For ikke så længe siden implementerede vi en løsning på terminalserveren Windows. Som sædvanlig sendte vi genveje til ansatte for at forbinde og sagde - arbejd. Men brugerne blev skræmt af cybersikkerhed. Når de forbinder til serveren og ser beskeder som: "Stoler du på denne server? Er du sikker?", bliver de bange og kommer til os med spørgsmål - er alt i orden, kan man klikke OK? Så blev det besluttet at gøre det pænt, så der ikke ville være spørgsmål eller panik.
Hvis dine brugere stadig kommer til dig med sådanne frygt, og du er træt af at sætte flueben i "Spørg ikke igen" - velkommen til underlægningskategorien.
Første skridt. Forberedelse og tillidsspørgsmål
Så vores bruger klikker på den gemte fil med udvidelsen .rdp og får denne anmodning:
"Skadelig" forbindelse.
For at fjerne dette vindue bruges et særligt værktøj kaldet RDPSign.exe. Den komplette dokumentation er tilgængelig, som sædvanligt, på , men vi vil gennemgå et eksempel på brug.
Først skal vi tage et certifikat til underskrift af filen. Det kan være:
- Offentligt.
- Udstedt af den interne Certificate Authority.
- Overhovedet selvsigneret.
Det vigtigste er, at certifikatet har mulighed for at underskrive (ja, man kan få det
fra bogholderne med deres digitale signatur), og at klientmaskinerne stoler på det. Her vil jeg bruge et selvsigneret certifikat.
Husk, at tillid til et selvsigneret certifikat kan opnås ved hjælp af gruppepolitikker. Lidt flere detaljer - under spoiler.
Hvordan man gør certifikatet pålideligt ved hjælp af GPO-magi
Først skal vi tage det eksisterende certifikat uden den private nøgle i formatet .cer (dette kan gøres ved at eksportere certifikatet fra "Certifikater" snapin) og placere det i en netværksmappe, der er tilgængelig for brugere til læsning. Derefter kan vi konfigurere gruppepolitikken.
Import af certifikatet konfigureres i sektionen: Computerens konfiguration - Politikker - Windows-konfiguration - Sikkerhedsindstillinger - Offentlige nøglepolitikker - Pålidelige rodcertifikater. Derefter højreklikker vi for at importere certifikatet.
Den konfigurerede politik.
Nu vil klientmaskinerne stole på det selvsignerede certifikat.
Hvis tillidsproblemerne er løst, går vi direkte til spørgsmålet om signatur.
Trin ét. Skriv filen med brede streger.
Certifikatet er der, nu skal vi kende dets fingeraftryk. Vi åbner det blot i værktøjet "Certifikater" og kopierer det på fanen "Indhold".
Det ønskede fingeraftryk.
Det er bedst straks at formatere det korrekt - kun store bogstaver og uden mellemrum, hvis der er nogen. Det er nemt at gøre i PowerShell-konsollen med kommandoen:
("6b142d74ca7eb9f3d34a2fe16d1b949839dba8fa").ToUpper().Replace(" ","")
Når vi får fingeraftrykket i det ønskede format, kan vi trygt signere filen rdp:
rdpsign.exe /sha256 6B142D74CA7EB9F3D34A2FE16D1B949839DBA8FA .contoso.rdp
Hvor .contoso.rdp er den absolutte eller relative sti til vores fil.
Efter filen er signeret, vil det ikke være muligt at ændre dele af indstillingerne gennem et grafisk interface som f.eks. servernavnet (for ellers giver det ikke mening at signere?). Men hvis indstillingerne ændres med en teksteditor, vil signaturen "falde af".
Nu vil beskeden være anderledes ved dobbeltklik på genvejen:
Ny besked. Farven er mindre farlig, der er allerede fremgang.
Lad os også slippe af med den.
Trin to. Og igen tillidsspørgsmål.
For at slippe af med denne besked har vi igen brug for gruppepolitik. Denne gang går vejen til afsnittet Computerkonfiguration - Politikker - Administrative skabeloner - Windows-komponenter - Remote Desktop Services - Remote Desktop Client - Angiv SHA1-fingeraftryk af certifikater, der repræsenterer betroede RDP-udbydere.
Den politik, vi har brug for.
I politikken er det tilstrækkeligt at tilføje det allerede kendte fingeraftryk fra det foregående trin.
Det skal bemærkes, at denne politik tilsidesætter politikken "Tillad RDP-filer fra godkendte udgivere og brugerdefinerede RDP-indstillinger, der er angivet som standard".
Den konfigurerede politik.
Voila, nu ingen underlige spørgsmål - kun login-password forespørgsel. Hmm...
Trin tre. Gennemsigtig logon til serveren.
Faktisk, hvis vi allerede har været autoriseret ved logon til en domænecomputer, hvorfor skulle vi så indtaste den samme login og adgangskode igen? Lad os overføre legitimationsoplysningerne til serveren "gennemsigtigt". I tilfælde af simpel RDP (uden brug af RDS Gateway) vil gruppepolitikken hjælpe os...
Gå til sektionen: Computer Konfiguration — Politikker — Administrative skabeloner — System — Overførsel af legitimationsoplysninger — Tillad overførsel af standardindstillede legitimationsoplysninger.
Her kan man tilføje de nødvendige servere til listen eller bruge wildcard. Det vil se ud som TERMSRV/trm.contoso.com eller TERMSRV/*.contoso.com.
Den konfigurerede politik.
Nu, hvis vi kigger på vores genvej, vil den se ca. sådan ud:
Brugernavnet kan ikke ændres.
Hvis RDS Gateway bruges, skal overførsel af data også tillades der. For dette skal man i IIS Manager deaktivere anonym godkendelse og aktivere Windows-godkendelse under 'Metoder til godkendelse'.
Konfigureret IIS.
Husk at genstarte webtjenesterne med kommandoen:
iisreset /noforce
Nu er alt godt, ingen spørgsmål eller anmodninger.
Kun registrerede brugere kan deltage i undersøgelsen. , please.
Fortæl mig, skriver du RDP-genveje til dine brugere?
43%Nej, de er vant til at klikke på "OK" i beskederne uden at læse, nogle sætter endda selv "Mere ikke spørg".
29.2%Jeg lægger altid genvejen pænt for hånd og foretager den første adgang til serveren sammen med hver bruger.
6.1%Selvfølgelig elsker jeg at have orden i tingene.
21.5%Jeg bruger ikke terminalservere.
65 brugere stemte. 14 brugere afholdt sig.
Kilde: habr.com
