RDP och RD Gateway: installera SSL-certifikat

En typisk Remote Desktop-miljö med gateway består av komponenter som var och en behöver ett certifikat:

Certifikatkrav

Utan simple-acme beror det på miljön var du installerar certifikatet:

Stegen och kommandona följer Microsoft Learn, och varje underavsnitt länkar till sidan det bygger på. Ersätt THUMBPRINT med certifikatets tumavtryck och värdnamnen med dina egna.

1. RDP-lyssnaren på en server (Win32_TSGeneralSetting)

RDP-lyssnaren hittar sitt certifikat via tumavtrycket i egenskapen SSLCertificateSHA1Hash i WMI-klassen Win32_TSGeneralSetting i namnrymden Root\CimV2\TerminalServices. Microsoft beskriver metoden för en server som inte ingår i en RDS-driftsättning.

1. 1 Importera certifikatet med den privata nyckeln till arkivet Personal för datorkontot (certlm.msc). Om det inte finns där misslyckas kommandot i steg 4 med Invalid Parameter.
2. 2 Öppna certifikatet, välj fliken Details och kopiera värdet i Thumbprint. Ta bort alla mellanslag. På Windows Server 2012 R2 och äldre kan det kopierade värdet innehålla ett osynligt tecken; klistra in det i en kommandotolk för att se tecknet, och ta bort det.
3. 3 Ge NETWORK SERVICE läsbehörighet till den privata nyckeln, eftersom Remote Desktop körs under det kontot. I certlm.msc: expandera Personal, högerklicka på certifikatet, välj All Tasks → Manage Private Keys, välj Add, skriv NETWORK SERVICE, välj OK, markera Read under Allow och välj OK.
4. 4 Ange tumavtrycket för lyssnaren med Windows PowerShell:

Get-WmiObject -class "Win32_TSGeneralSetting" -Namespace root\cimv2\terminalservices | Set-WmiInstance -Arguments @{SSLCertificateSHA1Hash="THUMBPRINT"}

Kör kommandot i Windows PowerShell 5.1 (powershell.exe), eftersom Get-WmiObject och Set-WmiInstance är borttagna i PowerShell 7 (pwsh.exe). För Windows Server 2012 och 2012 R2 visar Microsoft samma ändring med wmic i en kommandotolk:

wmic /namespace:\\root\cimv2\TerminalServices PATH Win32_TSGeneralSetting Set SSLCertificateSHA1Hash="THUMBPRINT"

Microsoft har markerat wmic som föråldrat (deprecated) från och med Windows Server 21H1 och hänvisar till PowerShell i stället.

Kontrollera resultatet genom att läsa klassen med enbart Get-WmiObject. SSLCertificateSHA1Hash ska visa ditt tumavtryck och SSLCertificateSHA1HashType ska vara 3 (Custom). 1 betyder att lyssnaren fortfarande använder det självsignerade standardcertifikatet.

Get-WmiObject -class "Win32_TSGeneralSetting" -Namespace root\cimv2\terminalservices

Källor: Remote Desktop listener certificate configurations ↗, Win32_TSGeneralSetting class ↗, wmic ↗, Get-WmiObject (PowerShell 5.1) ↗, Differences between Windows PowerShell 5.1 and PowerShell 7.x ↗ (Microsoft Learn).

2. RDS-driftsättning via Server Manager

I en RDS-driftsättning med RD Connection Broker anger du certifikaten för hela driftsättningen. Server Manager importerar certifikatet på alla servrar i driftsättningen och binder det till deras roller. Certifikatet ska vara utfärdat för Server Authentication, vara betrott av både servrar och klienter och ha en privat nyckel som kan exporteras. Du behöver det som en .pfx-fil med den privata nyckeln och tillhörande lösenord.

1. 1 Välj Remote Desktop Services i den vänstra rutan i Server Manager. På fliken Overview, under Deployment Overview, väljer du TASKS → Edit Deployment Properties.
2. 2 Välj Certificates. Tabellen visar rolltjänsterna RD Gateway, RD Web Access och de två rolltjänsterna för RD Connection Broker (Enable Single Sign On och Publishing).
3. 3 Välj en rolltjänst och sedan Select existing certificate. Välj Browse, öppna .pfx-filen och ange lösenordet.
4. 4 Markera Allow the certificate to be added to the Trusted Root Certification Authorities certificate store on the destination computers och välj OK.
5. 5 Välj Apply och vänta tills certifikatet har tillämpats. Upprepa steg 3 till 5 för varje rolltjänst.

I Microsofts driftsättningsguide använder RD Gateway och RD Web Access det externa FQDN:et, och de två rolltjänsterna för RD Connection Broker använder det interna FQDN:et för RD Connection Broker-servern. Efter ett certifikatbyte kan du behöva starta om tjänsten TSGateway manuellt på varje RD Gateway-server. För RDP-lyssnaren på RD Session Host-servrarna hänvisar Microsoft till metoden i underavsnitt 1.

Källor: Use certificates in Remote Desktop Services ↗, Deploy your Remote Desktop environment ↗, Add high availability to the RD Web and Gateway web front ↗ (Microsoft Learn).

3. RD Gateway Manager

Importera certifikatet på gatewayservern i RD Gateway Manager:

1. 1 Välj Remote Desktop Services → Servers i Server Manager. Högerklicka på servern och välj RD Gateway Manager.
2. 2 Högerklicka på namnet på RD Gateway-servern i den vänstra rutan och välj Properties.
3. 3 På fliken SSL Certificate väljer du Import a certificate into the RD Gateway och sedan Browse and Import Certificate.
4. 4 Välj .pfx-filen, välj Open och ange lösenordet. Fliken visar sedan certifikatets uppgifter.

Microsoft rekommenderar ett offentligt utfärdat certifikat på RD Gateway, eftersom klienterna ansluter utifrån. Med ett certifikat från en privat CA måste alla klienter lita på kedjan i förväg.

Källa: Deploy the Remote Desktop Gateway role ↗ (Microsoft Learn).

4. Set-RDCertificate (PowerShell)

Set-RDCertificate i modulen RemoteDesktop importerar ett certifikat, eller tillämpar ett redan installerat, för en RDS-roll. Kör den i en PowerShell-session som körs som administratör på en dator med RDS-administrationsverktygen (RSAT) och den roll du konfigurerar. -Role tar RDGateway, RDWebAccess, RDRedirector eller RDPublishing; kör kommandot en gång för varje roll du använder. Utan -ConnectionBroker använder kommandot den lokala datorns FQDN.

Importera en .pfx-fil. Microsofts exempel anger RDWebAccess; ersätt PathToPFXFile med den fullständiga sökvägen till filen och ändra Role för de andra rollerna:

$password = Read-Host -AsSecureString -Prompt "Enter Password"
$parameters = @{
  Role        = "RDWebAccess"
  Password    = $password
  ImportPath  = "PathToPFXFile"
}
Set-RDCertificate @parameters

Använd ett certifikat som redan är installerat (Windows Server 2019 och senare). Microsofts exempel anger RDRedirector. Certifikatet måste finnas i LocalMachine\My på varje server som kör rollen:

Set-RDCertificate -Role RDRedirector -Thumbprint THUMBPRINT -ConnectionBroker "rdcb.intern.se"

Kontrollera resultatet. Get-RDCertificate visar subject, tumavtryck, utgångsdatum och nivå för varje roll; ett offentligt certifikat har nivån Trusted.

Get-RDCertificate -ConnectionBroker "rdcb.intern.se"

Källor: Set-RDCertificate ↗, Get-RDCertificate ↗, Use certificates in Remote Desktop Services ↗ (Microsoft Learn).

RD Gateway och RDP-servern använder ofta samma publika FQDN (t.ex. rdp.example.se). Klienten ansluter till gatewayen via publik DNS, och gatewayen ska sedan vidarebefordra trafiken till den interna RDP-servern. Gatewayen kan dock inte slå upp rdp.example.se till den interna servern, eftersom den publika DNS-posten pekar på gatewayen själv.

Lägg därför till en rad i hosts-filen på gateway-servern:

# C:\Windows\System32\drivers\etc\hosts på RD Gateway-servern
10.0.1.50    rdp.example.se

Då slår gatewayen upp rdp.example.se till den interna IP-adressen (10.0.1.50) och vidarebefordrar RDP-trafiken dit. Klienten ser bara rdp.example.se och behöver inte känna till den interna IP-adressen.