微軟在 Windows Server 2003 SP1 中針對(duì)終端服務(wù)提供了SSL加密功能，它可以基于SSL（TLS 1.0）來(lái)實(shí)現(xiàn)以下兩個(gè)功能：
在啟用終端服務(wù)器的SSL加密功能時(shí)，當(dāng)RDP客戶(hù)向終端服務(wù)器發(fā)起連接時(shí)，終端服務(wù)器會(huì)向RDP客戶(hù)出示配置使用的服務(wù)器證書(shū)，而RDP客戶(hù)會(huì)檢查頒發(fā)此服務(wù)器證書(shū)的CA是否位于自己受信任的根證書(shū)頒發(fā)機(jī)構(gòu)列表中，如果存在則使用此服務(wù)器證書(shū)進(jìn)行后續(xù)的RDP加密通訊，如果不存在則根據(jù)RDP客戶(hù)的配置進(jìn)行處理，你可以選擇繼續(xù)和終端服務(wù)器進(jìn)行連接或者拒絕連接。
要使用終端服務(wù)器的SSL加密功能，對(duì)于終端服務(wù)器具有以下要求：
而對(duì)于RDP客戶(hù)端具有以下要求：
-
客戶(hù)端操作系統(tǒng)必須是 Windows 2000、Windows XP 或 Windows Server 2003；
-
客戶(hù)端的RDP客戶(hù)端連接組件版本必須為 RDP 5.2 以上，即必須為 Windows Server 2003 SP1 及其后版本中所帶的RDP客戶(hù)端連接組件；如果終端服務(wù)器要求SSL加密而客戶(hù)端的RDP客戶(hù)端連接組件版本低于 RDP 5.2，則RDP客戶(hù)端無(wú)法進(jìn)行連接；
-
如果頒發(fā)終端服務(wù)器使用的服務(wù)器證書(shū)的CA不在RDP客戶(hù)端所信任的CA列表中，那么RDP客戶(hù)端在連接終端服務(wù)器時(shí)會(huì)出現(xiàn)錯(cuò)誤提示，不過(guò)你可以選擇是否繼續(xù)進(jìn)行連接。
配置終端服務(wù)器使用SSL加密
首先，我們需要在終端服務(wù)器上申請(qǐng)一個(gè)有效的（即頒發(fā)此證書(shū)的CA必須位于終端服務(wù)器的受信任的根證書(shū)頒發(fā)機(jī)構(gòu)列表中）服務(wù)器身份驗(yàn)證證書(shū)，在此具體的申請(qǐng)過(guò)程我就不詳細(xì)進(jìn)行描述了，下面配置終端服務(wù)器。
點(diǎn)擊開(kāi)始，指向所有程序，點(diǎn)擊管理工具中的終端服務(wù)配置，
在彈出的終端服務(wù)配置連接對(duì)話框，右擊右邊詳細(xì)面板中的RDP-Tcp，選擇屬性；
然后在彈出的RDP-Tcp屬性對(duì)話框上，點(diǎn)擊常規(guī)頁(yè)中的編輯按鈕；
在選擇證書(shū)對(duì)話框上，選擇對(duì)應(yīng)的服務(wù)器身份驗(yàn)證證書(shū)，然后點(diǎn)擊確定；
在配置使用服務(wù)器身份驗(yàn)證證書(shū)后，就可以使用SSL加密功能了。在安全層欄選擇SSL，然后點(diǎn)擊確定；
此時(shí)終端服務(wù)器的配置已經(jīng)完成，將使用SSL（TLS 1.0）來(lái)進(jìn)行加密通訊。
配置RDP客戶(hù)端使用SSL加密
對(duì)于操作系統(tǒng)為 Windows Server 2003 SP1 之前的客戶(hù)端而言，要使用SSL加密的RDP通訊，首先必須安裝 RDP 5.2 版本的RDP客戶(hù)端連接組件。此組件的安裝文件位于 Windows Server 2003 SP1 操作系統(tǒng)中的 %systemdrivesystem32clientstsclientwin32 目錄下，你只需要將 msrdpcli.msi 文件復(fù)制到RDP客戶(hù)端上再運(yùn)行安裝即可，也可以點(diǎn)此鏈接下載此文件。
在安裝完成以后，點(diǎn)擊開(kāi)始，選擇所有程序中的遠(yuǎn)程桌面連接，然后在安全標(biāo)簽選擇是否使用基于SSL（TLS 1.0）的服務(wù)器身份驗(yàn)證：
-
無(wú)身份驗(yàn)證：RDP客戶(hù)端不要求終端服務(wù)器進(jìn)行服務(wù)器身份驗(yàn)證，當(dāng)使用這個(gè)選項(xiàng)時(shí)，RDP客戶(hù)端連接組件的行為和更低版本的RDP客戶(hù)端連接組件的行為一致，適用于終端服務(wù)器沒(méi)有使用SSL加密的場(chǎng)景，如果終端服務(wù)器已經(jīng)配置為使用SSL加密，則終端服務(wù)器會(huì)拒絕進(jìn)行連接；
-
試圖身份驗(yàn)證：RDP客戶(hù)端試圖要求但不是必須要求終端服務(wù)器進(jìn)行服務(wù)器身份驗(yàn)證，如果終端服務(wù)器并未配置為使用SSL加密或者頒發(fā)終端服務(wù)器所使用的服務(wù)器身份驗(yàn)證證書(shū)的CA并不位于RDP客戶(hù)端計(jì)算機(jī)的受信任的根證書(shū)頒發(fā)機(jī)構(gòu)列表中，RDP客戶(hù)端連接組件會(huì)進(jìn)行提示，但是你同樣可以選擇繼續(xù)進(jìn)行連接；
-
要求身份驗(yàn)證：RDP客戶(hù)端必須要求終端服務(wù)器進(jìn)行服務(wù)器身份驗(yàn)證，如果終端服務(wù)器并未配置為使用SSL加密或者頒發(fā)終端服務(wù)器所使用的服務(wù)器身份驗(yàn)證證書(shū)的CA并不位于RDP客戶(hù)端計(jì)算機(jī)的受信任的根證書(shū)頒發(fā)機(jī)構(gòu)列表中，RDP客戶(hù)端連接組件會(huì)拒絕進(jìn)行連接。需要注意的是，如果RDP客戶(hù)端所連接的目的地（服務(wù)器名或IP地址）和終端服務(wù)器上配置使用的服務(wù)器身份驗(yàn)證證書(shū)的公共名稱(chēng)不一致，則RDP客戶(hù)端組件會(huì)認(rèn)為所連接的終端服務(wù)器無(wú)法通過(guò)身份驗(yàn)證，從而會(huì)拒絕進(jìn)行連接。
當(dāng)成功使用SSL進(jìn)行RDP連接后，在全屏模式下，屏幕頂部的提示欄上會(huì)具有一個(gè)小鎖標(biāo)志，代表使用的是SSL加密連接，單擊它可以查看終端服務(wù)器所配置使用的服務(wù)器身份驗(yàn)證證書(shū)。
