远程桌面双向身份验证需服务器与客户端互相认证，防中间人攻击；可通过Windows RDP+证书、RD Gateway+RADIUS/TACACS+或向日葵等工具实现，部署后须验证拒绝未授权设备、抓包确认CertificateVerify交互及提供等保合规材料。
远程桌面配置双重身份验证（即双向身份验证），核心是让服务器和客户端互相确认身份，不只是用户输密码就算数。这在等保测评中属于高安全要求项，能有效防中间人攻击和非法接入。
用Windows自带RDP+证书实现双向验证
Windows远程桌面协议（RDP）原生支持mTLS（双向TLS），但需配合证书服务部署：
- 在域环境中搭建内部PKI，为远程桌面服务器和每个授权用户/设备签发数字证书
- 在服务器端启用“要求客户端证书”策略：打开组策略编辑器 → 计算机配置 → 管理模板 → Windows组件 → 远程桌面服务 → 远程桌面会话主机 → 安全 → 设置“要求使用指定的加密级别”为“高”，并启用“为连接到此计算机要求用户使用智能卡或证书”
- 客户端连接时，系统会自动提示选择对应证书；未安装有效证书的设备无法完成握手，连接直接中断
通过RD Gateway + RADIUS/TACACS+增强认证
若远程访问需经网关（如出差员工连内网），可在RD Gateway上集成外部认证服务：
- 将RD Gateway与RADIUS服务器对接，RADIUS再对接AD或LDAP，统一管理账号
- 配置RADIUS策略，要求二次因子：比如密码+短信验证码，或密码+TOTP动态口令
- 用户连接时先通过网关做身份核验，再由网关代理转发至后端RDS服务器，形成“网关层双因素+服务层证书校验”的叠加防护
用向日葵等第三方工具简化落地
对非专业IT人员或中小环境，不必自建PKI或配置复杂网关。向日葵类工具已内置等效机制：
- 登录同一账号的设备间通信，采用AES-256加密隧道+设备唯一ID绑定，相当于“账号+设备双重确认”
- 开启无人值守访问时设置独立访问密码，该密码不与系统账户复用，构成知识因子；客户端软件本身作为拥有因子（含签名证书和运行时校验）
- 后台自动完成SSL/TLS协商与证书交换，用户无需操作证书，但通信全程满足双向认证逻辑
关键检查点
无论采用哪种方式，部署后务必验证以下几点：
- 未安装证书或未输入二次验证码的设备，是否被明确拒绝连接（而非仅弹窗提示）
- 抓包工具（如Wireshark）能否看到完整的ClientHello/ServerHello及CertificateVerify交互
- 等保测评中要求提供双向认证启用截图、证书签发记录、策略配置导出文件
