如何让鳄梨酱与 RDP 证书一起使用？

Question

我花了很多时间尝试使用 Ignore server certificate = true 配置 RDP 连接。总是连接失败。

RDP 失败

我有一个 Windows Server 2022，其证书由我的 PKI 颁发，并且我在

$HOME/.freerdp/certs

目录中安装了 CA 根证书，但没有任何效果。我错过了一个步骤吗？

systemctl status guacd : 

guacd[9091]: Resize method: none` 
guacd[9091]: No clipboard line-ending normalization specified. Defaulting to preserving the format of all line endings.
guacd[9091]: User "@c28ba2ca-53a8-420f-8259-2950f6344169" joined connection "$b552c27f-b754-440b-8a96-f7e16aa5d994" (1 users now present) 
guacd[9091]: Loading keymap "base"  
guacd[9091]: Loading keymap "en-us-qwerty"  
guacd[9091]: Certificate validation failed  
guacd[9091]: RDP server closed/refused connection: SSL/TLS connection failed (untrusted/self-signed certificate?)  
guacd[9091]: User "@c28ba2ca-53a8-420f-8259-2950f6344169" disconnected (0 users remain) 
guacd[9091]: Last user of connection "$b552c27f-b754-440b-8a96-f7e16aa5d994" disconnected 
guacd[902]: Connection "$b552c27f-b754-440b-8a96-f7e16aa5d994" removed.

我尝试手动写入

$HOME/.freerdp/certs/know_host2

，它可以工作，但实际上并不是一个选择，因为我必须为所有机器执行此操作...

有人能够让它工作吗？我在互联网上搜索了几个小时，但没有人谈论除了忽略服务器证书之外的解决方案。

版本： FreeRDP2-dev 鳄梨酱 1.5.5

Answer 1

原因：

默认情况下，即使您通过 PKI/RootCA 颁发证书，Windows 也不会将其用于 RDP 连接，而是使用其自签名证书。我通过使用 Remina 并检查 Know_host2 文件发现了这一点。

解决方案：

让我们从鳄梨酱开始。从您的 PKI 或服务器导出您的 RootCA，没关系，然后将其发送到您的 Guacamole 服务器进入

/usr/local/share/ca-certificates

。一旦完成，

sudo update-ca-certificates

。这就是鳄梨酱的全部内容。现在，Windows。在这里您必须更改默认证书。为此，您必须选择：

GPO

• 手动
对于下一部分，我使用了我认为非常好的帖子：

https://aventistech.com/2019/08/08/replace-rdp-default-self-sign-certificate/

如何做：

就我个人而言，我是用 GPO 完成的，效果非常好。唯一的区别是，我创建了一个新的 GPO 和一个已经就位的模板。

这是我所做的一个简短版本。如果您想要完整版本，请使用上面的链接。

“转到

Computer Configuration\Policies\Administrative Templates\Windows Components\Remote Desktop Services\Remote Desktop Session Host\Security\Server Authentication Certificate Template

并输入您创建的模板名称”

“转到

Computer Configuration\Policies\Administrative Templates\Windows Components\Remote Desktop Services\Remote Desktop Session Host\Security\Require use of specific security layer for remote (RDP) connections

并将安全层更改为 SSL”

之后，执行

gpupdate /force

和

Restart-Service TermService -force

。最后，重新启动服务器或计算机。完成后，Guacamole 将能够与

ignore server certificate = false

 连接