O certificado RDP-TCP do Windows Server 2008 continua voltando para Auto gerado

Question

Nossos servidores passam por verificações periódicas de conformidade com o PCI e temos uma máquina do Windows 2008 que temos a porta 3389 aberta para o RDP. Ele é protegido por SSL, mas está falhando na varredura porque o teste deles diz:

 SOLUTION:
 Please install a server certificate signed by a trusted third-party Certificate Authority.
 RESULT:
 Certificate #0 unable to get local issuer certificate

Tanto quanto eu posso dizer, a razão pela qual sua falha é porque na ferramenta de configuração de serviços de terminal está usando um certificado criado localmente em vez daquele que recebemos do GeoTrust. Então, abro o assistente e ele diz que o certificado é "Gerado automaticamente". Clico no botão SELECT, altero para o que foi emitido pela GeoTrust e teco OK para salvar tudo ( captura de tela ). No entanto, eu desconecto a minha sessão RDP e reconecto e a sua volta para "Geração Automática". Eu até tentei excluir o certificado do snap-in MMC Local Computer Certificate e ele só continua se recriando toda vez que nos reconectarmos através do RDP. Eu posso "passar" a varredura passando por esses movimentos e reexecutando a varredura antes de efetuar login novamente com o RDP, mas isso não é uma solução permanente, já que essas varreduras são executadas todo mês.

Alguém pode me ajudar a descobrir como fazer com que o certificado SSL confiável da CA permaneça permanentemente?

Obrigado antecipadamente.

    

Answer 1

Bem, infelizmente ninguém foi capaz de ajudar e chegou a hora de eu ter que lidar com isso, então eu joguei com ele um pouco mais e finalmente encontrei algo que parece funcionar, então eu vou postar aqui no caso ajuda alguém.

Minha conexão remota estava se conectando diretamente ao endereço IP do meu servidor, em vez do nome no certificado SSL confiável. Então, quando eu mudei minhas configurações de conexão remota para se conectar ao nome confiável em vez do endereço IP, funcionou bem. Minha suposição é que quando você se conecta diretamente ao endereço IP, o gerenciador RDP-TCP procura por um certificado que corresponda e se ele não encontrar um, então ele retorna para o auto-gerado (e se isso não acontecer existe, então ele recria isso). Então, agora, quando eu o defino para o certificado confiável de terceiros e, em seguida, conecto usando o FQDN desse certificado, ele permanece ativo.

Então, agora a varredura passa sem bandeiras e eu estou pronto para ir.

    

Answer 2

Eu sei que este é um thread antigo, mas consegui que o gerenciador de Configuração de Host RDP mantivesse o certificado SSL, tornando-o "exportável" quando eu o importei para o IIS.

Apenas FYI.

    

Answer 3

Foi um certificado ruim. Você pode querer tentar importá-lo novamente. Além disso, verifique as autoridades de certificação raiz intermediárias e confiáveis para ver se a cadeia de certificados está completa. O RDP removerá qualquer certificado que não seja bom o suficiente.