RDWeb TS连接中断了一些用户发布RemoteApp证书更改
我们最近使用SHA256签名algorithm重新发布了GoDaddy通配符证书（即使您没有重新input密钥，仍要在72小时内撤销旧证书，所以您应该重新input）。 我们将RemoteApps，Terminal Server的RDP，RDGateway和RDWeb（IIS）用于此证书。
当我在给定的terminal服务器（AKA会话主机服务器）上的“RemoteApppipe理器” – >“数字签名设置”中更改为新的通配符证书时，对于某些用户发布的terminal服务器上的应用程序而言，来自RDWeb的连接失败， .rdp文件适用于所有用户。 此外，这是我见过的最奇怪的事情， 错误的用户被logging为拒绝访问在网关 。 如果我将证书更改回旧的撤销证书，那么一切正常。
工作设置：
- 所有Windows 2008 R2 Datacenter服务器
- RDGateway + RDWeb – rdsgateway.contoso.com（为IIS和rdgateway安装的新通配证书）
- TS – ts1.contoso.com（仅为RDP安装的新通配证书， 为RemoteAPP安装的旧证书 ）
非工作设置：
- Tomcat与APR的双向SSL在几次请求后丢失了客户端证书
- 与Exchange 2013的IIS 8.5创build并发送旧的中间体证书给客户端
- 无法使用pkitool和easy-rsa脚本为OpenVPN .csr文件签署证书作为CA.
- 木偶代理 – 证书干净与fqdn重复
- ASA Certifiate与服务器名称不匹配
- 所有Windows 2008 R2 Datacenter服务器
- RDGateway + RDWeb – rdsgateway.contoso.com（为IIS和rdgateway安装的新通配证书）
- TS – ts1.contoso.com（为RDP安装的新通配证书， 为RemoteAPP安装的新证书 ）
当使用用户“CONTOSO \ bob”从RDWeb启动时，会生成以下错误：
由于以下原因之一，远程桌面无法连接到远程计算机“ts1.contoso.com”：1）您的用户帐户未在RD网关的许可权列表中列出2）您可能以NetBIOS格式指定了远程计算机。 ..
当我看事件日志“Microsoft-Windows-TerminalServices-Gateway / Operational”时，我看到以下错误：
客户端计算机“123.123.123.123”上的用户“CONTOSO \ alice”未满足资源授权策略要求，因此未被授权资源“ts1.contoso.com”。 发生以下错误：“23002”。
到底是怎么回事？ 为什么更改RemoteApp的签名证书导致网关认为这是一个不同的用户连接？
遇到同样的问题后find这个页面。 对于我们来说，解决scheme是在我们的防火墙上添加端口3389到loopback（又名发夹NAT）。
一些额外的细节：
更换证书比第一次安装更复杂，但我认为我们做得正确，应用程序在一两天内运行良好。 用户在启动时出现错误，我们使用https://gallery.technet.microsoft.com/Change-published-FQDN-for-2a029b80中的powershell脚本来重新发布服务器的FQDN。
我认为这个脚本必须在之前从未指定过的configuration的一部分中设置FQDN，导致RD网关通过它的FQDN来引用它自己以传递请求。 这些请求失败，因为我们的边缘防火墙只允许80和443的传入和回送请求。
将端口3389添加到防火墙上的环回规则可以立即解决问题。