अभी कुछ समय पहले हमने विंडोज़ टर्मिनल सर्वर पर एक समाधान लागू किया था। हमेशा की तरह, उन्होंने कर्मचारियों के डेस्क पर कनेक्शन शॉर्टकट फेंके और उन्हें काम करने के लिए कहा। लेकिन साइबर सिक्योरिटी के मामले में यूजर्स डरे हुए निकले. और सर्वर से कनेक्ट होने पर, ऐसे संदेश देखना: "क्या आपको इस सर्वर पर भरोसा है?" बिल्कुल?”, वे डर गए और हमारी ओर मुड़े - क्या सब कुछ ठीक है, क्या हम ओके पर क्लिक कर सकते हैं? फिर सब कुछ खूबसूरती से करने का फैसला किया गया, ताकि कोई सवाल या घबराहट न हो।

यदि आपके उपयोगकर्ता अभी भी इसी तरह की आशंकाओं के साथ आपके पास आते हैं, और आप "दोबारा न पूछें" बॉक्स को चेक करते-करते थक गए हैं, तो आपका स्वागत है।

चरण शून्य. तैयारी और विश्वास के मुद्दे

इसलिए, हमारा उपयोगकर्ता .rdp एक्सटेंशन के साथ सहेजी गई फ़ाइल पर क्लिक करता है और निम्नलिखित अनुरोध प्राप्त करता है:

"दुर्भावनापूर्ण" संबंध.

इस विंडो से छुटकारा पाने के लिए, नामक एक विशेष उपयोगिता का उपयोग करें RDPsign.exe. पूर्ण दस्तावेज़ीकरण, हमेशा की तरह, यहां उपलब्ध है आधिकारिक वेबसाइट, और हम उपयोग का एक उदाहरण देखेंगे।

सबसे पहले, हमें फ़ाइल पर हस्ताक्षर करने के लिए एक प्रमाणपत्र लेना होगा। वह हो सकता है:

• जनता।
• आंतरिक प्रमाणपत्र प्राधिकरण सेवा द्वारा जारी किया गया।
• पूर्णतः स्व-हस्ताक्षरित।

सबसे महत्वपूर्ण बात यह है कि प्रमाणपत्र पर हस्ताक्षर करने की क्षमता है (हाँ, आप चयन कर सकते हैं)।
अकाउंटेंट के पास डिजिटल हस्ताक्षर होते हैं), और क्लाइंट पीसी ने उन पर भरोसा किया। यहां मैं स्व-हस्ताक्षरित प्रमाणपत्र का उपयोग करूंगा।

मैं आपको याद दिला दूं कि स्व-हस्ताक्षरित प्रमाणपत्र में विश्वास समूह नीतियों का उपयोग करके आयोजित किया जा सकता है। थोड़ा और विवरण स्पॉइलर के अंतर्गत है।

GPO के जादू का उपयोग करके किसी प्रमाणपत्र को विश्वसनीय कैसे बनाएं

सबसे पहले, आपको मौजूदा प्रमाणपत्र को निजी कुंजी के बिना .cer प्रारूप में लेना होगा (यह प्रमाणपत्र स्नैप-इन से प्रमाणपत्र निर्यात करके किया जा सकता है) और इसे एक नेटवर्क फ़ोल्डर में रखना होगा जिसे उपयोगकर्ता पढ़ सकते हैं। इसके बाद आप ग्रुप पॉलिसी को कॉन्फिगर कर सकते हैं.

प्रमाणपत्र आयात अनुभाग में कॉन्फ़िगर किया गया है: कंप्यूटर कॉन्फ़िगरेशन - नीतियां - विंडोज कॉन्फ़िगरेशन - सुरक्षा सेटिंग्स - सार्वजनिक कुंजी नीतियां - विश्वसनीय रूट प्रमाणन प्राधिकरण। इसके बाद, प्रमाणपत्र आयात करने के लिए राइट-क्लिक करें।

विन्यस्त नीति.

क्लाइंट पीसी अब स्व-हस्ताक्षरित प्रमाणपत्र पर भरोसा करेंगे।

यदि विश्वास के मुद्दों का समाधान हो जाता है, तो हम सीधे हस्ताक्षर के मुद्दे पर आगे बढ़ते हैं।

पहला कदम। हम फाइल पर दस्तखत बड़े अंदाज में करते हैं

एक सर्टिफिकेट है, अब आपको उसका फिंगरप्रिंट पता करना होगा. बस इसे "प्रमाणपत्र" स्नैप-इन में खोलें और इसे "रचना" टैब पर कॉपी करें।

हमें जिस फ़िंगरप्रिंट की आवश्यकता है.

इसे तुरंत उचित रूप में लाना बेहतर है - केवल बड़े अक्षर और कोई रिक्त स्थान नहीं, यदि कोई हो। इसे PowerShell कंसोल में कमांड के साथ आसानी से किया जा सकता है:

("6b142d74ca7eb9f3d34a2fe16d1b949839dba8fa").ToUpper().Replace(" ","")

आवश्यक प्रारूप में फ़िंगरप्रिंट प्राप्त करने के बाद, आप आरडीपी फ़ाइल पर सुरक्षित रूप से हस्ताक्षर कर सकते हैं:

rdpsign.exe /sha256 6B142D74CA7EB9F3D34A2FE16D1B949839DBA8FA .contoso.rdp

जहां .contoso.rdp हमारी फ़ाइल का पूर्ण या सापेक्ष पथ है।

एक बार फ़ाइल पर हस्ताक्षर हो जाने के बाद, ग्राफिकल इंटरफ़ेस के माध्यम से कुछ मापदंडों को बदलना संभव नहीं होगा, जैसे कि सर्वर नाम (वास्तव में, अन्यथा हस्ताक्षर करने का क्या मतलब है?) और यदि आप टेक्स्ट एडिटर के साथ सेटिंग्स बदलते हैं, हस्ताक्षर "उड़ जाता है"।

अब जब आप शॉर्टकट पर डबल क्लिक करेंगे तो संदेश अलग होगा:

एक नया संदेश. रंग कम खतरनाक है, पहले से ही प्रगति कर रहा है।

आइए उससे भी छुटकारा पाएं.

दूसरा चरण। और फिर भरोसे के सवाल

इस संदेश से छुटकारा पाने के लिए हमें फिर से ग्रुप पॉलिसी की आवश्यकता होगी। इस बार सड़क कंप्यूटर कॉन्फ़िगरेशन - नीतियां - प्रशासनिक टेम्पलेट - विंडोज घटक - रिमोट डेस्कटॉप सेवाएं - रिमोट डेस्कटॉप कनेक्शन क्लाइंट - विश्वसनीय आरडीपी प्रकाशकों का प्रतिनिधित्व करने वाले प्रमाणपत्रों के SHA1 फ़िंगरप्रिंट निर्दिष्ट करें अनुभाग में निहित है।

हमें जिस नीति की आवश्यकता है।

राजनीति में, उस फिंगरप्रिंट को जोड़ना ही काफी है जो हमें पिछले चरण से पहले से ही परिचित है।

यह ध्यान देने योग्य है कि यह नीति वैध प्रकाशकों से आरडीपी फ़ाइलों को अनुमति देने और डिफ़ॉल्ट कस्टम आरडीपी सेटिंग्स नीति को ओवरराइड करती है।

विन्यस्त नीति.

वोइला, अब कोई अजीब सवाल नहीं - बस एक लॉगिन और पासवर्ड के लिए अनुरोध। हम्म...

तीसरा कदम। सर्वर पर पारदर्शी लॉगिन

दरअसल, यदि डोमेन कंप्यूटर में लॉग इन करते समय हम पहले ही लॉग इन कर चुके हैं, तो हमें उसी लॉगिन और पासवर्ड को दोबारा दर्ज करने की आवश्यकता क्यों है? आइए क्रेडेंशियल्स को "पारदर्शी रूप से" सर्वर पर स्थानांतरित करें। सरल आरडीपी (आरडीएस गेटवे का उपयोग किए बिना) के मामले में, ... यह सही है, समूह नीति हमारी सहायता के लिए आएगी।

अनुभाग पर जाएँ: कंप्यूटर कॉन्फ़िगरेशन - नीतियाँ - प्रशासनिक टेम्पलेट - सिस्टम - क्रेडेंशियल्स का स्थानांतरण - डिफ़ॉल्ट क्रेडेंशियल्स के स्थानांतरण की अनुमति दें।

यहां आप सूची में आवश्यक सर्वर जोड़ सकते हैं या वाइल्डकार्ड का उपयोग कर सकते हैं। ऐसा लगेगा TERMSRV/trm.contoso.com या शर्तेंसर्व/*.contoso.com.

विन्यस्त नीति.

अब, यदि आप हमारे लेबल को देखेंगे, तो यह कुछ इस तरह दिखेगा:

उपयोक्तानाम बदला नहीं जा सकता.

यदि आप आरडीएस गेटवे का उपयोग करते हैं, तो आपको उस पर डेटा ट्रांसफर सक्षम करने की भी आवश्यकता होगी। ऐसा करने के लिए, IIS प्रबंधक में, "प्रमाणीकरण विधियों" में आपको अनाम सत्यापन को अक्षम करना होगा और Windows प्रमाणीकरण को सक्षम करना होगा।

कॉन्फ़िगर किया गया IIS.

आदेश समाप्त होने पर वेब सेवाओं को पुनः आरंभ करना न भूलें:

iisreset /noforce

अब सब कुछ ठीक है, कोई सवाल-जवाब नहीं।

केवल पंजीकृत उपयोगकर्ता ही सर्वेक्षण में भाग ले सकते हैं। साइन इन करेंकृपया।

मुझे बताएं, क्या आप अपने उपयोगकर्ताओं के लिए आरडीपी लेबल पर हस्ताक्षर करते हैं?

• 43% तक नहीं, वे संदेशों को पढ़े बिना उनमें "ओके" पर क्लिक करने के आदी हैं, कुछ लोग तो "दोबारा न पूछें" के लिए खुद ही बॉक्स चेक कर देते हैं।28

• 29.2% तक मैं सावधानीपूर्वक अपने हाथों से लेबल लगाता हूं और प्रत्येक उपयोगकर्ता के साथ सर्वर पर पहला लॉगिन करता हूं।19

• 6.1% तक बेशक, मुझे हर चीज़ में ऑर्डर पसंद है।4

• 21.5% तक मैं टर्मिनल सर्वर का उपयोग नहीं करता.14

65 उपयोगकर्ताओं ने मतदान किया। 14 उपयोगकर्ता अनुपस्थित रहे।

स्रोत: www.habr.com