RDP z własnym certyfikatem nie działa

RDP z własnym certyfikatem niedziałające wskazuje na niepoprawnie zaimportowany certyfikat do magazynu osobistego usługi Pulpitu zdalnego.

Charakterystyka problemu z własnym certyfikatem RDP

Błąd nawiązywania połączenia przez Pulpit zdalny z wykorzystaniem niestandardowego certyfikatu SSL/TLS pojawia się zazwyczaj wtedy, gdy usługa Remote Desktop Protocol nie jest w stanie prawidłowo zweryfikować lub odczytać przypisanego klucza kryptograficznego. W standardowej konfiguracji system Windows generuje certyfikat typu self-signed, który jest automatycznie powiązany z usługą. Wdrożenie własnego certyfikatu, wystawionego przez wewnętrzne lub publiczne centrum certyfikacji (CA), wymaga precyzyjnego umieszczenia go w odpowiednich magazynach systemowych oraz powiązania jego odcisku palca (thumbprint) ze słuchaczem RDP za pomocą rejestru lub poleceń środowiska PowerShell.

Przyczyny techniczne i różnice w magazynach kluczy

Kluczowym elementem poprawnego działania własnego certyfikatu jest nie tylko jego fizyczna obecność w magazynie komputera lokalnego, ale przede wszystkim uprawnienia do klucza prywatnego. Usługa sieciowa odpowiedzialna za obsługę połączeń RDP (konto Network Service) musi posiadać prawo do odczytu tego klucza. Jeśli certyfikat trafi do magazynu bieżącego użytkownika zamiast do gałęzi komputera lub zostanie zaimportowany bez wyeksportowanego klucza prywatnego, sesja zdalna zostanie natychmiast przerwana lub klient otrzyma powiadomienie o błędzie uwierzytelniania i niezgodności tożsamości hosta.

Typowe objawy i nieprawidłowości konfiguracyjne - RDP z własnym certyfikatem nie działa

Do najczęściej spotykanych problemów należą komunikaty o nieznanym wystawcy certyfikatu, błędy negocjacji protokołu TLS oraz samoczynny powrót systemu do domyślnego certyfikatu tymczasowego. Sytuacja taka ma miejsce, gdy certyfikat wygasł, nie posiada rozszerzenia Server Authentication (EKU z OID 1.3.6.1.5.5.7.3.1), nazwa podmiotu (CN lub SAN) nie odpowiada adresowi wywoływanemu przez klienta, bądź w konfiguracji WMI pominięto spacje w przekazywanym hashu certyfikatu.

Kiedy warto powierzyć konfigurację specjalistom - RDP z własnym certyfikatem nie działa

Samodzielna modyfikacja konfiguracji nasłuchu RDP, uprawnień kont systemowych oraz szablonów zabezpieczeń może prowadzić do całkowitego zablokowania zdalnego dostępu do stacji roboczej. W sytuacji, gdy standardowe procedury weryfikacji magazynu certyfikatów zawodzą, warto skorzystać z pomocy technicznej. Na wykonane usługi konfiguracyjne i naprawcze udzielana jest gwarancja do 12 miesięcy z zachowaniem standardu stosowania wyłącznie nowych części w przypadku konieczności wymiany podzespołów sieciowych.