创建自签名证书并为 Windows RDP（无域）信任它

Question

我可以使用 Windows RDP 远程控制我的家用 PC（通过 VPN），但我总是收到此警告：

我是否需要手动生成自签名证书并安装它？

或者这已经发生了，我可以相信它已经提供的那个吗？

“不再询问我是否连接到这台计算机”是这样做的吗？还是只是检查名称并完全绕过检查证书？

我还是想使用自签名证书进行验证。我只希望我的笔记本电脑信任自签名证书。

我在 Windows 10 上。

Answer 1

这个对话框至少有三种解决方案：

1. 选中Don't ask me again for connections to this computer 复选框
2. 将远程机器使用的证书安装到本地机器Trusted Root Certification Authorities存储中
3. 使用由计算机信任的人签名的证书

第一种选择是大多数人所做的，这样做完全没问题。它不会安装证书或完全信任它，但它会记住仅信任此证书用于 RDP 连接，并且仅信任具有所用主机名的计算机。

它在以下位置创建一个新的注册表项：

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Terminal Server Client\Servers\Computer-1

具有Certhash具有证书指纹的值。

如果删除此键，则会再次出现该对话框。

此例外仅适用于您当前的用户，同一台机器上的另一个用户必须做同样的事情。

第二种选择是实际信任自签名证书。您必须以Remote Desktop Connection提升的管理员身份启动，然后单击View certificate按钮，然后在下一页上Install Certificate...单击按钮。选择Local Machine和Browse...。使用Trusted Root Certification Authorities商店并完成导入过程。

使用此选项，计算机上的任何用户都可以 RDP 进入远程计算机而不会看到对话框，但您现在向计算机添加了一个新的 CA，这通常不是最好的主意，应该避免。如果有人入侵了远程计算机，他可以获得该证书并将您对它的信任用于其他目的。自签名 RDP 证书仅用于服务器身份验证，不能用于签署其他证书，但您永远不知道。

在远程计算机上启用 RDP 时，Windows 会自动创建此自签名证书，但它的有效期通常只有六个月，因此六个月后您必须重复选项一或二。

使用选项三，您可以获得有效期更长的证书，但它需要您拥有自己的 CA 或使用公共 CA。

我会坚持选项 1