SSL-сертификат для RDP: как заменить самоподписанный в Windows, коротко и с данными
Конспект страницы: 4 раздела коротко, данные на 19 октября 2026 и ответы на 4 вопроса. Полный разбор с примерами: SSL-сертификат для RDP: как заменить самоподписанный в Windows.
Коротко
Главная / Установка / SSL для RDP SSL-сертификат для RDP убирает предупреждение о непроверенном удалённом компьютере: по умолчанию Windows защищает подключение самоподписанным сертификатом, а его можно заменить доверенным на имя сервера. Для этого сертификат импортируют в хранилище компьютера и привязывают к слушателю RDP по отпечатку. Windows защищает RDP самоподписанным сертификатом, поэтому клиент предупреждает о непроверенном сервере.
Конспект по разделам
Почему RDP предупреждает о сертификате при подключении
Служба удалённых рабочих столов при первом запуске создаёт сертификат на имя самого компьютера и подписывает его сама. Канал шифруется, но подлинность сервера никто не подтверждает, поэтому клиент спрашивает, продолжать ли подключение. Привыкнуть нажимать «да» опасно: подмену сервера по такому предупреждению не отличить.
Какой сертификат подходит для RDP
Клиент сравнивает имя, которое вы вводите в окне подключения, с именами в сертификате. Значит, подключаться нужно по rdp.example.com, а не по адресу, и это же имя должно стоять в сертификате. Сертификат на сам IP-адрес получить сложнее: SSL для IP-адреса.
- Имя сервера направлено на его публичный адрес A-записью.
- Назначение сертификата: проверка подлинности сервера.
- Закрытый ключ существует на сервере.
Как заменить сертификат RDP в Windows по шагам
Отпечаток вводите без пробелов. Если клиент всё ещё видит старый сертификат, перезапустите службу удалённых рабочих столов: текущие сеансы при этом оборвутся. Сервер входит в домен?
- Импортируйте сертификат в хранилище «Личное» учётной записи компьютера.
- Скопируйте отпечаток нужного сертификата.
- Дайте учётной записи NETWORK SERVICE право чтения закрытого ключа: в certlm.msc откройте «Все задачи», «Управление закрытыми ключами».
- Привяжите сертификат к слушателю RDP командой ниже.
Как проверить, что RDP использует новый сертификат
Подключитесь по имени сервера: окно предупреждения не появится, а в свойствах сертификата будет ваш издатель. Привязанный отпечаток читается так: Сертификат шифрует канал, но пароль от подбора не защищает. Ограничьте порт 3389 в файрволе списком нужных адресов и оставьте включённой проверку подлинности на уровне сети (NLA).
Данные
| Вариант | Предупреждение | Кому подходит |
|---|---|---|
| Самоподписанный по умолчанию | Есть | Один сервер для себя |
| Сертификат публичного центра на домен | Нет | Сервер с именем в интернете |
| Сертификат внутреннего центра (AD CS) | Нет на компьютерах домена | Парк серверов в организации |
Данные на 19 октября 2026.
Вопросы и ответы
Почему RDP ругается на сертификат при подключении?
Сервер отдаёт самоподписанный сертификат на имя компьютера, а клиент не знает издателя. Шифрование работает, но подлинность сервера не подтверждена. Убирается заменой сертификата на выпущенный доверенным центром.
Можно ли использовать Let's Encrypt для сертификата RDP?
Да, если у сервера есть доменное имя. Срок сертификата 90 дней, после каждого продления меняется отпечаток, поэтому привязку нужно обновлять командой или скриптом после выпуска.
Как убрать предупреждение RDP без покупки сертификата?
Выпустите сертификат внутренним центром сертификации и раздайте корневой на компьютеры, либо добавьте самоподписанный сертификат сервера в доверенные на каждом клиенте. Второй путь работает, но на каждый сервер его придётся повторять: самоподписанный сертификат.
Нужен ли сертификат RDP внутри локальной сети?
Шифрование есть и с сертификатом по умолчанию. Доверенный сертификат нужен, чтобы клиент мог убедиться, что подключается к настоящему серверу, а не к подставному.