![何时使用 RDWeb 的自签名证书?](https://linux22.com/image/800013/%E4%BD%95%E6%97%B6%E4%BD%BF%E7%94%A8%20RDWeb%20%E7%9A%84%E8%87%AA%E7%AD%BE%E5%90%8D%E8%AF%81%E4%B9%A6%EF%BC%9F.png)
我想确保用户连接尽可能安全。我们的 RDWeb 服务器有一个 .local 名称(对于这个问题,它将被称为 rdweb.contoso.local)和一个公共名称:rdweb.contoso.com
我们从 godaddy 获得了用于 RDWeb 网站 (rdweb.contoso.com) 的优质 SSL。当用户单击运行远程应用程序 A 时,它会连接到 rdweb 服务器。连接到 rdweb 服务器的连接框显示“...连接到 rdweb.contoso.local”,然后要求用户登录到 rdweb.contosto.local。成功登录后,会出现一个窗口询问用户是否要继续连接到 rdweb.contoso.local,因为无法验证。如果单击查看证书,您可以看到,对于该连接,我正在使用 IIS 中构建的自签名证书。这样安全吗?RDWeb 使用的远程应用程序是一个包含敏感员工信息的人力资源/工资单应用程序。
那么,自签名证书是否适合从 RDWeb 网站到 rdweb 服务器的连接?我们为 rdweb 网站本身 (rdweb.contoso.com) 提供了高级 SSL
如果自签名证书在这种情况下不安全,那么我该如何确保它安全?从 godaddy 购买 .local 的 SSL?
我们已经使用这个流程一段时间了,我刚好想到了连接的安全性。我知道它是加密的,而且我确实信任证书,因为我知道它来自服务器。只是想对此有一些想法。
感谢大家。
操作系统:server 2008 r2 Windows 7 和 2008 r2 活动目录环境 RDWeb 用户从外部位置登录到我们的本地网络的 RDWeb
答案1
此处的解决方案是让每个人都连接到 rdweb.contoso.com,并且永远不要使用 rdweb.contoso.local 地址。在大多数情况下,这将需要拆分 DNS 或 NAT 发夹/环回才能正常工作。
通过使用公共名称,您的 godaddy SSL 证书将正常工作。没有信誉良好的提供商会为您提供任何 *.local 地址的签名 SSL 证书,因为没有办法证明所有权(事实上,您并不拥有它,但只要它只在您的 LAN 上,即使其他人在他们的 LAN 上使用它也不会破坏任何其他东西)。
使用自签名证书是不好的 - 特别是因为它会训练用户完全忽略证书无效的警告。这使得诱骗某人连接到其他服务或劫持连接变得更容易。
假设您的 contoso.com DNS 在 godaddy,而您的 contoso.local DNS 在 active directory,您可以将 contoso.com 及其在 godaddy 的所有记录添加到您的 AD DNS 服务器。但是当您进入 rdweb 时,请输入私有地址,而不是公共 IP 地址。
或者只需让您的防火墙/NAT 设备允许来自 LAN 的连接通过公共地址进行连接即可。这通常称为 NAT 发夹、环回或其他一些类似名称。
答案2
使用自签名证书来提供互联网服务是不专业的。我们更信任 GoDaddy 或 Digicert 的证书,而不是您的自签名证书。它可以由颁发证书机构的在线验证服务器进行验证。您的自签名证书则不能。如果您的服务器受到威胁,有人窃取了您的私钥,他们可以伪造证书,并充当中间人,欺骗那些被告知要信任您的自签名证书的毫无戒心的用户。是的,使用自签名证书时,流量仍然是加密的,但这更多的是关于信任。
而且,您将自己的域名命名为 *.local,这也给自己带来了困难。