহারের একটি উদাহরণ বিশ্লেষণ করব।

প্রথমে আমাদের ফাইল সাইন করার জন্য একটি সার্টিফিকেট নিতে হবে। সে হতে পারে:

• পাবলিক
• একটি অভ্যন্তরীণ শংসাপত্র কর্তৃপক্ষ দ্বারা ইস্যু করা হয়।
• সম্পূর্ণ স্ব-স্বাক্ষরিত।

সবচেয়ে গুরুত্বপূর্ণ বিষয় হল শংসাপত্রে স্বাক্ষর করার ক্ষমতা রয়েছে (হ্যাঁ, আপনি নির্বাচন করতে পারেন
EDS হিসাবরক্ষক), এবং ক্লায়েন্ট পিসি তাকে বিশ্বাস করেছিল। এখানে আমি একটি স্ব-স্বাক্ষরিত শংসাপত্র ব্যবহার করব।

আমি আপনাকে মনে করিয়ে দিচ্ছি যে একটি স্ব-স্বাক্ষরিত শংসাপত্রের উপর বিশ্বাস গ্রুপ নীতিগুলি ব্যবহার করে সংগঠিত করা যেতে পারে। একটু বেশি বিশদ - স্পয়লারের নীচে।

জিপিওর ম্যাজিক দিয়ে কীভাবে একটি সার্টিফিকেট বিশ্বস্ত করা যায়

প্রথমত, আপনাকে একটি প্রাইভেট কী ছাড়াই একটি বিদ্যমান সার্টিফিকেট নিতে হবে। এর পরে, আপনি গ্রুপ নীতি কনফিগার করতে পারেন।

একটি শংসাপত্র আমদানি এই বিভাগে কনফিগার করা হয়েছে: কম্পিউটার কনফিগারেশন - নীতি - উইন্ডোজ কনফিগারেশন - নিরাপত্তা সেটিংস - পাবলিক কী নীতি - বিশ্বস্ত রুট শংসাপত্র কর্তৃপক্ষ৷ পরবর্তী, শংসাপত্র আমদানি করতে ডান-ক্লিক করুন।

কনফিগার করা নীতি।

ক্লায়েন্ট পিসি এখন স্ব-স্বাক্ষরিত শংসাপত্রকে বিশ্বাস করবে।

যদি বিশ্বাসের সমস্যাগুলি সমাধান করা হয়, আমরা সরাসরি স্বাক্ষরের সমস্যায় যাই।

প্রথম ধাপ. ঝাড়ফুঁক করে ফাইলে স্বাক্ষর করছেন

একটি শংসাপত্র আছে, এখন আপনাকে তার আঙুলের ছাপ খুঁজে বের করতে হবে। শুধু "শংসাপত্র" স্ন্যাপ-ইন-এ এটি খুলুন এবং "কম্পোজিশন" ট্যাবে এটি অনুলিপি করুন৷

আমরা ছাপ প্রয়োজন.

এটি অবিলম্বে সঠিক আকারে নিয়ে আসা ভাল - শুধুমাত্র বড় অক্ষর এবং স্পেস ছাড়া, যদি থাকে। কমান্ড সহ PowerShell কনসোলে এটি করা সুবিধাজনক:

("6b142d74ca7eb9f3d34a2fe16d1b949839dba8fa").ToUpper().Replace(" ","")

পছন্দসই বিন্যাসে একটি মুদ্রণ পাওয়ার পরে, আপনি নিরাপদে rdp ফাইলটিতে স্বাক্ষর করতে পারেন:

rdpsign.exe /sha256 6B142D74CA7EB9F3D34A2FE16D1B949839DBA8FA .contoso.rdp

যেখানে .contoso.rdp আমাদের ফাইলের পরম বা আপেক্ষিক পথ।

ফাইলটি স্বাক্ষরিত হওয়ার পরে, গ্রাফিকাল ইন্টারফেসের মাধ্যমে কিছু প্যারামিটার পরিবর্তন করা আর সম্ভব হবে না, যেমন সার্ভারের নাম (সত্যিই, অন্যথায় স্বাক্ষর করার অর্থ কী?) এবং আপনি যদি টেক্সট এডিটর দিয়ে সেটিংস পরিবর্তন করেন, তারপর স্বাক্ষর "মাছি"।

এখন, আপনি যখন লেবেলে ডাবল-ক্লিক করবেন, তখন বার্তাটি ভিন্ন হবে:

একটি নতুন বার্তা। রঙ কম বিপজ্জনক, ইতিমধ্যে অগ্রগতি।

তার থেকেও মুক্তি পাওয়া যাক।

ধাপ দুই. এবং আবার বিশ্বাসের প্রশ্ন

এই বার্তা থেকে পরিত্রাণ পেতে, আমাদের আবার একটি গ্রুপ নীতি প্রয়োজন. এইবার রাস্তাটি কম্পিউটার কনফিগারেশন - নীতি - প্রশাসনিক টেমপ্লেট - উইন্ডোজ উপাদান - দূরবর্তী ডেস্কটপ পরিষেবা - দূরবর্তী ডেস্কটপ সংযোগ ক্লায়েন্ট - বিশ্বস্ত RDP প্রকাশকদের প্রতিনিধিত্বকারী শংসাপত্রগুলির SHA1 আঙ্গুলের ছাপ নির্দিষ্ট করুন৷

আমাদের একটা নীতি দরকার।

নীতিতে, পূর্ববর্তী ধাপ থেকে আমাদের কাছে ইতিমধ্যে পরিচিত ছাপ যোগ করা যথেষ্ট।

এটি লক্ষণীয় যে এই নীতিটি "বৈধ প্রকাশকদের থেকে RDP ফাইলগুলিকে অনুমতি দিন এবং কাস্টম ডিফল্ট RDP সেটিংস" নীতিকে ওভাররাইড করে৷

কনফিগার করা নীতি।

ভয়েলা, এখন কোন অদ্ভুত প্রশ্ন নেই - শুধুমাত্র একটি লগইন-পাসওয়ার্ড অনুরোধ। হুম…

ধাপ তিন. সার্ভারে স্বচ্ছ লগইন

প্রকৃতপক্ষে, যদি আমরা ইতিমধ্যেই ডোমেইন কম্পিউটারে লগ ইন করে থাকি, তাহলে কেন আমাদের একই লগইন এবং পাসওয়ার্ড পুনরায় প্রবেশ করতে হবে? আসুন "স্বচ্ছভাবে" সার্ভারে শংসাপত্রগুলি পাস করি। সাধারণ আরডিপির ক্ষেত্রে (আরডিএস গেটওয়ে ব্যবহার না করে), আমরা উদ্ধারে আসব... এটা ঠিক, গ্রুপ নীতি।

আমরা বিভাগে যাই: কম্পিউটার কনফিগারেশন - নীতি - প্রশাসনিক টেমপ্লেট - সিস্টেম - শংসাপত্র পাস করা - ডিফল্ট শংসাপত্র স্থানান্তরের অনুমতি দিন।

এখানে আপনি তালিকায় প্রয়োজনীয় সার্ভার যোগ করতে পারেন বা ওয়াইল্ডকার্ড ব্যবহার করতে পারেন। দেখতে কেমন হবে TERMSRV/trm.contoso.com বা TERMSRV/*.contoso.com

কনফিগার করা নীতি।

এখন, যদি আমরা আমাদের লেবেলটি দেখি, এটি এরকম কিছু দেখাবে:

ব্যবহারকারীর নাম পরিবর্তন করবেন না।

যদি RDS গেটওয়ে ব্যবহার করা হয়, তাহলে আপনাকে এটিতে ডেটা স্থানান্তরের অনুমতি দিতে হবে। এটি করার জন্য, IIS ম্যানেজারে, আপনাকে "প্রমাণিকরণ পদ্ধতি" এ বেনামী প্রমাণীকরণ নিষ্ক্রিয় করতে হবে এবং উইন্ডোজ প্রমাণীকরণ সক্ষম করতে হবে।

কনফিগার করা IIS।

কমান্ড দিয়ে ওয়েব পরিষেবাগুলি পুনরায় চালু করতে ভুলবেন না:

iisreset /noforce

এখন সবকিছু ঠিক আছে, কোন প্রশ্ন এবং অনুরোধ নেই.

শুধুমাত্র নিবন্ধিত ব্যবহারকারীরা জরিপে অংশগ্রহণ করতে পারবেন। সাইন ইন করুনকরুন।

আমাকে বলুন, আপনি কি আপনার ব্যবহারকারীদের জন্য RDP লেবেল স্বাক্ষর করেন?

• 43%না, তারা না পড়েই বার্তাগুলিতে "ঠিক আছে" টিপতে প্রশিক্ষিত, কেউ কেউ নিজেরাই "আবার জিজ্ঞাসা করবেন না" চেকবক্সও রাখেন৷28

• 29.2%আমি সাবধানে আমার হাত দিয়ে লেবেলটি রাখি এবং প্রতিটি ব্যবহারকারীর সাথে একসাথে সার্ভারে প্রথম লগইন করি।19

• 6.1%অবশ্যই, আমি ক্রম সবকিছু পছন্দ.4

• 21.5%আমি টার্মিনাল সার্ভার ব্যবহার করি না।14

65 জন ব্যবহারকারী ভোট দিয়েছেন। 14 জন ব্যবহারকারী বিরত ছিলেন।

উত্স: www.habr.com