tuberplays
Feb 16, 2024, updated at 18:12:00 (UTC)
view1787
view11
0
Goto Top

RDWeb Zertifikatsfehler

GermansolvedQuestionWindows Server
Hallo zusammen,

kurz vorm Wochenende kam bei uns nochmal eins der bekannten "Warum?!" Themen rein.

Wir verwenden auf einer RDS Farm (Connection Broker + Gateway mit 2 RDS Hosts, alles Server 2022) das HTML5 Webportal zum Zugriff . Das Ganze hat nun auch ca. ein halbes Jahr funktioniert. Seit heute bekommen die Benutzer beim Versuch die Verbindung zu starten den Hinweis, dass das Zertifikat nicht passt.

fehlermeldung

An dem Aufbau wurde seit Inbetriebnahme nichts verändert. Das genannte Zertifikat habe ich mir auch angesehen, das ist auch noch gültig
Thumbprint   : 71XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX
FriendlyName :
NotBefore    : 14.12.2023 10:49:59
NotAfter     : 14.12.2025 10:59:59

Der "normale" Zugriff per aus dem RDWeb geladener RDP Datei funktioniert problemlos - auch ohne Zertifikatsmeldung. Das Zertifikat stammt aus der internen Domänen CA und ist dort ebenfalls noch als gültig klassifiziert.

Das Thema Reverse Proxy konnten wir schon ausschließen, da es intern (externer DNS Eintrag löst auch intern direkt auf die interne IP auf) mit der gleichen Fehlermeldung nicht läuft.

Jemand noch einen Tipp für mich?

Danke und Grüße!
comment-contentCommentShareShare
Share on Facebook Share on Twitter Share on Reddit Share on Linkedin

Content-Key: 81471851963

Url: https://administrator.de/contentid/81471851963

Printed on: April 27, 2024 at 22:04 o'clock

11 Comments
Latest comment
Goto Top
Member: em-pie
em-pie Feb 16, 2024 at 16:22:02 (UTC)
Goto Top
Moin,

Uhrzeit des RDSHosts ist korrekt?
Member: TuberPlays
TuberPlays Feb 16, 2024 at 16:38:39 (UTC)
Goto Top
Servus,

Zitat von @em-pie:
Uhrzeit des RDSHosts ist korrekt?
Ja. Hosts, sowie Broker sind korrekt.
Member: em-pie
em-pie Feb 16, 2024 at 17:03:37 (UTC)
Goto Top
Passen alle Namen im Zertifikat?
Datum an den Clients/ Hosts auch korrekt?
Mal den IIS auf dem RDSHost neugestartet?
Irgendwas im Eventlog entdeckt?
Member: TuberPlays
TuberPlays Feb 16, 2024 at 17:46:35 (UTC)
Goto Top
Zitat von @em-pie:
Datum an den Clients/ Hosts auch korrekt?
Ja. Hosts, sowie Broker passen. Clients passen auch.


Zitat von @em-pie:
Mal den IIS auf dem RDSHost neugestartet?
Ja. Leider ohne besserung


Zitat von @em-pie:
Irgendwas im Eventlog entdeckt?
Leider nein. Im IIS Log finden sich nur die Errors beim Aufbau der Verbindung.
2024-02-16T15:45:37.822Z OSSLTransport(NORM): Initiating the TLS handshake.
2024-02-16T15:45:37.842Z OSSLTransport(NORM): Validating the server certificate using an expected certificate...
2024-02-16T15:45:37.847Z OSSLTransport(NORM): Certificate validation failed for a TLS certificate with SHA1 fingerprint='71XXXXXXXXXXXXXXXXXXXXXXXXXXXXXX'  
2024-02-16T15:45:37.849Z Connection(ERR): The connection generated an internal exception with disconnect code=CertMismatch(7), extended code=<null>, reason=The cert from the remote server did not match the expected certificate (length mismatch).
 Thrown in thread 1136492 at:
    tls/ossltransport.cpp(512)
Call Stack:
        at invoke_iiiiiii
        at https://homeportal.mydomain.de/rdweb/webclient/librdp/html/librdphtml.a2d54375.wasm:wasm-function[7914]:0x3ddcac
        at invoke_iii
        at https://homeportal.mydomain.de/rdweb/webclient/librdp/html/librdphtml.a2d54375.wasm:wasm-function[7918]:0x3e175a 

    connection.cpp(1801): OnException()


Zitat von @em-pie:
Passen alle Namen im Zertifikat?
Vermutlich Doofe frage: Welche Namen müssen da rein? Aktuell stehen die internen und externen DNS Namen vom RD Broker drin.
Member: em-pie
em-pie Feb 16, 2024 at 19:54:14 (UTC)
Goto Top
Und woran lag es jetzt?
Hast den Thread als gelöst markiert…
Member: TuberPlays
TuberPlays Feb 16, 2024 at 20:01:54 (UTC)
Goto Top
Zitat von @em-pie:
Hast den Thread als gelöst markiert…
Hatte mich vorher beim zitieren verklickt. Ist bereinigt.
Mitglied: 11078840001
11078840001 Feb 16, 2024 updated at 21:26:28 (UTC)
Goto Top
The cert from the remote server did not match the expected certificate (length mismatch)
Die Fehlermeldung besagt es eigentlich schon.

Der HTML 5 Client hat eine separate Zertifikats-Definition wenn dort das Cert nicht mit dem des RDS-Hosts/GW übereinstimmt, knallt es, lass es dir mit
Get-RDWebClientBrokerCert
anzeigen, da liegt sicher noch ein altes Cert.

Das neue dann importieren mittels
Import-RDWebClientBrokerCert C:\temp\mycert.cer
Publish-RDWebClientPackage -Type Production -Latest
Danach zur Sicherheit noch den Browsercache löschen und du solltest wieder auf Spur sein.

Einrichten des Remotedesktop-Webclients für Ihre Benutzer

Am besten gleich für die nächste Zertifikatserneuerung notieren oder ein Skript schreiben das einen das beim nächsten mal nicht vergessen lässt. 😉

☠️
heart1
Member: TuberPlays
TuberPlays Feb 16, 2024 at 21:26:20 (UTC)
Goto Top
Zitat von @11078840001:
lass es dir mit
Get-RDWebClientBrokerCert
anzeigen, da liegt sicher noch ein altes Cert.

Das hinterlegte Zertifikat ist noch bis 2025 gültig. Da das Zertifikat noch nie gewechselt wurde "kann" dort kein altes Zertifikat liegen.
Mitglied: 11078840001
Solution 11078840001 Feb 16, 2024 updated at 21:40:45 (UTC)
Goto Top
Zitat von @TuberPlays:

Das hinterlegte Zertifikat ist noch bis 2025 gültig. Da das Zertifikat noch nie gewechselt wurde "kann" dort kein altes Zertifikat liegen.

Genau das sagt der Fehler aber aus.
Prüfen heißt die Mutter der Porzelankiste ...

Hatte ich erst vor ner Woche bei einem Kunden, genau das selbe Problem. Der Webclient verliert auch gerne ohne Anlass seine Config, zwar selten, ist mir aber schon mal unter gekommen, weiß der Geier wenn MS mal wieder meint mit Updates die Chose zum Abkacken bewegen zu müssen.
heart1
Member: Celiko
Solution Celiko Feb 17, 2024 at 00:43:20 (UTC)
Goto Top
Yo, kann das von abramakabra nur bestätigen.
Ist uns auch schon 2x passiert.
Alle Zertifikate in der RD-Deployment zu aktualisieren / neu einzuspielen kann helfen.

VG
Member: TuberPlays
TuberPlays Feb 18, 2024 at 18:48:49 (UTC)
Goto Top
Hallo zusammen,

ich habe heute das Wartungsfenster mal genutzt, um etwas an dem Teil "rumzuwerkeln".

Das vorhandene Zertifikat nochmal einzuspielen hat keine Besserung gebracht. Habe ich mir dann von der CA ein neues Zertifikat ausstellen lassen und hinterlegt. Seither klappt auch der Zugriff wieder.

Testweise auch nochmal das alte - aber noch gültige - Zertifikat hinterlegt -> Fehlermeldung wieder da.

Würde ich es nicht besser wissen, würde ich sagen "Zertifikat kaputt", was aber eigentlich nicht sein dürfte, da das selbe Zertifikat im "normalen" RDweb problemlos funktioniert.

Danke für eure Unterstützung und schönes Restwochenende.
GermansolvedQuestionWindows Server
Hotly discussed
DaniEnd of availability for classic Teams clientDani