बहुत पहले नहीं, हमने विंडोज टर्मिनल सर्वर पर समाधान लागू किया। हमेशा की तरह, उन्होंने कर्मचारियों के डेस्कटॉप के कनेक्शन के लिए शॉर्टकट फेंक दिए, और कहा - काम करते हैं। लेकिन साइबर सुरक्षा के संदर्भ में उपयोगकर्ताओं को धमकाया गया था। और सर्वर से कनेक्ट होने पर, जैसे संदेश देखकर: “क्या आप इस सर्वर पर भरोसा करते हैं? ठीक है? फिर सब कुछ सुंदर तरीके से करने का फैसला किया गया, ताकि कोई सवाल और घबराहट न हो।

यदि आपके उपयोगकर्ता अभी भी इसी तरह की आशंका के साथ आपके पास आते हैं, और आप बॉक्स "फिर से मत पूछो" पर टिक कर थक गए हैं - बिल्ली के नीचे स्वागत है।

चरण शून्य। प्रशिक्षण और ट्रस्ट के मुद्दे

इसलिए, हमारे उपयोगकर्ता एक्सटेंशन .rdp के साथ सहेजे गए फ़ाइल पर चुटकी लेते हैं और ऐसा अनुरोध प्राप्त करते हैं:

"दुर्भावनापूर्ण" कनेक्शन ।

इस विंडो से छुटकारा पाने के लिए, RDPSign.exe नामक एक विशेष उपयोगिता का उपयोग किया जाता है। पूर्ण प्रलेखन सामान्य वेबसाइट पर, हमेशा की तरह उपलब्ध है, और हम उपयोग के एक उदाहरण का विश्लेषण करेंगे।

पहले हमें फ़ाइल पर हस्ताक्षर करने के लिए एक प्रमाण पत्र लेना होगा। यह हो सकता है:

• लोक।
• आंतरिक प्राधिकारी प्रमाणपत्र प्राधिकरण द्वारा जारी किया गया।
• बिल्कुल स्व-हस्ताक्षरित।

सबसे महत्वपूर्ण बात, प्रमाण पत्र पर हस्ताक्षर करने में सक्षम होना चाहिए (हाँ, आप चयन कर सकते हैं
ईडीएस एकाउंटेंट), और क्लाइंट पीसी ने उस पर भरोसा किया। यहां मैं एक स्व-हस्ताक्षरित प्रमाण पत्र का उपयोग करूंगा।

आपको याद दिला दूं कि समूह नीतियों का उपयोग करते हुए एक स्व-हस्ताक्षरित प्रमाणपत्र में विश्वास का आयोजन किया जा सकता है। थोड़ा और विवरण - स्पॉइलर के तहत।

यदि ट्रस्ट के साथ समस्याओं का समाधान किया जाता है, तो हम सीधे हस्ताक्षर के मुद्दे पर आगे बढ़ते हैं।

पहला कदम। स्वीप करके फाइल साइन की

एक प्रमाण पत्र है, अब आपको इसके फिंगरप्रिंट को जानना होगा। बस इसे "प्रमाण पत्र" स्नैप-इन में खोलें और इसे "संरचना" टैब पर कॉपी करें।

हमें फिंगरप्रिंट की जरूरत है।

इसे तुरंत अपने उचित रूप में लाने के लिए बेहतर है - केवल बड़े अक्षरों और रिक्त स्थान के बिना, यदि कोई हो। यह आसानी से PowerShell कंसोल में कमांड के साथ किया जा सकता है:

("6b142d74ca7eb9f3d34a2fe16d1b949839dba8fa").ToUpper().Replace(" ","") 

वांछित प्रारूप में फिंगरप्रिंट प्राप्त करने के बाद, आप सुरक्षित रूप से rdp फ़ाइल पर हस्ताक्षर कर सकते हैं:

 rdpsign.exe /sha256 6B142D74CA7EB9F3D34A2FE16D1B949839DBA8FA .\contoso.rdp 

जहाँ। \ Contoso.rdp हमारी फ़ाइल का पूर्ण या सापेक्ष पथ है।

फ़ाइल पर हस्ताक्षर किए जाने के बाद, ग्राफ़िकल इंटरफ़ेस जैसे सर्वर नाम (क्या यह मान्य है, क्या हस्ताक्षर करने का बिंदु है?) के माध्यम से कुछ मापदंडों को बदलना संभव नहीं है? और यदि आप एक पाठ संपादक के साथ सेटिंग्स बदलते हैं, तो हस्ताक्षर "मक्खियों"।

अब, जब आप शॉर्टकट पर डबल-क्लिक करते हैं, तो संदेश अलग होगा:

नया संदेश। रंग कम खतरनाक, पहले से ही प्रगति।

चलिए उससे भी छुटकारा पा लेते हैं।

चरण दो और फिर, विश्वास मुद्दों

इस संदेश से छुटकारा पाने के लिए, हमें फिर से समूह नीति की आवश्यकता होगी। इस समय, सड़क कंप्यूटर कॉन्फ़िगरेशन में निहित है - नीतियां - प्रशासनिक टेम्पलेट - विंडोज घटक - दूरस्थ डेस्कटॉप सेवाएं - दूरस्थ डेस्कटॉप कनेक्शन क्लाइंट - विश्वसनीय RDP प्रकाशकों का प्रतिनिधित्व करने वाले प्रमाणपत्रों के SHA1 फिंगरप्रिंट्स निर्दिष्ट करें।

हमें एक नीति की जरूरत है।

राजनीति में, पिछले चरण से पहले से परिचित फिंगरप्रिंट को जोड़ना पर्याप्त है।

यह ध्यान देने योग्य है कि यह नीति मान्य प्रकाशकों और उपयोगकर्ता डिफ़ॉल्ट आरडीपी सेटिंग्स से आरडीपी फ़ाइलों की अनुमति दें।

अनुकूलित नीति।

Voila, अब कोई अजीब सवाल नहीं है - बस एक लॉगिन-पासवर्ड अनुरोध। हम्म ...

चरण तीन पारदर्शी सर्वर लॉगिन

दरअसल, यदि हम डोमेन कंप्यूटर में प्रवेश करते समय पहले से ही अधिकृत हैं, तो हमें उसी उपयोगकर्ता नाम और पासवर्ड को फिर से दर्ज करने की आवश्यकता क्यों है? हम क्रेडेंशियल्स को "पारदर्शी" सर्वर पर स्थानांतरित कर देंगे। एक साधारण आरडीपी (आरडीएस गेटवे का उपयोग किए बिना) के मामले में, हम हमारी सहायता के लिए आएंगे ... यह सही है, समूह नीति।

हम अनुभाग में जाते हैं: कंप्यूटर कॉन्फ़िगरेशन - नीतियां - प्रशासनिक टेम्पलेट - सिस्टम - क्रेडेंशियल ट्रांसफर - डिफ़ॉल्ट क्रेडेंशियल के हस्तांतरण की अनुमति दें।

यहां आप सूची में आवश्यक सर्वर जोड़ सकते हैं या वाइल्डकार्ड का उपयोग कर सकते हैं। यह TERMSRV / trm.contoso.com या TERMSRV / * .contoso.com की तरह दिखाई देगा।

अनुकूलित नीति।

अब, यदि आप हमारे शॉर्टकट को देखते हैं, तो यह कुछ इस तरह दिखाई देगा:

उपयोगकर्ता नाम न बदलें।

यदि आप RDS गेटवे का उपयोग करते हैं, तो आपको उस पर डेटा ट्रांसफर की अनुमति भी देनी होगी। ऐसा करने के लिए, IIS प्रबंधक में, "प्रमाणीकरण विधियों" में, अनाम प्रमाणीकरण अक्षम करें और Windows प्रमाणीकरण सक्षम करें।

IIS कॉन्फ़िगर किया गया।

समाप्त होने पर वेब सेवाओं को पुनरारंभ करना न भूलें:

 iisreset /noforce 

अब सब कुछ ठीक है, कोई प्रश्न और अनुरोध नहीं।