نفق SSH أم VPN أم بوابة RD: أي مسار لسطح مكتب واحد عبر RDP؟

تحمل الخيارات الثلاثة جميعها RDP، لذا لا يمثل البروتوكول العامل الحاسم. السؤال الحقيقي هو مقدار ما ينبغي أن يحصل عليه مستخدم واحد من وصول، ومن يتولى تشغيل الشيء الذي يمنحه. منفذ TCP معاد توجيهه، وشبكة خاصة موجهة، وبوابة سطح مكتب، تجيب عن هذا السؤال بثلاثة أحجام مختلفة. اختر الحجم أولاً ويتبع المنتج.

السؤال هو النطاق، لا البروتوكول

اكتب ما يحتاج المستخدم فعلاً إلى لمسه. إذا كان الجواب سطح مكتب واحداً، فالتصميم الذي يمنح شبكة فرعية أوسع من اللازم. وإذا كان الجواب سطح مكتباً مع مشاركات ملفات مع لوحة إدارة، فالتصميم الذي يعيد توجيه منفذ واحد سيعود الشهر المقبل بمنفذين إضافيين. قائمة الوجهات هي المتطلب؛ وكل ما عداها تنفيذ.

أبقِ هوية الدخول منفصلة عن حساب Windows الذي يسجل الدخول إلى سطح المكتب. لكل تصميم مما يلي الاثنان، والخلط بينهما هو ما يمنح حساب مضيف العبور سلطة أكبر مما قصد أحد.

خدمة TCP واحدة معاد توجيهها

يمكن لمضيف عبور SSH معتمد أن يعيد توجيه مستمع محلي إلى خدمة RDP التي يستطيع الوصول إليها. اربط ذلك المستمع بواجهة loopback عندما يوجد فقط لجهاز المستخدم نفسه، وهو القصد المعتاد لإعادة التوجيه المحلية. إعادة التوجيه راحة لشخص واحد، لا خدمة لفريق.

يُصادق تسجيل الدخول عبر SSH على الوصول إلى مسار إعادة التوجيه، ولا شيء أكثر. لا يزال التحقق من Windows وتفويض RDP يحدثان عند الوجهة، لذا فحساب العبور الصالح ليس جلسة سطح مكتب صالحة. هذان بابان مستقلان ويجب أن يُفتحا معاً.

قيّد وجهات إعادة التوجيه الخاصة بحساب العبور بدلاً من منحه صدفة غير مقيدة. يناسب هذا التصميم مجموعة صغيرة ومحددة صراحة من الأجهزة، ويضيف مضيفاً وهوية ودورة حياة لتشغيلها. ذلك المضيف الإضافي هو الجزء الذي ينساه الناس عند مقارنته ببوابة: يجب على أحدهم ترقيعه ومراقبته وامتلاك مفاتيحه.

مساحة عمل خاصة موجهة

يمنح VPN نظام DNS خاصاً والوصول إلى عدة خدمات تُستخدم معاً، وهذه قيمته الفعلية. إخفاء منفذ سطح مكتب واحد أثر جانبي، لا سبب بنائه. يهم هذا التمييز عندما يسأل أحدهم لماذا يوجد VPN أصلاً.

قيّد المسارات وأذونات الموارد بالوجهات المقصودة. لا يستحق المستخدم المتصل تلقائياً الشبكة المحلية بأكملها، ويبقى جدار حماية الوجهة وحقوق تسجيل الدخول إلى Windows حدوداً منفصلة لا يستبدلها VPN.

هذا الترتيب ملائم لمساحة عمل مُدارة قائمة. الثمن هو أن الإعداد الأولي ومتطلبات الأجهزة وسلوك المحلل وسياسة الاتصال تصبح جزءاً من بيئة عمل المستخدم، ويجب أن يتولاها أحدهم. قارن ذلك الثمن بترخيص البوابة قبل افتراض أن VPN هو الخيار الأرخص.

بوابة خاصة بـ RDP

توفر Remote Desktop Gateway حداً خاصاً بـ RDP بدلاً من حد شبكي. تحدد سياسة تفويض الاتصال الخاصة بها من يجوز له الاتصال، وتحدد سياسة تفويض الموارد التي يجوز لهم الوصول إليها عبرها. كلتا السياستين جزء من المنتج، وليستا إضافات اختيارية.

خطط للشهادات وتكامل الهوية ووسائل النقل المطلوبة معاً. البوابة ليست مرحّل TCP مجهول الهوية، ونشرها على هذا النحو يتخطى السياسات التي تبررها في المقام الأول. وهي تحمل أيضاً متطلبات ترخيص وتشغيل لا يحملها منفذ واحد معاد توجيهه. خصص ميزانية لذلك قبل مراجعة التصميم، لا بعدها.

حيث يشغّل فريق ما وصولاً مركزياً إلى سطح المكتب، تكون تلك التكلفة قد دُفعت بالفعل. وحيث يحتاج شخص واحد إلى جهاز واحد، فهي آلة كبيرة تُشترى لعمل صغير.

ما تحتاجه الثلاثة جميعاً

حافظ على فحوص هوية المضيف في كل تصميم. لا يجعل اسم مستعار محلي أو نفق شهادة غير متوقعة غير ضارة، وقبول شهادة غير مطابقة للعبور عبر وكيل يبطل فائدة النفق. يجب التوفيق بين الاسم في العميل والاسم في الشهادة عن قصد.

طبّق MFA عند نقطة الدخول حيث تتطلب السياسة ذلك، واحتفظ بضوابط حساب الوجهة. الاثنان متكاملان: الأول يحدد من يجوز له الوصول إلى الباب، والثاني يحدد من يجوز له فتحه. إسقاط أي منهما يترك تصميماً يبدو مكتملاً وليس كذلك.

اختر الحد الذي يطابق العمل ونموذج التشغيل الذي لديك فعلاً. تصف نظرة عامة على أدوار RDS مكان البوابة بين مضيف الجلسة والمكونات الأخرى، وهو السياق الذي يجعل تكلفتها مقروءة.