SSH-deurvoer, VPN of RD Gateway: watter pad vir een RDP-lessenaar?

Al drie opsies dra RDP, dus is die protokol nie die beslissende faktor nie. Die werklike vraag is hoeveel bereikbaarheid een gebruiker behoort te kry, en wie die ding bedryf wat dit verleen. ’n Deurgevoerde TCP-poort, ’n geroteerde private netwerk en ’n lessenaargateway beantwoord daardie vraag in drie verskillende groottes. Kies eers die grootte, dan volg die produk.

Die vraag is omvang, nie protokol nie

Skryf neer waaraan die gebruiker werklik moet raak. As die antwoord een lessenaar is, is ’n ontwerp wat ’n subnet gee te wyd. As die antwoord ’n lessenaar plus lêerdelings plus ’n admin-konsole is, sal ’n ontwerp wat een poort deurvoer volgende maand terugkom vir nog twee deurvoere. Die lys van bestemmings is die vereiste; alles anders is implementering.

Hou die toegangsidentiteit apart van die Windows-rekening wat by die lessenaar aanmeld. Elke ontwerp hieronder het albei, en om hulle te verwar is hoe ’n spronggasheer-rekening meer gesag kry as wat iemand bedoel het.

Een deurgevoerde TCP-diens

’n Goedgekeurde SSH-spronggasheer kan ’n plaaslike luisteraar deurvoer na die RDP-diens wat hy kan bereik. Bind daardie luisteraar aan loopback wanneer dit net vir die gebruiker se eie masjien bestaan, wat die normale bedoeling van ’n plaaslike deurvoer is. Die deurvoer is ’n gerief vir een persoon, nie ’n diens vir ’n span nie.

Die SSH-aanmelding verifieer toegang tot die deurvoerpad, en niks meer nie. Windows-verifikasie en RDP-magtiging gebeur steeds by die bestemming, so ’n geldige sprongrekening is nie ’n geldige lessenaarsessie nie. Dit is twee onafhanklike hekke en albei moet oopgaan.

Beperk die sprongrekening se deurvoerbestemmings eerder as om ’n onbeperkte dop te gee. Hierdie ontwerp pas by ’n klein, eksplisiet gelyste stel masjiene, en dit voeg ’n gasheer, ’n identiteit en ’n lewensiklus by om te bedryf. Daardie ekstra gasheer is die deel wat mense vergeet wanneer hulle dit met ’n gateway vergelyk: iemand moet dit pleister, monitor en die sleutels daarvan besit.

’n Geroteerde private werkspasie

’n VPN gee private DNS en toegang tot verskeie dienste wat saam gebruik word, wat die werklike waarde daarvan is. Om een lessenaarpoort weg te steek is ’n newe-effek, nie die rede om dit te bou nie. Daardie onderskeid maak saak wanneer iemand vra hoekom die VPN hoegenaamd bestaan.

Beperk roetes en hulpbronregte tot die beoogde bestemmings. ’n Verbinde gebruiker verdien nie outomaties die hele LAN nie, en die bestemmingsfirewall plus Windows-aanmeldregte bly aparte grense wat die VPN nie vervang nie.

Hierdie reëling is gerieflik vir ’n gevestigde bestuurde werkspasie. Die koste is dat onboarding, toestelvereistes, resolve-gedrag en verbindingsbeleid deel word van die gebruiker se werkomgewing, en iemand moet dit besit. Vergelyk daardie koste met die gateway se lisensiëring voordat jy aanvaar die VPN is die goedkoper opsie.

’n RDP-spesifieke gateway

Remote Desktop Gateway bied ’n RDP-spesifieke grens eerder as ’n netwerkgrens. Die verbindingsmagtigingsbeleid daarvan besluit wie mag verbind, en die hulpbronmagtigingsbeleid besluit welke interne hulpbronne hulle daardeur mag bereik. Albei beleide is deel van die produk, nie opsionele bykomendhede nie.

Beplan sertifikate, identiteitsintegrasie en vereiste vervoer saam. Die gateway is nie ’n anonieme TCP-aflaai nie, en om dit as een te ontplooi slaan die beleide oor wat dit in die eerste plek regverdig. Dit dra ook lisensiërings- en bedryfsvereistes wat ’n enkele deurgevoerde poort nie het nie. Begroot daarvoor voor die ontwerphersiening, nie daarna nie.

Waar ’n span reeds sentrale lessenaartoegang bedryf, is daardie oorhoofse koste reeds betaal. Waar een persoon een masjien nodig het, is dit ’n groot masjien om vir ’n klein werk te koop.

Wat al drie steeds nodig het

Bewaar gasheeridentiteitstoetse in elke ontwerp. ’n Plaaslike alias of ’n tonnel maak nie ’n onverwagte sertifikaat skadeloos nie, en om ’n verkeerde sertifikaat te aanvaar om deur ’n instaanbediener te kom, verydel die punt van die tonnel. Die naam in die kliënt en die naam op die sertifikaat moet doelbewus versoen word.

Pas MFA toe by die toegangspunt waar beleid dit vereis, en behou die bestemming se rekeningbeheermaatreëls. Dié twee is aanvullend: die eerste besluit wie die deur mag bereik, die tweede besluit wie dit mag oopmaak. Om een van hulle te laat vaar, laat ’n ontwerp wat volledig lyk en nie is nie.

Kies die grens wat pas by die werk en die bedryfsmodel wat jy werklik het. Die RDS-roloorsig beskryf die gateway se plek onder die sessiegasheer en ander komponente, en dit is die konteks wat die koste daarvan leesbaar maak.