Comment autoriser l'accès RDP basé sur le certificat client
Comment puis-je limiter (RDP) accès à un serveur Windows non seulement par nom d'utilisateur/mot de passe, mais également avec un certificat client?
Imaginez créer un certificat et copier cela à tous les ordinateurs à partir duquel je souhaite pouvoir accéder au serveur.
Cela ne serait pas aussi limité que les règles IP basées sur la propriété intellectuelle, mais ajouteraient une certaine flexibilité à l'autre car tous les ordinateurs/ordinateur portable ne sont pas dans un domaine ou une plage IP corrige.
Vous pouvez Configurer ipsec avec des certificats sur les machines touchées, éventuellement en conjonction avec la NAP et utilisez le pare-feu Windows à Filter le trafic de RDP qui arrive non crypté .
Voici une procédure pas à pas Pour un scénario similaire à votre demande, mais à l'aide de clés présparé au lieu de certificats.
Mais gardez à l'esprit que "créer un certificat et la copie à tous les ordinateurs" est une mauvaise idée de tout en soi - vous devez évidemment créer un certificat par client et configurer vos règles d'accès en conséquence. Cela garantit la confidentialité de vos connexions avec la possibilité de révoquer des certificats lorsqu'ils sont perdus/divulgués sans casser les connexions d'autres machines.
Modifier: Quelque chose qui pourrait sembler tentant est la configuration d'un passerelle de bureau à distance (essentiellement une passerelle de tunnel HTTPS pour RDP) et nécessite Authentification du certificat client lors de la configuration de la connexion SSL via IIS Propriétés (la passerelle est implémentée en tant qu'application ASP.NET dans IIS). Cela semble toutefois être non pris en charge par le client de bureau distant - il n'y a pas de moyen de fournir un certificat client pour une connexion proxée.
Une solution consiste à mettre en œuvre une solution de carte à puce. Probablement pas ce que vous recherchez en raison du seuil des coûts et de la douleur, mais de nombreuses cartes à puce sont en réalité que (des certificats basés sur le matériel avec une protection de clé privée forte), et l'intégration de bureau à distance est transparente.