Pour renforcer la sécurité de votre Windows Server, en changeant simplement le RDP Le port TCP n'est pas suffisant. Dans cet article, nous verrons comment configurer le port TCP. Passerelle de bureau à distance (RDG) dans un domaine Active Directory, permettant une connexion sécurisée RDP accès via SSL sans avoir besoin de déployer un VPN.
Qu'est-ce que la passerelle Bureau à distance ?
La passerelle Bureau à distance est une Windows Server rôle qui fournit une connexion sécurisée au serveur via RDP via un tunnel chiffré SSL. Le principal avantage de cette solution est que les utilisateurs distants peuvent se connecter aux ressources du réseau interne sans déployer de protocole SSL. VPN.
Depuis que Windows Server 2008 R2, les services Terminal Server ont été renommés en services Bureau à distance.
Avantages de la passerelle de bureau à distance
- Connexion sécurisée: Le cryptage SSL protège les données lors des sessions à distance.
- VPN-Accès gratuit : Les utilisateurs distants accèdent aux ressources du réseau interne sans VPN.
- Contrôle d'Accès : Configurez les politiques d’autorisation pour contrôler qui et comment peut se connecter.
- Travaux derrière Firewalls et NAT: Permet l'accès aux ressources situées derrière des pare-feu.
- Configuration flexible : Gérez la redirection des appareils et des lecteurs et choisissez les méthodes d'authentification (mot de passe ou carte à puce).
- Surveillance et audit : Enregistrez les événements tels que les tentatives de connexion infructueuses à des fins d'audit.
Le serveur de passerelle Bureau à distance doit être associé à un domaine Active Directory. Sa configuration requiert des privilèges d'administrateur de domaine.
Installation du rôle de passerelle Bureau à distance
- Ouvrez Gestionnaire de serveur.
- Choisir Ajouter des rôles et des fonctionnalités.
- Choisissez Installation basée sur des rôles ou des fonctionnalités.
- Sélectionnez le serveur cible.
- Sous Rôles du serveur, cochez Services de bureau à distance.
- Dans la section Services de rôle, sélectionnez Passerelle Bureau à distance.
- Confirmez et cliquez Installer.
Configuration des politiques d'autorisation de connexion et de ressources
- Ouvrez Gestionnaire de passerelle de bureau à distance.
- Dans le volet de gauche, développez le nom de votre serveur - Politiques internes - Politiques d'autorisation de connexion.
- Dans le volet de droite, sélectionnez Créer une nouvelle politique - Wizard.
- Choisissez l'option recommandée :
Créer une politique d'autorisation des connexions au bureau à distance et d'autorisation des ressources du bureau à distance. Cliquez sur Suivant. - Saisissez un nom de politique (de préférence en anglais).
- Choisissez les méthodes d'authentification ; généralement, sélectionnez Mot de passe seulement.
- Ajoutez des groupes autorisés à se connecter en cliquant Ajouter un groupe... - Avancé - Trouver maintenant - sélectionner des groupes comme Administrateurs de domaine.
- Activez la redirection de l'appareil si nécessaire.
- Définissez les valeurs de délai d'expiration de session et d'inactivité (en heures).
- Vérifiez et confirmez les paramètres.
- Configurez Politiques d'autorisation des ressources de même en spécifiant le nom de la politique, les groupes d'utilisateurs et les ressources réseau (par exemple, les contrôleurs de domaine).
- Spécifie le RDP port (la valeur par défaut est 3389 ; modifiez-la si nécessaire).
- Terminez l'assistant.
Installation d'un certificat SSL
- In Gestionnaire de passerelle de bureau à distance, sélectionnez votre serveur dans le volet de gauche.
- Dans la fenêtre principale, cliquez sur Afficher et modifier les propriétés du certificat.
- Sur le Certificat SSL , sélectionnez Créer un certificat auto-signé et cliquez sur Créer et importer un certificat...
Vous pouvez également importer un certificat existant (auto-signé ou provenant d'un tiers comme Comodo). - Confirmer la création et l'application du certificat.
- Il est recommandé de changer le port SSL par défaut (443) pour une meilleure sécurité :
Dans le menu, sélectionnez Actions - Propriétés - Paramètres de transport, définissez le nouveau port et appliquez. Confirmez les modifications.
Connexion via la passerelle Bureau à distance
- Ouvrez le client Bureau à distance (mstsc.exe).
- Rendez-vous dans la section Avancé onglet → Paramètres.
- Choisissez Utilisez ces paramètres du serveur RD Gateway.
- Saisissez le nom de domaine du serveur de passerelle et le port SSL (séparés par deux points), définissez l'authentification sur Demander un mot de passe. Cliquez sur OK.
- Passer à la Généralités onglet, entrez l'adresse de l'ordinateur cible et le nom d'utilisateur.
- Cliquez à nouveau Connexion et entrez votre mot de passe lorsque vous y êtes invité.
- Vous pouvez vérifier la connexion avec le tracert commander.
Conclusion
La configuration de la passerelle Bureau à distance garantit un accès à distance sécurisé aux ressources du réseau interne sans avoir besoin d'un VPNGrâce au chiffrement SSL et aux politiques d'autorisation personnalisables, RD Gateway offre une protection fiable et flexible, notamment dans les environnements Active Directory. Utilisez toujours des certificats de confiance et envisagez de modifier les ports par défaut pour renforcer la sécurité.
QFP
1. La passerelle Bureau à distance doit-elle être installée dans un domaine Active Directory ?
Oui, le serveur RD Gateway doit être joint à un domaine et la configuration nécessite des privilèges d’administrateur de domaine.
2. La passerelle RD peut-elle être utilisée sans VPN?
Oui, RD Gateway fournit un accès à distance sécurisé via SSL sans VPN.
3. Comment modifier le port SSL utilisé par RD Gateway ?
Dans le Gestionnaire de passerelle Bureau à distance, accédez à Actions → Propriétés → Paramètres de transport, et spécifiez un nouveau port.
4. Puis-je restreindre l’accès à RD Gateway à des utilisateurs spécifiques ?
Oui, les politiques d’autorisation de connexion permettent de spécifier des groupes d’utilisateurs et des conditions d’accès.
5. Que faire si je n’ai pas de certificat SSL de confiance ?
Vous pouvez créer un certificat auto-signé via RD Gateway Manager, mais pour un accès externe, il est préférable d'utiliser un certificat provenant d'une autorité de certification de confiance.
