在远程桌面网关服务器上安装 SSL 证书

远程桌面网关（RD Gateway）让远程用户能够通过任何联网设备安全地连接内部或私有网络的资源。它通过 HTTPS 隧道传输远程桌面协议（RDP）流量，提供安全通信通道。但要妥善保护连接，必须在 RD 网关服务器上安装并正确配置 SSL 证书。

下面以清晰的分步方式，带你完成从 CSR 生成到最终验证的 RD 网关服务器 SSL 证书安装全过程。

在购买或安装 SSL 证书之前，你需要生成证书签名请求（CSR）。CSR 包含你的域名信息与公钥，CA 需要它来签发证书。

方式一：使用 IIS 管理器生成 CSR（推荐）

打开 IIS 管理器（开始 > 运行 > inetmgr）。
在左侧面板选择你的服务器名称（而非某个网站）。
双击"服务器证书"（Server Certificates）。
在右侧选项中点击"创建证书请求"（Create Certificate Request）。
填写所需信息：
通用名称（Common Name）：你的 RD 网关 FQDN（例如 rd.yourdomain.com）；
组织（Organization）：你的合法企业名称（或域名所有者名称）；
组织单位（Organizational Unit）：IT 或留空；
城市/省/国家：与企业所在地一致。
选择 Microsoft RSA SChannel 作为加密提供程序。
选择 2048 位或更长的密钥长度。
按提示保存 CSR 文件。

方式二：使用 PowerShell 生成 CSR
你也可以使用 PowerShell 与 Windows 证书服务生成，但仅建议高级用户或自动化流程使用。

从 CA 收到签发的证书后，按以下步骤安装并将其绑定到 RD 网关：

注意：首次进行证书映射时，可在"远程桌面网关管理器 >> RD 网关服务器状态"区域进行验证。在"配置状态"与"配置任务"下，若不再显示"服务器证书未安装"及"查看或修改证书属性"超链接，即表示映射成功。

重启远程桌面网关服务或整台服务器，以确保新证书生效。

证书不受信任 / 证书链不完整
错误："证书不是来自受信任的证书颁发机构。"
修复：确认完整的证书链（含中间 CA）已安装到服务器和/或受信任根存储中。

证书名称不匹配
错误："证书上的服务器名称不正确。"
修复：确保证书 CN 或 SAN 中显示的 FQDN，与客户端连接所使用的完全一致。

证书已过期或尚未生效
错误："证书已过期或尚未生效。"
修复：确保服务器时钟正确；若已过期，请重新签发或续费证书。

缺少私钥
错误："与此站点关联的证书没有私钥。"
修复：确保导入的私钥与 SSL 证书正确配对；仔细核对密码有无拼写错误；确认 Network Service 账户有权访问私钥以保证 SSL 功能正常。

未在 RD 网关管理器中选中证书
错误："连接失败，原因包括缺少 SSL 证书选择、用户权限不足或远程计算机名称格式不正确。"
修复：进入 RD 网关管理器 → 属性 → SSL 证书选项卡，选择正确证书。

为远程桌面网关配置 SSL 证书，对维护用户与内部网络之间受信任、加密的连接至关重要。遵循本指南，你即可专业地保护与配置你的 RD 网关。