我想确保用户连接尽可能安全。我们的 RDWeb 服务器有一个 .local 名称（对于这个问题，它将被称为 rdweb.contoso.local）和一个公共名称：rdweb.contoso.com
我们为 RDWeb 网站 (rdweb.contoso.com) 提供了来自 godaddy 的高级 ssl。当用户单击运行 remoteapp A 时，它会连接到 rdweb 服务器。rdweb 服务器的连接框显示“...正在连接到 rdweb.contoso.local”，然后要求用户登录到 rdweb.contosto.local。成功登录后，会出现一个窗口询问用户是否要继续连接 rdweb.contoso.local，因为它无法验证。如果您单击查看证书，您可以看到该连接正在使用我在 IIS 中构建的自签名证书。这安全吗？RDWeb 使用的远程应用程序是一个人力资源/薪资应用程序，其中包含敏感的员工信息。
那么，自签名证书是否可以用于从 RDWeb 网站连接到 rdweb 服务器？我们有一个用于 rdweb 网站本身的高级 ssl (rdweb.contoso.com)
如果该自签名证书在这种情况下不安全，那么我该如何保证它的安全呢？从 godaddy 购买 .local 的 SSL？
我们已经使用这个过程一段时间了，我只是碰巧想到了连接的安全性。我知道它已加密并且我确实信任该证书，因为我知道它来自服务器。只是想对此有一些想法。
感谢大家。
操作系统：服务器 2008 r2 Windows 7 和 2008 r2 活动目录环境 RDWeb 用户从外部位置登录 RDWeb 到我们的本地网络
这里的解决方案是让每个人都连接到 rdweb.contoso.com，并且永远不要使用 rdweb.contoso.local 地址。在大多数情况下，这将需要拆分 DNS 或 NAT 发夹/环回才能正常工作。
通过使用公共名称，您的 godaddy SSL 证书将正常工作。没有信誉良好的提供商会为您提供任何 *.local 地址的签名 ssl 证书，因为无法证明所有权（事实上，您不拥有它，但只要它只在您的 LAN 上，它就不会破坏其他任何东西如果其他人在他们的 LAN 上使用它）。
使用自签名证书是不好的——特别是因为它训练用户完全忽略有关证书无效的警告。这使得诱骗某人连接到不同的服务或劫持连接变得容易得多。
假设你的 contoso.com DNS 在 godaddy，你的 contoso.local DNS 在活动目录中，你可以将 contoso.com 添加到你的 AD DNS 服务器，以及它在 godaddy 的所有记录。但是当你到达 rdweb 时，输入私有地址而不是公共 IP 地址。
或者只是让您的防火墙/NAT 设备允许来自 LAN 的连接通过公共地址进行连接。这通常称为 NAT 发夹、环回或其他一些类似的名称。
将自签名证书用于互联网服务是不专业的。这个想法是我们更信任来自 GoDaddy 或 Digicert 的证书，而不是我们信任您的自签名证书。它可以由颁发证书机构的在线验证服务器进行验证。你的自签名不能。如果您的服务器受到威胁并且有人窃取了您的私钥，他们可以伪造证书并为您被告知信任您的自签名证书的毫无戒心的用户充当中间人。是的，使用自签名证书时流量仍然是加密的，但更多的是关于信任。
此外，您已经通过将您的域命名为 *.local 来让自己变得更难。