Niet zo lang geleden implementeerden we een oplossing op een Windows-terminalserver. Zoals gebruikelijk, stuurden we snel snel snel koppelingen naar de bureaubladen van de medewerkers zodat ze konden werken. Maar de gebruikers waren bang als het om Cybersecurity ging. En bij het verbinden met de server, toen ze meldingen zagen zoals: "Vertrouwt u deze server? Zeker?", raakten ze in paniek en vroegen ze ons - is alles in orde, kunnen we op OK drukken? Toen was besloten om het allemaal mooi te maken, zodat er geen vragen en paniek meer zouden zijn.

Als uw gebruikers nog steeds met zulke angsten naar u toe komen, en u bent het zat om het vinkje "Niet meer vragen" aan te zetten - welkom onder de kat.

Stap nul. Voorbereiding en vertrouwensvragen

Dus, onze gebruiker klikt op het opgeslagen bestand met de extensie .rdp en krijgt deze melding:

"Kwaadaardige" verbinding.

Om dit venster te verwijderen, wordt een speciale tool genaamd RDPSign.exe. Volledige documentatie is beschikbaar, zoals gebruikelijk, op officiële website, en we zullen een voorbeeld van gebruik bespreken.

Om te beginnen moeten we een certificaat voor het ondertekenen van het bestand verkrijgen. Dit kan zijn:

• Publiek.
• Verleend door de interne dienst van de Certificate Authority.
• Of volledig zelfondertekend.

Het belangrijkste is dat het certificaat in staat is om te ondertekenen (ja, u kunt het verkrijgen
van de boekhouders met een elektronische handtekening), en de client-pc's hem vertrouwen. Hier zal ik een zelfondertekend certificaat gebruiken.

Ik herinner u eraan dat het vertrouwen in een zelfondertekend certificaat kan worden georganiseerd via groepsbeleidsinstellingen. Meer details - onder de spoiler.

Hoe een certificaat betrouwbaar te maken met behulp van de magie van GPO

Om te beginnen moet u het bestaande certificaat zonder privésleutel in .cer-formaat nemen (dit kan worden gedaan door het certificaat te exporteren vanuit de "Certificaten"-snap-in) en het in een netwerkmap plaatsen die toegankelijk is voor gebruikers om te lezen. Daarna kan het groepsbeleid worden ingesteld.

De import van het certificaat wordt ingesteld in het gedeelte: Computerconfiguratie - Beleidsregels - Windows-configuratie - Beveiligingsinstellingen - Open sleutelbeleid - Vertrouwde rootcertificeringsinstanties. Klik vervolgens met de rechtermuisknop om het certificaat te importeren.

Ingestelde beleid.

Nu zullen client-pc's het zelfondertekende certificaat vertrouwen.

Als het probleem met vertrouwen is opgelost, gaan we verder naar de ondertekeningsvraag.

Stap één. Grootschalig ondertekenen van het bestand

Het certificaat is er, nu moeten we de vingerafdruk ervan achterhalen. Gewoon openen in de 'Certificaten'-snap-in en kopiëren op het tabblad 'Inhoud'.

De benodigde vingerafdruk.

Het is beter om het meteen in de juiste vorm te brengen - alleen hoofdletters en zonder spaties, als die er zijn. Dat kunnen we gemakkelijk doen in de PowerShell-console met het commando:

("6b142d74ca7eb9f3d34a2fe16d1b949839dba8fa").ToUpper().Replace(" ","")

Met de vingerafdruk in het juiste formaat kunnen we het rdp-bestand gerust ondertekenen:

rdpsign.exe /sha256 6B142D74CA7EB9F3D34A2FE16D1B949839DBA8FA .contoso.rdp

Waarbij .contoso.rdp het absolute of relatieve pad naar ons bestand is.

Nadat het bestand is ondertekend, kunnen sommige parameters via de grafische interface, zoals de naam van de server, niet meer worden gewijzigd (want anders, wat is dan de zin van ondertekenen?). Als je de instellingen met een teksteditor wijzigt, dan 'valt' de handtekening.

Nu, bij het dubbelklikken op het snelkoppeling, zal het bericht anders zijn:

Nieuwe boodschap. De kleur is minder gevaarlijk, er is al vooruitgang.

Laten we ook daar vanaf komen.

Stap twee. En weer vragen over vertrouwen

Om deze boodschap kwijt te raken, hebben we opnieuw groepsbeleid nodig. Dit keer leidt de weg naar Configuratie van de computer - Beleid - Beheerssjablonen - Windows-componenten - Diensten voor externe bureaubladen - Klant voor verbinding met extern bureaublad - De vingerafdrukken van SHA1-certificaten opgeven die de vertrouwde uitgevers van RDP vertegenwoordigen.

De benodigde beleidsregel.

In het beleid is het voldoende om de al bekende vingerafdruk van de vorige stap toe te voegen.

Het is vermeldenswaard dat dit beleid het beleid 'Toestaan dat RDP-bestanden van toegestane uitgevers en gebruikersinstellingen voor RDP, die standaard zijn ingesteld, worden gebruikt' overschrijft.

Ingestelde beleid.

Voilà, nu geen vreemde vragen meer - alleen een verzoek om inloggegevens. Hmm...

Stap drie. Transparante toegang tot de server

Echt, als we al zijn geauthenticeerd bij het inloggen op de domeincomputer, waarom zouden we dan dezelfde gebruikersnaam en wachtwoord opnieuw invoeren? Laten we de inloggegevens 'transparant' naar de server overdragen. In het geval van gewone RDP (zonder gebruik van RDS Gateway) helpt groepsbeleid ons hierbij.

We gaan naar het gedeelte: Configuratie van de computer - Beleid - Beheerssjablonen - Systeem - Overdracht van inloggegevens - Toestaan dat aangemelde inloggegevens, die standaard zijn ingesteld, worden overgedragen.

Hier kan je de benodigde servers toevoegen aan de lijst of een wildcard gebruiken. Dit zal eruitzien als TERMSRV/trm.contoso.com of TERMSRV/*.contoso.com.

Ingestelde beleid.

Nu, als we naar ons snelkoppelingspictogram kijken, zal het er ongeveer zo uitzien:

De gebruikersnaam kan niet worden gewijzigd.

Als je gebruikmaakt van RDS Gateway, moet je ook de gegevensoverdracht daarop toestaan. Hiervoor moet je in de IIS-beheerder in 'Authenticatiemethoden' de anonieme authenticatie uitschakelen en Windows-authenticatie inschakelen.

Geconfigureerde IIS.

Vergeet niet om de webservices opnieuw op te starten met het commando:

iisreset /noforce

Nu is alles goed, geen vragen of verzoeken.

Alleen geregistreerde gebruikers kunnen deelnemen aan de enquête. Log in, alstublieft.

Vertel eens, geef je RDP-snelkoppelingen aan je gebruikers?

• 43%Nee, ze zijn eraan gewend om op 'OK' te drukken in berichten zonder te lezen, sommigen zetten zelfs zelf de vinkjes 'Niet meer vragen'.28

• 29.2%Ik plaats zelf netjes handmatig het snelkoppelingspictogram en maak de eerste inlog op de server samen met elke gebruiker.19

• 6.1%Natuurlijk hou ik van orde in alles.4

• 21.5%Ik gebruik geen terminalservers.14

65 gebruikers hebben gestemd. 14 gebruikers onthielden zich.

Bron: habr.com