我想确保用户连接尽可能安全。我们的 RDWeb 服务器有一个 .local 名称（对于这个问题，它将被称为 rdweb.contoso.local）和一个公共名称：rdweb.contoso.com
我们从 godaddy 获得了用于 RDWeb 网站 (rdweb.contoso.com) 的优质 SSL。当用户单击运行远程应用程序 A 时，它会连接到 rdweb 服务器。连接到 rdweb 服务器的连接框显示“...连接到 rdweb.contoso.local”，然后要求用户登录到 rdweb.contosto.local。成功登录后，会出现一个窗口询问用户是否要继续连接到 rdweb.contoso.local，因为无法验证。如果单击查看证书，您可以看到，对于该连接，我正在使用 IIS 中构建的自签名证书。这样安全吗？RDWeb 使用的远程应用程序是一个包含敏感员工信息的人力资源/工资单应用程序。
那么，自签名证书是否适合从 RDWeb 网站到 rdweb 服务器的连接？我们为 rdweb 网站本身 (rdweb.contoso.com) 提供了高级 SSL
如果自签名证书在这种情况下不安全，那么我该如何确保它安全？从 godaddy 购买 .local 的 SSL？
我们已经使用这个流程一段时间了，我刚好想到了连接的安全性。我知道它是加密的，而且我确实信任证书，因为我知道它来自服务器。只是想对此有一些想法。
感谢大家。
操作系统：server 2008 r2 Windows 7 和 2008 r2 活动目录环境 RDWeb 用户从外部位置登录到我们的本地网络的 RDWeb
答案1
此处的解决方案是让每个人都连接到 rdweb.contoso.com，并且永远不要使用 rdweb.contoso.local 地址。在大多数情况下，这将需要拆分 DNS 或 NAT 发夹/环回才能正常工作。
通过使用公共名称，您的 godaddy SSL 证书将正常工作。没有信誉良好的提供商会为您提供任何 *.local 地址的签名 SSL 证书，因为没有办法证明所有权（事实上，您并不拥有它，但只要它只在您的 LAN 上，即使其他人在他们的 LAN 上使用它也不会破坏任何其他东西）。
使用自签名证书是不好的 - 特别是因为它会训练用户完全忽略证书无效的警告。这使得诱骗某人连接到其他服务或劫持连接变得更容易。
假设您的 contoso.com DNS 在 godaddy，而您的 contoso.local DNS 在 active directory，您可以将 contoso.com 及其在 godaddy 的所有记录添加到您的 AD DNS 服务器。但是当您进入 rdweb 时，请输入私有地址，而不是公共 IP 地址。
或者只需让您的防火墙/NAT 设备允许来自 LAN 的连接通过公共地址进行连接即可。这通常称为 NAT 发夹、环回或其他一些类似名称。
答案2
使用自签名证书来提供互联网服务是不专业的。我们更信任 GoDaddy 或 Digicert 的证书，而不是您的自签名证书。它可以由颁发证书机构的在线验证服务器进行验证。您的自签名证书则不能。如果您的服务器受到威胁，有人窃取了您的私钥，他们可以伪造证书，并充当中间人，欺骗那些被告知要信任您的自签名证书的毫无戒心的用户。是的，使用自签名证书时，流量仍然是加密的，但这更多的是关于信任。
而且，您将自己的域名命名为 *.local，这也给自己带来了困难。