图27

    现在，你将能够安全地连接到Vista的RDP主机，但更重要的是，以后连接到jim-PC都不会出现任何的警示标志甚至是密码提示。它只会以安全的方式进行连接，而任何警示标志都一定会引起你以鉴定的眼光去查看。
   
    当你尝试通过IP地址或公共互联网上的动态DNS条目连接到这个主机上时会发生什么呢？如果你尝试连接的主机名不是你之前所生成的证书的名称，这时你就会看到一个警示，但你可以设定它总是连接，只需要设定它在下一次连接到这台计算机时不再提示即可。
   
    但仅仅这么做还是不够的，接着你就会看到又出现的警示中会告诉你名称不匹配，证书上的服务器名也是有错误的。但这并不是件糟糕的事，你可以查看这个证书，它会告诉你是为“jim-PC”而设的，且是可以信任的。你看到这个警示仅仅是因为RDP客户端会将你所连接的计算机与证书上的计算机的名字进行比照。如果我选用ip地址来进行连接，那么它就会提示我与jim-PC是不匹配的。由于我是通过IP地址或是互联网上公共解析的DNS名来进行连接，而证书目前还是有效的，因此我知道我并没有受到欺骗。此时我可以放心地选择“确定”使它在任何时候都能够进行连接。为了避免将来再出现这样的错误，我需要编辑我的本地主机文件，将IP或DNS名称描绘为“jim-PC”。
   
    但是，如果有黑客传递给你伪造的证书那应该怎么办呢？如果是这样的话，你不仅会被尽是名称不匹配，证书也会被告知不是来自可信任的地方。这样的话，你就应该检查你的证书安装过程，警惕有些攻击者可能在试图欺骗你。此时你应该选择不去连接到服务器。如果你仍然选择总是连接，你就像黑客暴露了你的证书，他们很快就会对你进行词典式攻击而窃取你的密码。
   
    这一切看起来似乎是个有些复杂的过程，只是为了在进行一次RDP连接时不出现任何警示，但这是一个有效的方法能够进行安全并且可信任的远程连接。幸运的是，你只需要做这些事情一次，之后的连接就能保证安全且没有任何麻烦。无论你是否相信，你实际上是将你自己的PKI证书创建到了RDP主机上，并在客户端计算机上安装了一个证书权限。这种安全方法使用的是公共密钥授权机制，它是被用于电子商务交易中的技术。在企业级的系统上，整个过程的GPO设置以及数字证书实际上都能够通过使用活动目录组策略自动用于服务器和客户端，而现在你就明白它的一切是如何工作的。