هشدار گواهی ریموت دسکتاپ چیست؟ چطور هویت سرور ویندوزی را بررسی کنیم؟

هنگام اتصال به سرور ویندوزی، Remote Desktop هشدار می‌دهد که نمی‌تواند گواهی یا هویت رایانه مقصد را تأیید کند. این هشدار می‌تواند به گواهی خودامضا، نام متفاوت سرور، تاریخ نامعتبر یا زنجیره اعتماد مربوط باشد. در عین حال ممکن است نشانی اشتباه یا تغییر غیرمنتظره در مسیر اتصال وجود داشته باشد.

روی «اتصال در هر صورت» و «دیگر هشدار نده» عجله نکنید. ابتدا مشخص کنید به چه سروری متصل می‌شوید و گواهی ارائه‌شده واقعاً متعلق به همان سرور است. مقایسه یک مقدار از طریق همان اتصال مشکوک به‌تنهایی هویت را ثابت نمی‌کند.

وقتی فایل .rdp را باز می‌کنید، ممکن است درباره ناشناس‌بودن ناشر فایل اتصال هم هشدار ببینید. آن هشدار به سازنده فایل و منابع محلی درخواستی مربوط است؛ هشدار گواهی سرور مربوط به هویت مقصد است. هر دو را جداگانه بررسی کنید. راهنمای مایکروسافت درباره هشدار فایل‌های RDP می‌گوید فایل می‌تواند درخواست دسترسی به منابع محلی داشته باشد.

اگر نشانی مقصد را نمی‌شناسید یا فایل از منبع غیرمنتظره رسیده، اتصال را لغو و از راه مستقل با مدیر سرویس تأیید کنید. درایو محلی و کلیپ‌بورد را فقط در صورت نیاز و برای مقصد مورد اعتماد در اختیار نشست بگذارید.

نام یا IP واردشده را با اطلاعات رسمی سرور مقایسه کنید. اگر گواهی برای server.example.com صادر شده اما شما با IP وارد می‌شوید، ممکن است نام گواهی با نشانی اتصال تطبیق نکند. استفاده از نام درست فقط زمانی مناسب است که DNS آن را به سرور مورد انتظار برساند و مدیر سرویس آن نام را تأیید کند.

در پنجره هشدار، اگر گزینه مشاهده گواهی وجود دارد، نام، تاریخ اعتبار، صادرکننده و جزئیات خطا را ببینید. این بررسی فقط اطلاعات می‌دهد؛ گواهی را هنوز به مخزن اعتماد دستگاه اضافه نکنید. ساعت و تاریخ دستگاه خود را نیز بررسی کنید، زیرا ساعت نادرست می‌تواند ارزیابی اعتبار را مختل کند.

مدیر سرور می‌تواند از کنسول مدیریتی مجاز یا سامانه مدیریت گواهی، اثر انگشت گواهی‌ای را که واقعاً به listener ریموت متصل است استخراج کند. اثر انگشت را از یک راه مستقل و مورد اعتماد، مانند پنل تأییدشده یا تماس با مدیر شناخته‌شده، دریافت کنید و با مقدار پنجره اتصال مقایسه کنید.

همسان‌بودن اثر انگشت و تأیید مستقل مدیر می‌تواند به شناسایی همان گواهی کمک کند، ولی به‌تنهایی مشکلات تاریخ، نام یا اعتماد زنجیره را برطرف نمی‌کند. اگر مقدار تغییر کرده و مدیر تغییر را تأیید نمی‌کند، اتصال را ادامه ندهید تا علت روشن شود. کلید خصوصی گواهی هرگز برای این مقایسه لازم نیست و نباید ارسال شود.

Windows Server ممکن است برای listener از گواهی خودامضا یا گواهی صادرشده توسط مرجع استفاده کند. مستند مایکروسافت درباره گواهی listener ریموت ارتباط گواهی و اثر انگشت listener را توضیح می‌دهد. گواهی سایت HTTPS لزوماً همان گواهی RDP نیست.

اگر نام اشتباه وارد شده، پس از تأیید مدیر از نامی استفاده کنید که هم به سرور درست می‌رسد و هم در گواهی معتبر وجود دارد. اگر گواهی خودامضاست، هشدار اعتماد می‌تواند انتظارپذیر باشد، اما «خودامضا» به معنی امن‌بودن خودکار اتصال نیست؛ هویت باید مستقل تأیید شود.

برای راه‌حل پایدار، مدیر می‌تواند مطابق معماری سرویس از گواهی مناسب احراز هویت سرور و نام صحیح استفاده کند و زنجیره اعتماد را برای کلاینت‌های مجاز فراهم کند. در محیط سازمانی، توزیع مرجع اعتماد باید با سیاست امنیتی سازمان انجام شود. گواهی ناشناسی را صرفاً برای حذف هشدار به مخزن Trusted Root اضافه نکنید؛ این کار سطح اعتماد گسترده‌ای ایجاد می‌کند.

اگر گواهی منقضی است، مدیر باید آن را با گواهی معتبر مناسب جایگزین و اتصال آن به listener را بررسی کند. تغییر گواهی یا راه‌اندازی مجدد سرویس ریموت ممکن است نشست‌ها را مختل کند؛ قبل از کار، دسترسی کنسول، تنظیم قبلی و برنامه بازگشت آماده باشد. حذف تصادفی گواهی یا تغییر رجیستری روی سرور زنده می‌تواند دسترسی را قطع کند.

نصب مجدد یا تغییر گواهی ممکن است اثر انگشت را تغییر دهد، اما صرف وقوع این تغییر توضیح کافی برای پذیرفتن گواهی جدید نیست. از مدیر بخواهید زمان تغییر و اثر انگشت تازه را از مسیر مستقل تأیید کند. اگر زمان تغییر با رخداد برنامه‌ریزی‌شده نمی‌خواند، اول علت را بررسی کنید.

اگر پیام درباره اختلاف ساعت و اتصال به دامنه سازمان است، ممکن است مسئله فقط گواهی نباشد. نسخه ویندوز، متن دقیق خطا و وضعیت ساعت و DNS را با مدیر دامنه بررسی کنید. خطای CredSSP نیز مسیر جداگانه‌ای دارد و نباید با خاموش‌کردن احراز هویت رفع شود.

با نام درست و کلاینت به‌روز دوباره متصل شوید. گواهی ارائه‌شده باید با هویت تأییدشده، تاریخ معتبر و سیاست اعتماد محیط سازگار باشد. از یک دستگاه مجاز دیگر نیز نتیجه را مقایسه کنید. اگر هنوز هشدار می‌بینید، متن آن، نام مقصد و اثر انگشت عمومی را از مسیر امن برای مدیر بفرستید؛ رمز، کلید خصوصی و اطلاعات کامل حساب را ارسال نکنید.

در سرور مجازی ایران، شیوه مدیریت گواهی و دسترسی کنسول به نسخه ویندوز و امکانات سرویس بستگی دارد. تا زمان روشن‌شدن هویت مقصد، اطلاعات ورود را در اتصال مشکوک وارد نکنید.