Windows远程桌面协议（RDP）

Windows远程桌面协议（RDP）一直以来在安全方面都没能获得最好的声誉。但自从FIPS（联邦信息处理标准）的安全等级被添加到Windows Server  2003 SP1中，Windows远程桌面的安全性就得到了显著的提高。下面的步骤就是教你无论在任何时候使用Windows XP或Vista的客户端连接到一台Windows Vista的计算机时，如何实施FIPS级别的安全性能的方法。 
　　过去，Windows RDP总是由于它的安全性而遭到一些非议。但自从Windows Server 2003 SP1以来，其安全性较之过去就有了显著的提高。而现在，这种提高了的RDP技术也被添加到了Windows Vista中，它能够很好地走进每个家庭用户。下面我们就一起来看看如果你使用一台Windows XP或Vista的计算机做客户端，要如何安全地远程连接到一台Windows Vista的计算机上。 
　　 软件 要求 
　　RDP服务器（主机） 
　　RDP客户端计算机 
Windows Server 2003 SP1及其以上 Windows Vista的任何版本 Windows Vista Business版本 Windows XP以及RDP 6.0客户端 Windows Vista Ultimate版本 Windows Server 2003以及RDP 6.0 
　　安全配置Vista的RDP主机 
　　首先你需要做的事就是通过运行gpedit.msc来编辑组策略对象，如图1所示。 
 
　　图1 
　　打开了组策略对象编辑器之后，找到“计算机设置>管理模板>Windows组件>终端服务>终端服务器>安全”，如图2所示。 
　　  
　　图2 （点击看大图） 
　　接下来，设置“客户端连接加密级别”，如图3所示。 
　　  
　　图3 
　　如图4所示，设置“要求安全的RPC”通信。 
　　  
　　图4 
　　如图5所示，设置“远程（RDP）连接要求使用指定的安全层”为SSL (TLS 1.0)。 
　　  
　　图5 
　　现在，你必须找到组策略对象中的另一个部分，它处在“计算机配置>Windows设置>安全设置>本地策略>安全选项”，如图6所示。 
　　  
　　图6 （点击看大图） 
　　启用FIPS模式，如图7所示。 
　　  
　　图7 
　　在“ 系统 属性”窗口中，启用远程桌面，如图8所示。要注意的是，你设置它是允许任何RDP 6.0的客户端，而不是仅限于允许Vista的客户端。 
　　  
　　图8 
　　在所有的这些都配置好之后，你必须更新组策略，这样才能在不重启计算机的情况下实施新的设置。要做到这个你需要是用一个强制的GPUpdate，如图9所示。 
　　  
　　图9 
　　图10表示已经成功更新。 
　　  
　　图10 
　　安全地配置RDP 6.0客户端 
　　现在，是时候使用MSTSC命令打开RDP客户端的时候了，如图11所示。Windows 2003和XP用户必须下载安装RDP 6.0客户端，而Vista则已经具备了正确的客户端。在XP上，你还需要在你运行MSTSC命令之前打开“运行”。 
　　  
　　图11 
　　输入服务器的名字，要注意到这个初始过程应该是发生在LAN上的。例如，我们要进入一台名叫“jim-PC”RDP主机，如图12所示。这并不是一个完全合格的名称，因此目前它只能在同一个子网的LAN上工作。在此，可以将一个重新定向的条目输入到指向一个IP或动态DNS地址的主机文件中，这样你就能够访问“jim-PC”或任何你的机器在互联网上的名称。但现在，我们仅仅是先谈一下快速局域网。 
　　  
　　图12 
　　接下来，你必须展开“选项”，如图13所示。 
　　  
　　图13 
　　在如图14所示的“显示”选项卡中，设置你喜欢的显示选项。 
　　  
　　图14 
　　如图15所示，在“本地资源”选项卡中，你可以设定你想要的声音、打印机或者是剪贴板的工作。 
　　  
　　图15 
　　在“程序”选项卡中，你可以设定任何你想要在连接时自动启动的程序。 
　　  
　　图16 
　　现在，你可以在“经验”选项卡中设置你想要远程桌面看起来是什么样子。你所添加的特性越多，所占用的带宽也越多。 
　　  
　　图17 
　　在“高级”选项卡中，你可以设置RDP客户端在身份验证失败时向你发出警告以证明它的真实性。这样做可以在有黑客侵入你的连接时，你不致将用户证书拱手奉上。 
　　  
　　图18 
　　点击“设置”，你就可以配置如图19所示的选项。在此，我们的设置是选择“不使用TS网关服务器”。 
　　  
　　图19 
　　在你点击确定之后，请确保你返回到“常规”选项卡中，并点击“另存为”来保存你的登录设置文件。否则，在下一次，你还必须将以上的过程重复一遍。你可以将文件保存在桌面上以便更容易地访问到。 
　　现在，点击“连接”，你就会被提示输入用户名和密码。 
　　  
　　图20 
　　第一次连接的时候，你会被警示说这个服务器目前还是不可信任的。要改变这个情况，并使它能够受信，可以点击查看证书按钮。 
　　正如你在图21中所看到的那样，Vista RDP主机签发的证书的有效期是六个月。点击“安装证书”按钮，将其添加到CTL中。 
　　  
　　图21 
　　这时，证书导入向导会被打开，点击“下一步”。 
　　  
　　图22 
　　选择“将所有证书放入下列存储”，并点击“浏览”按钮，如图23所示。 
　　  
　　图23 
　　将“显示物理存储区”前的钩选框打钩，并选中“本地计算机”。 
　　  
　　图24 
　　回到证书存储屏幕，如图25所示，点击“下一步”。 
　　  
　　图25 
　　要完成导入过程，只需要点击“完成”按钮，如图26所示。 
　　  
　　图26 
　　接着你会看到导入成功的提示，点击“确定”即可。 
　　  
　　图27 
　　现在，你将能够安全地远程控制Vista的RDP主机，但更重要的是，以后连接到jim-PC都不会出现任何的警示标志甚至是密码提示。它只会以安全的方式进行连接，而任何警示标志都一定会引起你以鉴定的眼光去查看。 
　　当你尝试通过IP地址或公共互联网上的动态DNS条目连接到这个主机上时会发生什么呢？如果你尝试连接的主机名不是你之前所生成的证书的名称，这时你就会看到一个警示，但你可以设定它总是连接，只需要设定它在下一次连接到这台计算机时不再提示即可。 
　　但仅仅这么做还是不够的，接着你就会看到又出现的警示中会告诉你名称不匹配，证书上的服务器名也是有错误的。但这并不是件糟糕的事，你可以查看这个证书，它会告诉你是为“jim-PC”而设的，且是可以信任的。你看到这个警示仅仅是因为RDP客户端会将你所连接的计算机与证书上的计算机的名字进行比照。如果我选用ip地址来进行连接，那么它就会提示我与jim-PC是不匹配的。由于我是通过IP地址或是互联网上公共解析的DNS名来进行连接， 

而证书目前还是有效的，因此我知道我并没有受到欺骗。此时我可以放心地选择“确定”使它在任何时候都能够进行连接。为了避免将来再出现这样的错误，我需要编辑我的本地主机文件，将IP或DNS名称描绘为“jim-PC”。 

　　但是，如果有黑客传递给你伪造的证书那应该怎么办呢？如果是这样的话，你不仅会被尽是名称不匹配，证书也会被告知不是来自可信任的地方。这样的话，你就应该检查你的证书安装过程，警惕有些攻击者可能在试图欺骗你。此时你应该选择不去连接到服务器。如果你仍然选择总是连接，你就像黑客暴露了你的证书，他们很快就会对你进行词典式攻击而窃取你的密码。 
　　这一切看起来似乎是个有些复杂的过程，只是为了在进行一次RDP连接时不出现任何警示，但这是一个有效的方法能够进行安全并且可信任的远程连接。幸运的是，你只需要做这些事情一次，之后的连接就能保证安全且没有任何麻烦。无论你是否相信，你实际上是将你自己的PKI证书创建到了RDP主机上，并在客户端计算机上安装了一个证书权限。这种安全方法使用的是公共密钥授权机制，它是被用于电子商务交易中的技术。在企业级的系统上，整个过程的GPO设置以及数字证书实际上都能够通过使用活动目录组策略自动用于服务器和客户端，而现在你就明白它的一切是如何工作的。