Как запустить два SSH туннеля из одного bat файла и убрать предупреждение о rdp сертификатах?

Question

[winser]

Один туннель запускается без проблем, а до второго скрипт не доходит, если сделать один главный батник и из него запускать по очереди два других, то все работает, но это как то глупо для одной строчки плодить столько файлов )
в батнике пишу так

ssh -L 9088:192.168.0.89:3389 user1@192.168.0.89 | cmdkey /generic:termsrv/127.0.0.1 /user:user1 /pass:123456 | mstsc /v:127.0.0.1:9088
timeout 5
ssh -L 2388:192.168.0.23:3389 user2@192.168.0.23 | cmdkey /generic:termsrv/127.0.0.1 /user:user2 /pass:123456 | mstsc /v:127.0.0.1:2388

так же есть проблема с необходимостью постоянно нажимать кнопку так как сертификат для rdp обновляется, так как адрес для подключения один 127.0.0.1, это можно как то автоматизировать через батник ?

Comments

[Drno]

Открой 1 раз рдп руками и убери в настройках проверку сертификата

[winser]

в каких настройках, если тут то галка больше не выводить запрос не работает

Answer 1

[SunTechnik]

Попробуйте добавить слово start перед ssh.

Comments

[winser]

это не помогло, добавил start перед двумя командами, добавил перед одной потом перед другой ничего не поменялось открывается только только одно окно удаленного рабочего стола

[res2001]

winser, В команде start первый параметр - название окна, запускаемой программы.
Используйте ее так:
start "" ssh ...
Но у вас не одна команда ssh, а конвейер, так что start нужно добавлять к каждой команде конвейера (к cmdkey, не нужно - она выполняется быстро). На самом деле конвейер тут то же не нужен, просто запишите все команды последовательно, так проще:

start "SSH1" ssh -L 9088:192.168.0.89:3389 user1@192.168.0.89
cmdkey /generic:termsrv/127.0.0.1 /user:user1 /pass:123456
start "" mstsc /v:127.0.0.1:9088
...

UPD: Хотя заголовок - не обязательный параметр start, так что это можно пропустить. Но про конвейер все верно написал.

[winser]

res2001, теперь заработало!
А сертификатами для rdp что делать ? можно это как то обойти или нажимать подтверждение из батника ?

[AUser0]

winser, может поможет аргумент /noConsentPrompt из параметров mstsc?

[winser]

AUser0,
start "" mstsc /v:127.0.0.1:9088 /noConsentPrompt
если записал правильно, то не помогло

[res2001]

winser,

А сертификатами для rdp что делать

Сертификаты можно предварительно установить пользователю в систему. Сделайте их доступными для скачивания и дайте пользователю URLы и инструкцию по установке.
В винде есть утилита командной строки certutil, которую можно использовать для "автоматической" установки сертификата. Но сертификат все равно нужно сначала скачать (или предоставить вместе с батником). Не уверен, что certutil доступна во всех версиях винды, надо проверять. По аргументам то же не подскажу, гуглите (certutil /?).
Сертификат может быть не один, если используется цепочка сертификатов, то надо предоставить все сертификаты в цепочке, вплоть до корневого центра сертификации. В этом случае устанавливать сертификаты надо в разные контейнеры.
И кстати certutil можно не вызывать каждый раз при старте mstsс, установить сертификаты достаточно один раз. Собственно так же как и cmdkey - она сохраняет учетные данные во встроенное хранилище винды и дальше можно уже не вызывать cmdkey.

/noConsentPrompt - это не о том (mstsc /?).

[winser]

res2001, ну а то что сертификат при каждом подключении переписывается так как адрес 127.0.0.1 один и тот же это не помешает ?

[res2001]

winser, Если в сертификате зафиксировано доменное имя сервера или IP адрес и это не 127.0.0.1, то возможно избавиться совсем от предупреждения пользователя не получится. Если нет, то адрес по которому вы ходите на сервер не играет роли.
Правда я не уверен, что в сертификатах для RDP практикуют привязку к адресу и вообще, что она проверяется.

Если у вас на серверах развернута полноценная PKI со своим центром сертификации, то вам сертификат сервера не нужно устанавливать. Нужно установить сертификат центра сертификации. Могут быть промежуточные центры сертификации, тогда надо установить всю цепочку сертификатов центров сертификации.
Если на серверах самоподписанный сертификат (такой используется по умолчанию), то просто ставите сертификат сервера и все. Возможно придется поиграть с тем, в какой контейнер поставить сертификат, чтоб клиент RDP его успешно нашел.

[SunTechnik]

winser, подключайтесь к одному как 127.0.0.1 ; к другому 127.0.0.2 итд..

[winser]

SunTechnik, да спасибо чуть раньше сам догадался исправил файл хост
добавил
127.0.0.1 localhost1 localhost2 localhost3
и можно конектится к localhost1 итд и запоминать сертификат, все работает

про 127.0.0.2 даже не знал, еще проще значит