RDP Zugriff - trotz self signed Zertifikat keine Zertifikatsmeldung

[phatair 39]

Hallo zusammen,

 

irgendwie stehe ich gerade auf dem Schlauch und hoffe mir kann jemand helfen :)

 

Wir haben zwar eine eigene interne PKI und hier auch schon ein Template für die RDP Zertifikate erstellt, aber aktuell haben wir für die RDP Zugriffe noch keine Zertifikate verteilt/konfiguriert. Es ist also nur das self signed Zertifikat auf den jeweiligen Server vorhanden.

Nun würde ich erwarten, dass bei einem RDP Zugriff auf einen Server die bekannte Zertifikatsmeldung erscheint. Das tut es aber nicht. Ich kann mich einfach verbinden. 

Verbinde ich mich über die IP, kommt die Meldung und es wird das self signed Zertifikat erwähnt.

 

Nun habe ich die Info gefunden, dass (falls man bei der Zertifikatsmeldung "nicht noch mal Fragen" angehakt hat) der Hash Wert vom Zertifikat dann im RegKey HKEY_CURRENT_USER\SOFTWARE\Microsoft\Terminal Server Client\Servers gespeichert wird. Das habe ich geprüft, dort steht aber nichts drin.

 

Mich wundert nun, warum aktuell die Meldung bei uns nicht erscheint, wenn wir per DNS Name uns auf die Server per RDP schalten.

Hat jemand eine Idee woran das liegen kann? Kann man das irgendwo deaktivieren oder verstehe ich hier irgendwas falsch? ich habe auch schon das RemoteDesktop self signed Zertifikat auf einem Server gelöscht und neu erstellen lassen. Zugriff geht weiterhin ohne Zertifikatsmeldung.

 

Vielen Dank.

Grüße

[cj_berlin 1.323]

 

reg add "HKEY_CURRENT_USER\Software\Microsoft\Terminal Server Client" /v "AuthenticationLevelOverride" /t "REG_DWORD" /d 0 /f

 

würde für diesen Effekt sorgen

[phatair 39]

Hi Evgenij,

 

danke für den Tip.

Das heißt also wenn der RegKey AuthenticationLevelOverride mit dem Wert 0 besteht, kommt die Meldung nicht, richtig?

Aber der Key AuthenticationLevelOverride ist nicht vorhanden, somit sollte die Meldung doch erscheinen. Vor allem erscheint Sie auch, wenn ich per IP die RDP Verbindung aufrufe.

Nur per DNS Name wird die Warnung nicht angezeigt.

Nun kann man natürlich sagen, ist doch gut - aber ich würde gerne wissen warum Sie nicht angezeigt wird :)

Wir wollen dann die Zertifikate für die RDP Verbindung verteilen und so könnte ich gar nicht sehen ob jetzt das korrekte Zertifikat genommen wird, da die Meldung ja so oder so nicht erscheint.

[cj_berlin 1.323]

Sagt die Meldung beim Aufruf über IP, dass der Name nicht stimmt?

[phatair 39]

Es wird nicht gesagt das der Name nicht stimmt, sondern das dem Zertifikat nicht vertraut wird, da die Root CA nicht in den trusted root certificates vorkommt (was ja auch korrekt ist), wenn ich mich per IP verbinde, sehe ich , dass es vom Server selber für sich ausgestellt ist. 

Auch der Zertifizierungspfad stimmt nicht und ist self signed.

 

Ich könnte jetzt natürlich die Zertifikate für das RDP aktivieren und dann so prüfen ob das richtige Zertifikat gezogen wird.

Aber das erklärt dann trotzdem noch nicht warum ich keine Meldung beim self signed Zertifikat per DNS Namen erhalte :(

 

Aber wenn per IP dann das richtige Zertifikat (das von unserer PKI) gezogen wird, müsste es beim DNS Namen ja auch verwendet werden, oder?

 

bearbeitet 26. Mai 2023 von phatair

[cj_berlin 1.323]

Könnte es sein, dass die Verbindung über FQDN einfach per Kerberos abgesichert ist, und die Zertifikate keine Rolle spielen?

[phatair 39]

Hi Evgenij,

 

die Frage ist vielleicht etwas peinlich, aber wie kann ich das prüfen?

Bei uns ist RDP nur mit "Network Level Authentication" aktiviert, aber das hat ja erstmal nix mit Kerberos zu tun. 

Das was ich jetzt gefunden habe, scheint es ja nicht "out of the box" mit Kerberos abgesichert zu sein, daher würde ich jetzt bei uns mal sagen - das ist nicht der Fall.

[NorbertFe 2.045]

Man startet Mstsc, verbindet sich zum Server und klickt dann im blauen Band oben auf das Schloss. ;)

bearbeitet 30. Mai 2023 von NorbertFe

[phatair 39]

vor 1 Minute schrieb NorbertFe:

Man startet Mstsc, verbindet sich zum Server und klickt dann im blauen Band oben auf das Schloss. ;)

Danke - das war einfach :)

 

Am 26.5.2023 um 16:11 schrieb cj_berlin:

Könnte es sein, dass die Verbindung über FQDN einfach per Kerberos abgesichert ist, und die Zertifikate keine Rolle spielen?

Dann ist es bei uns tatsächlich über Kerberos abgesichert

 

Dann muss ich hier mal noch etwas Suchen, damit ich das verstehe. Scheint dann ja doch "out of the Box" zu funktionieren, da ich nicht wüsste das hier bei uns etwas in der Richtung konfiguriert wurde.

 

Dann erklärt es aber das Verhalten. Danke!

[cj_berlin 1.323]

Moin,

 

das *ist* die Out-Of-The-Box-Konfiguration für Domain Member  

[phatair 39]

Na sauber, dann hab ich ja mal schön mit Unwissenheit geglänzt 

Danke.

 

[daabm 1.356]

Jeder glänzt irgendwo, und früher war eh mehr Lametta 😂