얼마 전 우리는 Windows 터미널 서버에 솔루션을 구현했습니다. 늘 그렇듯이 직원 책상에 연결 바로가기를 던져놓고 일하라고 했습니다. 하지만 사이버보안 측면에서는 사용자들이 겁을 먹고 있는 것으로 드러났다. 그리고 서버에 연결하면 다음과 같은 메시지가 표시됩니다. “이 서버를 신뢰하십니까? 그렇죠?”, 그들은 겁에 질려 우리에게로 돌아섰습니다. 모든 것이 괜찮습니까? 확인을 클릭해도 될까요? 그런 다음 질문이나 당황이 없도록 모든 것을 아름답게하기로 결정했습니다.

사용자가 여전히 비슷한 두려움을 갖고 있고 "다시 묻지 않음" 상자를 선택하는 데 지쳤다면 고양이에 오신 것을 환영합니다.

XNUMX단계. 준비 및 신뢰 문제

따라서 사용자는 .rdp 확장자로 저장된 파일을 클릭하고 다음 요청을 받습니다.

"악의적인" 연결.

이 창을 제거하려면 다음과 같은 특수 유틸리티를 사용하십시오. RDPign.exe. 전체 문서는 평소와 같이 다음에서 확인할 수 있습니다. 공식 웹 사이트, 사용예를 살펴보겠습니다.

먼저, 파일에 서명하려면 인증서를 가져와야 합니다. 그는 다음과 같을 수 있습니다:

• 공공의.
• 내부 인증 기관 서비스에서 발급됩니다.
• 완전히 자체 서명되었습니다.

가장 중요한 것은 인증서에 서명할 수 있는 기능이 있다는 것입니다(예, 선택할 수 있습니다).
회계사는 디지털 서명을 가지고 있으며 클라이언트 PC는 그를 신뢰했습니다. 여기서는 자체 서명된 인증서를 사용하겠습니다.

자체 서명된 인증서에 대한 신뢰는 그룹 정책을 사용하여 구성할 수 있다는 점을 상기시켜 드리겠습니다. 좀 더 자세한 내용은 스포일러 아래에 있습니다.

GPO의 마법을 사용하여 인증서를 신뢰할 수 있게 만드는 방법

먼저 개인 키 없이 .cer 형식의 기존 인증서를 가져와서(인증서 스냅인에서 인증서를 내보내면 가능) 사용자가 읽을 수 있는 네트워크 폴더에 넣어야 합니다. 그런 다음 그룹 정책을 구성할 수 있습니다.

인증서 가져오기는 컴퓨터 구성 - 정책 - Windows 구성 - 보안 설정 - 공개 키 정책 - 신뢰할 수 있는 루트 인증 기관 섹션에서 구성됩니다. 그런 다음 마우스 오른쪽 버튼을 클릭하여 인증서를 가져옵니다.

구성된 정책입니다.

이제 클라이언트 PC는 자체 서명된 인증서를 신뢰합니다.

신뢰 문제가 해결되면 바로 서명 문제로 넘어갑니다.

XNUMX단계. 우리는 포괄적인 방식으로 파일에 서명합니다.

인증서가 있으므로 이제 지문을 찾아야 합니다. "인증서" 스냅인에서 열고 "구성" 탭에 복사하면 됩니다.

우리에게 필요한 지문.

즉시 적절한 형식으로 가져오는 것이 좋습니다. 즉, 대문자만 사용하고 공백은 사용하지 않는 것이 좋습니다. 이 작업은 PowerShell 콘솔에서 다음 명령을 사용하여 편리하게 수행할 수 있습니다.

("6b142d74ca7eb9f3d34a2fe16d1b949839dba8fa").ToUpper().Replace(" ","")

필요한 형식으로 지문을 받으면 rdp 파일에 안전하게 서명할 수 있습니다.

rdpsign.exe /sha256 6B142D74CA7EB9F3D34A2FE16D1B949839DBA8FA .contoso.rdp

여기서 .contoso.rdp는 파일의 절대 또는 상대 경로입니다.

파일이 서명되면 더 이상 그래픽 인터페이스를 통해 서버 이름과 같은 일부 매개변수를 변경할 수 없습니다(실제로 그렇지 않으면 서명의 요점이 무엇입니까?). 그리고 텍스트 편집기로 설정을 변경하면, 서명은 "날아간다".

이제 바로가기를 두 번 클릭하면 메시지가 달라집니다.

새 메시지입니다. 색상은 덜 위험하며 이미 진행 중입니다.

그 사람도 제거하자.

XNUMX단계. 그리고 다시 신뢰에 대한 질문

이 메시지를 제거하려면 그룹 정책이 다시 필요합니다. 이번에는 컴퓨터 구성 - 정책 - 관리 템플릿 - Windows 구성 요소 - 원격 데스크톱 서비스 - 원격 데스크톱 연결 클라이언트 - 신뢰할 수 있는 RDP 게시자를 나타내는 인증서의 SHA1 지문 지정 섹션에 있습니다.

우리에게 필요한 정책.

정치에서는 이전 단계에서 우리에게 이미 익숙한 지문을 추가하는 것으로 충분합니다.

이 정책은 유효한 게시자의 RDP 파일 허용 및 기본 사용자 지정 RDP 설정 정책보다 우선 적용된다는 점은 주목할 가치가 있습니다.

구성된 정책입니다.

짜잔, 이제 이상한 질문은 없습니다. 단지 로그인과 비밀번호만 요청하면 됩니다. 흠…

XNUMX단계. 서버에 대한 투명한 로그인

실제로 도메인 컴퓨터에 로그인할 때 이미 로그인했다면 왜 동일한 로그인과 비밀번호를 다시 입력해야 합니까? 자격 증명을 "투명하게" 서버에 전송해 보겠습니다. 단순 RDP(RDS 게이트웨이를 사용하지 않음)의 경우... 맞습니다. 그룹 정책이 도움이 될 것입니다.

섹션으로 이동합니다: 컴퓨터 구성 - 정책 - 관리 템플릿 - 시스템 - 자격 증명 전송 - 기본 자격 증명 전송 허용.

여기에서 필요한 서버를 목록에 추가하거나 와일드카드를 사용할 수 있습니다. 그것은 다음과 같이 보일 것입니다 TERMSRV/trm.contoso.com 또는 이용 약관/*.contoso.com.

구성된 정책입니다.

이제 라벨을 보면 다음과 같이 보일 것입니다.

사용자 이름은 변경할 수 없습니다.

RDS 게이트웨이를 사용하는 경우 데이터 전송도 활성화해야 합니다. 이렇게 하려면 IIS 관리자의 "인증 방법"에서 익명 확인을 비활성화하고 Windows 인증을 활성화해야 합니다.

IIS를 구성했습니다.

다음 명령을 완료한 후 웹 서비스를 다시 시작하는 것을 잊지 마세요.

iisreset /noforce

이제 모든 것이 괜찮습니다. 질문이나 질문이 없습니다.

등록된 사용자만 설문 조사에 참여할 수 있습니다. 로그인제발

사용자를 위해 RDP 레이블에 서명합니까?

• 43%아니요, 그들은 메시지를 읽지 않고 "확인"을 클릭하는 데 익숙하며 일부는 "다시 묻지 않음" 상자를 직접 선택하기도 합니다.28

• 29.2%손으로 조심스럽게 라벨을 붙이고 각 사용자와 함께 서버에 첫 로그인을 합니다.19

• 6.1%물론 나는 모든 것의 질서를 좋아한다.4

• 21.5%저는 터미널 서버를 사용하지 않습니다.14

65명의 사용자가 투표했습니다. 14명의 사용자가 기권했습니다.

출처 : habr.com