RDP og RD Gateway: SSL-certifikat opsætning

En typisk Remote Desktop-opsætning med gateway har flere komponenter, der hver kræver certifikater:

Certifikatkrav

Uden simple-acme afhænger det af opsætningen, hvor du installerer certifikatet:

Trin og kommandoer følger Microsoft Learn, og hvert underafsnit linker til den side, det bygger på. Erstat THUMBPRINT med certifikatets thumbprint og værtsnavnene med dine egne.

1. RDP-lytteren på én server (Win32_TSGeneralSetting)

RDP-lytteren finder sit certifikat via thumbprint-værdien i egenskaben SSLCertificateSHA1Hash i WMI-klassen Win32_TSGeneralSetting i namespace Root\CimV2\TerminalServices. Microsoft beskriver metoden til en server, der ikke er en del af et RDS-deployment.

1. 1 Importér certifikatet med den private nøgle i lageret Personal for computerkontoen (certlm.msc). Ligger det ikke der, fejler kommandoen i trin 4 med Invalid Parameter.
2. 2 Åbn certifikatet, vælg fanen Details og kopiér værdien i Thumbprint. Fjern alle mellemrum. På Windows Server 2012 R2 og ældre kan den kopierede værdi indeholde et usynligt tegn; indsæt den i en kommandoprompt for at se tegnet, og fjern det.
3. 3 Giv NETWORK SERVICE læseadgang til den private nøgle, fordi Remote Desktop kører under den konto. I certlm.msc: fold Personal ud, højreklik på certifikatet, vælg All Tasks → Manage Private Keys, vælg Add, skriv NETWORK SERVICE, vælg OK, sæt flueben i Read under Allow og vælg OK.
4. 4 Sæt thumbprint-værdien på RDP-lytteren med Windows PowerShell:

Get-WmiObject -class "Win32_TSGeneralSetting" -Namespace root\cimv2\terminalservices | Set-WmiInstance -Arguments @{SSLCertificateSHA1Hash="THUMBPRINT"}

Kør kommandoen i Windows PowerShell 5.1 (powershell.exe), fordi Get-WmiObject og Set-WmiInstance er fjernet i PowerShell 7 (pwsh.exe). På Windows Server 2012 og 2012 R2 viser Microsoft samme ændring med wmic i en kommandoprompt:

wmic /namespace:\\root\cimv2\TerminalServices PATH Win32_TSGeneralSetting Set SSLCertificateSHA1Hash="THUMBPRINT"

Microsoft har markeret wmic som forældet (deprecated) fra Windows Server 21H1 og henviser til PowerShell i stedet.

Kontrollér resultatet ved at læse klassen med Get-WmiObject alene. SSLCertificateSHA1Hash skal vise din thumbprint-værdi, og SSLCertificateSHA1HashType skal være 3 (Custom). 1 betyder, at RDP-lytteren stadig bruger det selvsignerede standardcertifikat.

Get-WmiObject -class "Win32_TSGeneralSetting" -Namespace root\cimv2\terminalservices

Kilder: Remote Desktop listener certificate configurations ↗, Win32_TSGeneralSetting class ↗, wmic ↗, Get-WmiObject (PowerShell 5.1) ↗, Differences between Windows PowerShell 5.1 and PowerShell 7.x ↗ (Microsoft Learn).

2. RDS-deployment via Server Manager

I et RDS-deployment med RD Connection Broker sætter du certifikaterne samlet. Server Manager importerer certifikatet på alle servere i installationen og binder det til deres roller. Certifikatet skal være udstedt til Server Authentication, have tillid hos både servere og klienter og have en privat nøgle, der kan eksporteres. Du skal bruge det som en .pfx-fil med den private nøgle og tilhørende adgangskode.

1. 1 Vælg Remote Desktop Services i venstre rude i Server Manager. På fanen Overview, under Deployment Overview, vælger du TASKS → Edit Deployment Properties.
2. 2 Vælg Certificates. Tabellen viser rolletjenesterne RD Gateway, RD Web Access og de to RD Connection Broker-rolletjenester (Enable Single Sign On og Publishing).
3. 3 Vælg en rolletjeneste og derefter Select existing certificate. Vælg Browse, åbn .pfx-filen og skriv adgangskoden.
4. 4 Sæt flueben i Allow the certificate to be added to the Trusted Root Certification Authorities certificate store on the destination computers og vælg OK.
5. 5 Vælg Apply, og vent, til certifikatet er anvendt. Gentag trin 3 til 5 for hver rolletjeneste.

I Microsofts deployment-vejledning bruger RD Gateway og RD Web Access det eksterne FQDN, og de to RD Connection Broker-rolletjenester bruger det interne FQDN for RD Connection Broker-serveren. Efter et certifikatskifte kan det være nødvendigt selv at genstarte tjenesten TSGateway på hver RD Gateway-server. Til RDP-lytteren på RD Session Host-serverne henviser Microsoft til metoden i underafsnit 1.

Kilder: Use certificates in Remote Desktop Services ↗, Deploy your Remote Desktop environment ↗, Add high availability to the RD Web and Gateway web front ↗ (Microsoft Learn).

3. RD Gateway Manager

Importér certifikatet på gateway-serveren i RD Gateway Manager:

1. 1 Vælg Remote Desktop Services → Servers i Server Manager. Højreklik på serveren, og vælg RD Gateway Manager.
2. 2 Højreklik på navnet på RD Gateway-serveren i venstre rude, og vælg Properties.
3. 3 På fanen SSL Certificate vælger du Import a certificate into the RD Gateway og derefter Browse and Import Certificate.
4. 4 Vælg .pfx-filen, vælg Open, og skriv adgangskoden. Fanen viser derefter certifikatets oplysninger.

Microsoft anbefaler et offentligt udstedt certifikat på RD Gateway, fordi klienterne forbinder udefra. Med et certifikat fra en privat CA skal alle klienter have tillid til kæden på forhånd.

Kilde: Deploy the Remote Desktop Gateway role ↗ (Microsoft Learn).

4. Set-RDCertificate (PowerShell)

Set-RDCertificate fra modulet RemoteDesktop importerer et certifikat, eller anvender et allerede installeret, til en RDS-rolle. Kør den i en PowerShell-session startet som administrator på en computer med RDS-administrationsværktøjerne (RSAT) og den rolle, du konfigurerer. -Role tager RDGateway, RDWebAccess, RDRedirector eller RDPublishing; kør kommandoen én gang for hver rolle, du bruger. Uden -ConnectionBroker bruger kommandoen den lokale computers FQDN.

Importér en .pfx-fil. Microsofts eksempel sætter RDWebAccess; erstat PathToPFXFile med den fulde sti til filen, og skift Role for de andre roller:

$password = Read-Host -AsSecureString -Prompt "Enter Password"
$parameters = @{
  Role        = "RDWebAccess"
  Password    = $password
  ImportPath  = "PathToPFXFile"
}
Set-RDCertificate @parameters

Brug et certifikat, der allerede er installeret (Windows Server 2019 og nyere). Microsofts eksempel sætter RDRedirector. Certifikatet skal ligge i LocalMachine\My på hver server, der kører rollen:

Set-RDCertificate -Role RDRedirector -Thumbprint THUMBPRINT -ConnectionBroker "rdcb.intern.dk"

Kontrollér resultatet. Get-RDCertificate viser subject, thumbprint, udløbsdato og niveau for hver rolle; et offentligt certifikat har niveauet Trusted.

Get-RDCertificate -ConnectionBroker "rdcb.intern.dk"

Kilder: Set-RDCertificate ↗, Get-RDCertificate ↗, Use certificates in Remote Desktop Services ↗ (Microsoft Learn).

Et almindeligt scenarie: RD Gateway og RDP-serveren bruger samme offentlige FQDN (f.eks. rdp.example.dk). Klienten forbinder til gateway via det offentlige DNS, og gateway skal viderestille til den interne RDP-server. Men gateway kan ikke resolve rdp.example.dk til den interne server, fordi offentlig DNS peger på gatewayen selv.

Løsningen er en hosts-fil entry på gateway-serveren:

# C:\Windows\System32\drivers\etc\hosts på RD Gateway-serveren
10.0.1.50    rdp.example.dk

Nu resolver gateway rdp.example.dk til den interne IP (10.0.1.50) og viderestiller RDP-trafikken korrekt. Klienten ser kun rdp.example.dk og behøver ikke kende den interne IP.