所有连接都需要 RDP 上的 TLS

Question

我有一个 2008 DC 和一个 2008 AD CS 服务器和一个 Windows 7 客户端。我想要的是要求在 RDPing 到服务器时使用证书。

证书有效，如果我使用 FQDN 连接，我会看到我按预期通过了证书和 Kerberos 的身份验证。当我仅使用主机名连接时，我被允许连接并且仅通过 Kerberos 进行身份验证，即使我在 RDPing 的服务器上设置了 Require TLS 1.0。我完全理解除非通过 FQDN 访问服务器，否则证书将无效，我想要做的是禁止不使用证书和 Kerberos 的连接。

我认为设置 Require TLS 1.0 可以做到。我错过了什么？

Answer 1

1. 开始 -> 管理工具 -> 终端服务 -> 终端服务配置
2. 右键单击 RDP-Tcp 并选择属性
3. “安全层”默认为“协商”，必须改为“SSL (TLS 1.0)”
4. “加密级别”必须设置为“高”或“符合 FIPS”

参考：http : //technet.microsoft.com/en-us/library/cc782610(WS.10).aspx

编辑： Microsoft Technet 文章指出无法通过组策略启用 TLS。但是，我已经对 Process Monitor 和 Regedit 进行了一些实验，并确定您可以通过设置适当的注册表值来更改这些设置，如下所示。

要将最低加密级别设置为“高”而不是“客户端兼容”：

HKLM\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\MinEncryptionLevel REG_DWORD 值：3

要将安全层设置为“SSL (TLS 1.0)”而不是“Negotiate”：

HKLM\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\SecurityLayer
REG_DWORD 值：2