如何为Windows 10的远程桌面（RDP）连接提供经过验证的服务器证书

您可以将此主机设置为使用并提供您的（现有的，购买的）外部验证的SSL证书，从而（说明可能也适用于Windows 8和8.1，可能适用于Windows 7，也可能不适用）（部分内容基于Microsoft KB 2001849）：

首先，您需要购买正版的经过验证的ssl证书。

如果您具有pkcs12格式文件（例如pfx扩展名）中的此证书，则可以使用Linux或Cygwin查看SHA1指纹（因此，您将在下面需要它）：

openssl pkcs12 -in mysite.pfx -nodes|openssl x509 -noout -fingerprint

或者，如果您的Linux服务器中有单独的证书文件，位于/etc/ssl（/etc/ssl/certs/mysite.crt、/etc/ssl/mysite.ca-bundle和/etc/ssl/private/mysite.key ），您可以创建pfx文件并获取SHA1指纹，从而：

1. 如果您没有证书，请为其创建pfx文件（此处为：mysite.pfx）–在请求时设置一个好的密码：

   sudo openssl pkcs12  -export -out mysite.pfx -inkey /etc/ssl/private/mysite.pem -in /etc/ssl/certs/mysite.crt -certfile /etc/ssl/mysite.ca-bundle
   

2. 根据需要移动或复制此pfx文件，以便Windows主机可以访问它。

3. 查看密钥的SHA1指纹（您将在下面使用此指纹）：

openssl x509 -in /etc/ssl/certs/mysite.crt -noout -fingerprint

将pkcs12格式（例如pfx）文件导入Windows主机的个人证书存储中：

1. 开始>运行> mmc
2. 文件>添加删除管理单元>证书>添加>计算机帐户>本地计算机>确定
3. 在左侧窗口中，右键单击“证书（本地计算机）个人”，选择“所有任务/导入…”。
4. 找到pfx文件并导入它，出于安全原因，我建议您不要使其可导出。
5. 扩展您的个人/证书，您现在应该看到3个证书，其中之一是您的站点证书（例如，mysite.com）。右键单击此站点证书，然后单击鼠标右键，选择“所有任务” /“管理私钥”。
6. 添加仅具有读取权限（不是完全控制）的用户“网络服务”，然后应用
7. 关闭mmc

使用regedit在处添加一个名为SSLCertificateSHA1Hash的新二进制值HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp。它需要的值是上面获得的证书的SHA1指纹：右键单击新值，选择“修改”，然后依次键入十六进制代码（没有冒号，空格或逗号，字母不区分大小写）–总共20个十六进制对（40个字符）。

您可能需要重新启动主机，或重新启动远程桌面服务（从Services.msc），然后才能运行。

现在，使用正确的站点名称（例如，mysite.com）与该主机建立远程桌面连接后，您应该在顶部连接栏的左侧看到一个锁定的挂锁：单击此按钮可显示该远程服务器的身份计算机已验证。从Internet一直打开到该主机的端口现在应该通过PCI-DSS 3.1主机名测试。