Güvenilir SSL/TLS Sertifikaları ile RDP Bağlantılarının Güvenliğini Sağlama

Bu makalede, bir Active Directory etki alanındaki Windows bilgisayarlarına veya sunucularına RDP bağlantılarını güvenli hale getirmek için güvenilir SSL/TLS sertifikalarının nasıl kullanılacağını göstereceğiz. Varsayılan kendinden imzalı RDP sertifikaları yerine güvenilir SSL sertifikaları kullanacağız (daha sonra kendinden imzalı bir RDP sertifikası kullanıldığında, kullanıcı ana bilgisayara bağlanırken sertifikanın güvenilir olmadığına dair bir uyarı alır). Bu örnekte, bir SSL/TLS sertifikasını Uzak Masaüstü Hizmetlerine otomatik olarak vermek ve bağlamak için Sertifika Yetkilisinde özel bir RDP sertifikaları şablonu ve bir Grup İlkesi yapılandıracağız.

Uzak Masaüstü Bağlantısı (RDP) Kendinden İmzalı Sertifika Uyarısı

Varsayılan olarak, bir RDP oturumunu güvence altına almak için Windows kendinden imzalı bir sertifika oluşturur. Bir kullanıcı, mstsc.exe istemcisini kullanarak bir RDP/RDS ana bilgisayarına ilk bağlantı sırasında aşağıdaki uyarıyı görür:

The remote computer could not be authenticated due to problems with its security certificate. It may be unsafe to proceed.
Certificate error: The certificate is not from a trusted certifying authority.

Devam etmek ve bir RDP bağlantısı kurmak için kullanıcının Evet'i tıklaması gerekir. Her seferinde RDP sertifikası uyarısı gelmemesi için “Bu bilgisayara bağlantı için bir daha sorma” seçeneğini işaretleyebilirsiniz.

Bu durumda, RDP sertifikası parmak izi, bir istemcideki RDP bağlantı geçmişiyle birlikte kayıt defteri anahtarının CertHash parametresine kaydedilir (

HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client\Servers\

). RDP sunucusunun doğrulanamadığı uyarısını gizlediyseniz, ayarları sıfırlamak için sertifika parmak izini kayıt defterinden kaldırın.

Bağlantı kurmak için kendinden imzalı bir sertifika kullanılsa da, RDP oturumunuz güvenlidir ve trafiğiniz şifrelenir.

Bir Sertifika Yetkilisinde (CA) RDP Sertifika Şablonu Oluşturma

RDP bağlantılarının güvenliğini sağlamak için kurumsal bir sertifika yetkilisi tarafından verilen güvenilir bir SSL/TLS sertifikası kullanmayı deneyelim. Bir kullanıcı, bu sertifikayı kullanarak bağlanırken bir RDP sunucusunun kimliğini doğrulayabilir. Etki alanınızda zaten bir kurumsal Microsoft Sertifika Yetkilisinin dağıtıldığını varsayalım. Bu durumda, etki alanındaki tüm Windows bilgisayarlarına ve sunucularına sertifikaların otomatik olarak verilmesini ve bağlanmasını yapılandırabilirsiniz.

CA'nızdaki RDP/RDS ana bilgisayarları için yeni bir sertifika şablonu türü oluşturmalısınız:

  1. Sertifika Yetkilisi konsolunu çalıştırın ve Sertifika Şablonları bölümüne gidin;

  2. Bilgisayar sertifikası şablonunu çoğaltın (Sertifika Şablonları -> Yönet -> Bilgisayar -> Çoğalt);

  3. Genel sekmesinde, yeni sertifika şablonunun adını belirtin - RDPTemplate. Şablon Adı alanındaki değerin Şablon görünen adıyla
    eşleştiğinden emin olun;

  4. Uyumluluk sekmesinde, alanınızda kullanılan minimum istemci sürümünü belirtin (örneğin, CA için Windows Server 2008 R2 ve istemcileriniz için Windows 7). Böylece daha güçlü şifreleme algoritmaları kullanılacak;

  5. Ardından Uzantılar sekmesinin Uygulama Politikası bölümünde, sertifikanın kullanım kapsamını yalnızca Uzak Masaüstü Kimlik Doğrulaması ile sınırlayın (şu nesne tanımlayıcısını girin — 1.3. 6.1.4.1.311.54.1.2). Ekle -> Yeni'ye tıklayın, yeni bir politika oluşturun ve seçin;

  6. Sertifika şablonu ayarlarında (Uygulama İlkeleri Uzantısı), Uzak Masaüstü Kimlik Doğrulaması dışındaki tüm ilkeleri kaldırın;

  7. Bu RDP sertifika şablonunu alan denetleyicilerinizde kullanmak için Güvenlik sekmesini açın, Alan Denetleyicileri grubu ekleyin ve Kaydol ve Bunun için otomatik kayıt seçenekleri;

  8. Sertifika şablonunu kaydedin;

  9. Ardından, Sertifika Yetkilisi mmc ek bileşeninde Sertifika Şablonları klasörünü tıklayın ve Yeni -> Verilecek Sertifika Şablonu -> seçeneğini belirleyin oluşturduğunuz şablonu seçin (RDPTemplate );

Grup İlkesi Kullanılarak RDP SSL/TLS Sertifikaları Nasıl Dağıtılır?

Şimdi, yapılandırılan şablona göre bilgisayarlara/sunuculara otomatik olarak RDP sertifikaları atamak için bir etki alanı GPO'su yapılandırmanız gerekiyor.

Tüm etki alanı bilgisayarlarının kurumsal Sertifika Yetkilisine güvendiği varsayılır, yani kök sertifika, GPO kullanılarak Güvenilir Kök Sertifika Yetkililerine eklenmiştir.

  1. Etki Alanı Grup İlkesi Yönetim konsolunu (gpmc.msc) açın, yeni bir GPO nesnesi oluşturun ve RDP bağlantılarını güvenli hale getirmek için otomatik olarak TLS sertifikaları vermek üzere RDP/RDS sunucularını veya bilgisayarları içeren kuruluş birimine bağlayın;

  2. Aşağıdaki GPO bölümüne gidin Bilgisayar Yapılandırması -> İlkeler -> Yönetim Şablonları -> Windows Bileşenleri -> Uzak Masaüstü Hizmetleri -> Uzak Masaüstü Oturum Ana Bilgisayarı -> Güvenlik. Sunucu Kimlik Doğrulama Sertifikası Şablonu ilkesini etkinleştirin. Daha önce oluşturduğunuz CA şablonunun adını belirtin (RDPTemplate);

  3. Ardından aynı GPO bölümünde, Uzak (RDP) bağlantılar için belirli bir güvenlik katmanının kullanılmasını gerektir politikasını etkinleştirin ve bunun için SSL değerini ayarlayın;

  4. Bir RDP sertifikasını otomatik olarak yenilemek için GPO'nun Bilgisayar yapılandırması -> Windows ayarları -> Güvenlik Ayarları -> Genel Anahtar Politikaları bölümüne gidin ve Sertifika Hizmetleri İstemcisi - Otomatik Kayıt Özellikleri politikasını etkinleştirin. “Süresi dolmuş sertifikaları yenile, bekleyen sertifikaları güncelle ve iptal edilen sertifikaları kaldır ” ve “Sertifika şablonlarını kullanan sertifikaları güncelle ” seçeneklerini işaretleyin;

  5. İstemcilerinizin her zaman RDP sunucu sertifikasını doğrulamasını istiyorsanız, İstemci için Kimlik Doğrulamayı Yapılandır=Kimlik doğrulama başarısız olursa beni uyar politikasını (Bilgisayar Yapılandırması -> İlkeler -> Yönetim Şablonları -> Windows Bileşenleri -) yapılandırmanız gerekir. > Uzak Masaüstü Ayarları -> Uzak Masaüstü Bağlantı İstemcisi);

  6. Gerekirse güvenlik duvarı politikalarını kullanarak gelen RDP Bağlantı Noktası TCP/UDP 3389'u açın;

  7. Ardından, istemci bilgisayardaki grup ilkesi ayarlarını güncelleyin, bilgisayar sertifika konsolunu başlatın (

    Certlm.msc

    ) ve CA'nız tarafından verilen Uzak Masaüstü Kimlik Doğrulaması sertifikasının Kişisel -> Sertifikalar bölümünde göründüğünden emin olun.

Yeni Grup İlkesi ayarları uygulanmadıysa teşhis etmek için gpresult aracını ve bu makaleyi kullanın.

Yeni RDP sertifikasını uygulamak için Uzak Masaüstü Hizmetlerini yeniden başlatın:

Get-Service TermService -ComputerName mun-dc01| Restart-Service -force -verbose

Bundan sonra, RDP kullanarak bir sunucuya bağlanırken, sertifikanın güvenilir olduğunu doğrulamak için bir istek görmezsiniz (isteği görmek için, FQDN yerine IP adresini kullanmak üzere sertifikanın verildiği sunucuya bağlanın). Sertifikayı Görüntüle'yi tıklayın, Ayrıntılar sekmesine gidin ve Parmak İzi alanındaki değeri kopyalayın.

Sertifika Yetkilisi konsolunun Verilen Sertifikalar bölümünde, belirli Windows sunucusu/bilgisayar için bir RDPTemplate sertifikasının verildiğinden emin olabilirsiniz. Ayrıca sertifikanın Parmak İzi değerini de kontrol edin:

Ardından bu parmak izini Uzak Masaüstü Hizmeti tarafından kullanılan sertifika parmak iziyle karşılaştırın. RDS sertifikası parmak izinin değerini kayıt defterinde (HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations, TemplateCertificate parametresi) veya aşağıdakini kullanarak görüntüleyebilirsiniz. PowerShell komutu:

Get-WmiObject -Class "Win32_TSGeneralSetting" -Namespace root\cimv2\terminalservices|select SSLCertificateSHA1Hash

Ardından, herhangi bir Windows ana bilgisayarının uzak masaüstüne bağlanırken güvenilmeyen bir RDP sertifikası uyarısı görmezsiniz.

Bir RDP Dosyasını Güvenilir TLS Sertifikası Parmak İziyle İmzalama

CA'nız yoksa ancak kullanıcılarınızın bir RDP/RDS ana bilgisayarına bağlandıklarında uyarı görmelerini istemiyorsanız, sertifikayı kullanıcı bilgisayarlarındaki güvenilenlere ekleyebilirsiniz.

Yukarıda açıklandığı gibi RDP sertifikası parmak izinin değerini alın:

Get-WmiObject -Class "Win32_TSGeneralSetting" -Namespace root\cimv2\terminalservices|select SSLCertificateSHA1Hash

.RDP dosyasını RDPSign.exe aracıyla imzalamak için bu parmak izini kullanın:

rdpsign.exe /sha256 25A27B2947022CC11BAFF261234567DEB2ABC21 "C:\ps\mun-dc01.rdp"

Ardından bu parmak izini, GPO kullanan kullanıcı bilgisayarlarındaki güvenilir sertifikalara ekleyin. Bilgisayar Yapılandırması -> İlkeler -> Yönetim Şablonları -> Windows Bileşenleri -> Uzak Masaüstü Ayarları -> bölümünde Güvenilir .rdp yayıncılarını temsil eden sertifikaların SHA1 parmak izlerini belirtin politikasında parmak izlerini (noktalı virgülle ayrılmış) belirtin. Uzak Masaüstü Bağlantı İstemcisi.

Parola girmeden şeffaf RDP oturum açmayı yapılandırmak için (RDP Çoklu Oturum Açma), Varsayılan kimlik bilgilerine yetki vermeye izin ver politikasını yapılandırın ve içinde RDP/RDS ana bilgisayar adlarını belirtin (nasıl yapılacağı hakkında bu makaleye bakın) .

İlgili makaleler