केही समय अघि हामीले टर्मिनल सर्भरमा एउटा समाधान लागू गर्यौं। Windowsसधैं जस्तै, हामीले कर्मचारीहरूको डेस्कटपमा सर्टकटहरू छोड्यौं र तिनीहरूलाई काममा जान भन्यौं। तर प्रयोगकर्ताहरू साइबर सुरक्षाबाट डराए। सर्भरमा जडान गर्दा, तिनीहरूले "के तपाईं यो सर्भरमा विश्वास गर्नुहुन्छ? के तपाईं निश्चित हुनुहुन्छ?" जस्ता सन्देशहरू देखे र तिनीहरू डराए र हामीलाई सोधे कि सबै ठीक छ कि छैन, र यदि तिनीहरूले ठीक छ क्लिक गर्न सक्छन् भने। त्यसैले हामीले कुनै पनि प्रश्न वा आतंकबाट बच्न यसलाई राम्रो देखाउने निर्णय गर्यौं।

यदि तपाईंका प्रयोगकर्ताहरू अझै पनि यस्तै डरका साथ तपाईंकहाँ आउँछन्, र तपाईं "फेरि न सोध्नुहोस्" बाकस जाँच गर्न थाकेका हुनुहुन्छ भने, बिरालामा स्वागत छ।

चरण शून्य। तयारी र विश्वास मुद्दाहरू

त्यसोभए, हाम्रो प्रयोगकर्ताले .rdp विस्तारको साथ बचत गरिएको फाइलमा क्लिक गर्दछ र निम्न अनुरोध प्राप्त गर्दछ:

"दुर्भावनापूर्ण" जडान.

यस विन्डोबाट छुटकारा पाउनको लागि, विशेष उपयोगिता प्रयोग गर्नुहोस् RDPSign.exe। पूर्ण कागजात उपलब्ध छ, सामान्य रूपमा, मा आधिकारिक वेबसाइट, र हामी प्रयोगको उदाहरण हेर्नेछौं।

पहिले, हामीले फाइलमा हस्ताक्षर गर्न प्रमाणपत्र लिनु पर्छ। उहाँ हुन सक्नुहुन्छ:

• सार्वजनिक।
• आन्तरिक प्रमाणपत्र प्राधिकरण सेवा द्वारा जारी।
• पूर्ण रूपमा स्व-हस्ताक्षरित।

सबैभन्दा महत्त्वपूर्ण कुरा यो हो कि प्रमाणपत्रमा हस्ताक्षर गर्ने क्षमता छ (हो, तपाइँ चयन गर्न सक्नुहुन्छ
लेखाकारहरूसँग डिजिटल हस्ताक्षरहरू छन्), र ग्राहक पीसीहरूले उहाँलाई विश्वास गरे। यहाँ म स्व-हस्ताक्षरित प्रमाणपत्र प्रयोग गर्नेछु।

म तपाईंलाई सम्झाउन चाहन्छु कि एक स्व-हस्ताक्षरित प्रमाणपत्रमा विश्वास समूह नीतिहरू प्रयोग गरेर व्यवस्थित गर्न सकिन्छ। थोरै थप विवरणहरू स्पोइलर अन्तर्गत छन्।

GPO को जादू प्रयोग गरेर कसरी प्रमाणपत्र विश्वसनीय बनाउने

पहिले, तपाईंले अवस्थित प्रमाणपत्रलाई .cer ढाँचामा निजी कुञ्जी बिना नै लिनु पर्छ (यो प्रमाणपत्र स्न्याप-इनबाट प्रमाणपत्र निर्यात गरेर गर्न सकिन्छ) र प्रयोगकर्ताहरूले पढ्न सक्ने नेटवर्क फोल्डरमा राख्नुहोस्। यस पछि, तपाइँ समूह नीति कन्फिगर गर्न सक्नुहुन्छ।

प्रमाणपत्र आयात खण्डमा कन्फिगर गरिएको छ: कम्प्युटर कन्फिगरेसन - नीतिहरू - कन्फिगरेसन Windows — सुरक्षा सेटिङहरू — सार्वजनिक कुञ्जी नीतिहरू — विश्वसनीय रूट प्रमाणीकरण प्राधिकरणहरू। त्यसपछि, दायाँ क्लिक गर्नुहोस् र प्रमाणपत्र आयात गर्नुहोस्।

कन्फिगर गरिएको नीति।

ग्राहक पीसीहरूले अब स्व-हस्ताक्षरित प्रमाणपत्रमा विश्वास गर्नेछन्।

यदि विश्वास मुद्दाहरू समाधान भएमा, हामी सिधै हस्ताक्षर मुद्दामा जान्छौं।

चरण एक। हामी फाईलमा स्वीपिङ तरीकाले हस्ताक्षर गर्छौं

त्यहाँ प्रमाणपत्र छ, अब तपाईंले यसको औंठाछाप पत्ता लगाउन आवश्यक छ। यसलाई "प्रमाणपत्र" स्न्याप-इनमा खोल्नुहोस् र यसलाई "रचना" ट्याबमा प्रतिलिपि गर्नुहोस्।

हामीलाई चाहिने फिंगरप्रिन्ट।

यसलाई तुरुन्तै उचित फारममा ल्याउनु राम्रो हुन्छ - केवल क्यापिटल अक्षरहरू र कुनै खाली ठाउँहरू, यदि कुनै भएमा। यो आदेशको साथ PowerShell कन्सोलमा सजिलैसँग गर्न सकिन्छ:

("6b142d74ca7eb9f3d34a2fe16d1b949839dba8fa").ToUpper().Replace(" ","")

आवश्यक ढाँचामा फिंगरप्रिन्ट प्राप्त गरेपछि, तपाइँ सुरक्षित रूपमा आरडीपी फाइलमा हस्ताक्षर गर्न सक्नुहुन्छ:

rdpsign.exe /sha256 6B142D74CA7EB9F3D34A2FE16D1B949839DBA8FA .contoso.rdp

जहाँ .contoso.rdp हाम्रो फाइलको निरपेक्ष वा सापेक्ष मार्ग हो।

एकचोटि फाइल साइन इन भएपछि, ग्राफिकल इन्टरफेस मार्फत केही प्यारामिटरहरू परिवर्तन गर्न सम्भव हुने छैन, जस्तै सर्भरको नाम (वास्तवमा, अन्यथा हस्ताक्षर गर्नुको अर्थ के हो?) र यदि तपाइँ पाठ सम्पादकसँग सेटिङहरू परिवर्तन गर्नुहुन्छ भने, हस्ताक्षर "उडान"।

अब तपाईले सर्टकटमा डबल क्लिक गर्दा सन्देश फरक हुनेछ:

नयाँ सन्देश। रंग कम खतरनाक छ, पहिले नै प्रगति।

उहाँलाई पनि छुटकारा दिऔं ।

चरण दुई। र फेरि विश्वासको प्रश्नहरू

यो सन्देशबाट छुटकारा पाउन, हामीलाई फेरि समूह नीति चाहिन्छ। यस पटक, बाटो कम्प्युटर कन्फिगरेसन - नीतिहरू - प्रशासनिक टेम्प्लेटहरू - कम्पोनेन्टहरूमा छ। Windows — रिमोट डेस्कटप सेवाहरू — रिमोट डेस्कटप जडान क्लाइन्ट — विश्वसनीय RDP जारीकर्ताहरूको प्रतिनिधित्व गर्ने प्रमाणपत्रहरूको SHA1 फिंगरप्रिन्टहरू निर्दिष्ट गर्नुहोस्।

हामीलाई चाहिने नीति।

राजनीतिमा, अघिल्लो चरणबाट हामीलाई पहिले नै परिचित फिंगरप्रिन्ट थप्न पर्याप्त छ।

यो नोट गर्न लायक छ कि यो नीतिले मान्य प्रकाशकहरूबाट RDP फाइलहरूलाई अनुमति दिनुहोस् र पूर्वनिर्धारित अनुकूलन RDP सेटिङहरू नीतिलाई ओभरराइड गर्दछ।

कन्फिगर गरिएको नीति।

Voila, अब कुनै अनौठो प्रश्नहरू छैनन् - केवल लगइन र पासवर्डको लागि अनुरोध। हम्म…

चरण तीन। सर्भरमा पारदर्शी लगइन

वास्तवमा, यदि हामीले डोमेन कम्प्युटरमा लगइन गर्दा पहिले नै लग इन गरिसकेका छौं भने, त्यसोभए हामीले किन उही लगइन र पासवर्ड पुन: प्रविष्ट गर्न आवश्यक छ? प्रमाणहरू सर्भरमा "पारदर्शी रूपमा" स्थानान्तरण गरौं। साधारण RDP को मामला मा (RDS गेटवे प्रयोग नगरी), ... यो सहि छ, समूह नीति हाम्रो सहयोगमा आउनेछ।

खण्डमा जानुहोस्: कम्प्युटर कन्फिगरेसन - नीतिहरू - प्रशासनिक टेम्प्लेटहरू - प्रणाली - प्रमाणपत्रहरूको स्थानान्तरण - पूर्वनिर्धारित प्रमाणहरूको स्थानान्तरणलाई अनुमति दिनुहोस्।

यहाँ तपाईंले सूचीमा आवश्यक सर्भरहरू थप्न सक्नुहुन्छ वा वाइल्डकार्ड प्रयोग गर्न सक्नुहुन्छ। जस्तो देखिन्छ TERMSRV/trm.contoso.com वा TERMSRV/*.contoso.com।

कन्फिगर गरिएको नीति।

अब, यदि तपाइँ हाम्रो लेबल हेर्नुभयो भने, यो केहि यस्तो देखिन्छ:

प्रयोगकर्ता नाम परिवर्तन गर्न सकिँदैन।

यदि तपाईं RDS गेटवे प्रयोग गर्दै हुनुहुन्छ भने, तपाईंले डेटा स्थानान्तरण सक्षम गर्न पनि आवश्यक पर्दछ। यो गर्नको लागि, IIS प्रबन्धकमा, "प्रमाणीकरण विधिहरू" अन्तर्गत, बेनामी प्रमाणीकरण असक्षम गर्नुहोस् र प्रमाणीकरण सक्षम गर्नुहोस्। Windows.

कन्फिगर गरिएको IIS।

आदेशको साथ समाप्त भएपछि वेब सेवाहरू पुन: सुरु गर्न नबिर्सनुहोस्:

iisreset /noforce

अब सबै ठीक छ, कुनै प्रश्न वा प्रश्नहरू छैनन्।

दर्ता भएका प्रयोगकर्ताहरूले मात्र सर्वेक्षणमा भाग लिन सक्छन्। साइन इन गर्नुहोस्कृपया

मलाई भन्नुहोस्, के तपाइँ तपाइँका प्रयोगकर्ताहरूको लागि RDP लेबलहरू साइन गर्नुहुन्छ?

• 43%होइन, तिनीहरू नपढेका सन्देशहरूमा "ठीक छ" क्लिक गर्न अभ्यस्त छन्, कोही-कोहीले "फेरि नसोध्नुहोस्" मा बाकसहरू आफैंमा चिन्ह लगाउँछन्।

• 29.2%मैले आफ्नो हातले लेबललाई ध्यानपूर्वक राख्छु र प्रत्येक प्रयोगकर्तासँग सर्भरमा पहिलो लगइन गर्छु।19

• 6.1%निस्सन्देह, मलाई सबै कुरामा व्यवस्था मन पर्छ।4

• 21.5%म टर्मिनल सर्भरहरू प्रयोग गर्दिन।14

65 प्रयोगकर्ताहरूले मतदान गरे। 14 प्रयोगकर्ताहरू रोकिए।

स्रोत: www.habr.com