使用可信证书为Windows RDP服务提供加密

目前在使用Windows的远程连接时默认是启用SSL加密的,可以通过配置远程桌面服务为RDP连接提供有效的数字证书以便提高安全性。但个人用户或没有部署域控制器的用户是无法通过这种途径修改RDP所使用的数字证书,而是默认使用自动生成的自签名证书来进行SSL加密,在不安全的环境中很容易遭受攻击,同时每次通过RDP协议连接主机都弹出一个危险警告窗口,让人看着觉得很不好:

因此可以通过使用自己的域名和CA签发的SSL证书来对Windwos远程连接进行有效加密。目前很多SSL证书也是可以比较方便签发而且免费的。目前阿里云、腾讯云都可以签发免费的一年期单域名证书,也可以在freessl.cn签发免费的一年期单域名证书,当然也可以使用Let's Encrypt证书,不过有效期只有三个月,在没有自动化处理的情况下每三个月更换一次证书较为麻烦,因此建议签发一年期证书。

获取证书

首先你需要拥有一个域名,你需要拥有域名的DNS解析权。在申请证书时需要通过CNAME进行验证。签发过程不再赘述。
完成签发后一半会获得三个文件——certificate.pem(证书)、private.key(私钥)、fullchain.pem(证书链),由于需要形成证书链进行验证,因此通常是使用fullchain.pem而不是certificate.pem,即通常需要用到证书链和私钥,在Windows中使用到的是pfx(或p12)文件,可使用以下命令将证书链和私钥合并为pfx(或p12)文件

openssl pkcs12 -export -clcerts -in [fullchain.pem] -inkey [private.key] -out [your_domain.pfx]

其中的中括号部分([和])只是说明对应的文件名,需根据自己实际文件名来填写,不要将中括号( [ 和 ] )也写入命令中,your_doamin.pfx即输出的pfx文件(命名)。

导入证书

打开运行窗口(Win+R),输入mmc打开控制台。

单击 文件 > 添加/删除管理单元。

然后添加计算机账户的证书服务到控制台。

在个人证书中将pfx文件导入,点击导入后会打开证书导入向导,根据向导将pfx文件导入系统即可,注意打开时选择文件框默认为X509证书(*.cer、*.crt),切换为个人信息交换(*.pfx、*.p12即可看到证书)。

导入成功后双击证书,可以看到刚才导入的证书(链),选择SSL证书(因为证书链的原因,这里一般会列出两到三个证书,要选择的是你域名的证书),然后右键该证书 > 所有任务 > 管理私钥。

为NETWORK SERVICE服务添加读取密钥的权限。

再双击打开SSL证书信息,打开证书详细信息中的指纹项记录下来(这份证书同时也是本网站目前的SSL证书)。

修改注册表

打开运行窗口(Win+R),输入regedit打开注册表编辑器,进入以下路径。

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp

然后新建以下内容的项:

  • 名称: SSLCertificateSHA1Hash
  • 类型: REG_BINARY


将刚才记录的证书指纹手动输入(会自动大写,以两个字母为单位分列,不用输入空格一直输入下去直至输入完毕即可,无法复制粘贴)

完成所有步骤后即可再次通过RDP协议连接,也不会出现警告信息了。
注:RDP连接时要使用证书对应的域名连接(可以将该证书对应的域名解析到这台服务器的IP地址上),不能使用IP地址连接,否则仍然会出现警告信息。

RDP远程连接时,顶上工具条会有小锁图标,表明本次是安全的。

点赞

发表评论

电子邮件地址不会被公开。必填项已用 * 标注