SSH yönləndirməsi, VPN və ya RD Gateway: bir RDP masaüstü üçün hansı yol?

Hər üç variant RDP daşıyır, ona görə protokol həlledici amil deyil. Əsl sual bir istifadəçinin nə qədər çıxış imkanı almalı olduğu və bunu verən şeyi kimin idarə etdiyidir. Yönləndirilmiş TCP portu, marşrutlaşdırılmış şəxsi şəbəkə və masaüstü şlüzü bu suala üç fərqli ölçüdə cavab verir. Əvvəlcə ölçünü seçin, məhsul arxasınca gələcək.

Sual protokol deyil, əhatə dairəsidir

İstifadəçinin həqiqətən nəyə toxunmalı olduğunu yazın. Cavab bir masaüstüdürsə, alt şəbəkə verən dizayn həddindən artıq genişdir. Cavab masaüstü üstəgəl fayl paylaşımları üstəgəl inzibati konsoldursa, bir portu yönləndirən dizayn gələn ay daha iki yönləndirmə üçün geri qayıdacaq. Təyinatların siyahısı tələbdir; qalan hər şey tətbiqatdır.

Giriş kimliyini masaüstünə daxil olan Windows hesabından ayrı saxlayın. Aşağıdakı hər dizaynda hər ikisi var və onları qarışdırmaq keçid hostu hesabının kiminsə nəzərdə tutduğundan daha çox səlahiyyət almasının yoludur.

Bir yönləndirilmiş TCP xidməti

Təsdiqlənmiş SSH keçid hostu yerli dinləyicini çata bildiyi RDP xidmətinə yönləndirə bilər. Bu dinləyici yalnız istifadəçinin öz maşını üçün mövcuddursa, onu loopback-ə bağlayın; yerli yönləndirmənin adi məqsədi budur. Yönləndirmə bir nəfər üçün rahatlıqdır, komanda üçün xidmət deyil.

SSH girişi yönləndirmə yoluna çıxışı təsdiqləyir, başqa heç nəyi deyil. Windows autentifikasiyası və RDP avtorizasiyası hələ də təyinatda baş verir, ona görə etibarlı keçid hesabı etibarlı masaüstü sessiyası deyil. Bunlar iki müstəqil qapıdır və hər ikisi açılmalıdır.

Keçid hesabının yönləndirmə təyinatlarını məhdudlaşdırın, məhdudiyyətsiz shell verməyin. Bu dizayn açıq şəkildə sadalanan kiçik maşın dəstinə uyğundur və idarə etmək üçün bir host, bir kimlik və bir həyat dövrü əlavə edir. Bu əlavə host şlüzlə müqayisədə insanların unutduğu hissədir: kimsə onu yamaqlamalı, izləməli və açarlarına sahib olmalıdır.

Marşrutlaşdırılmış şəxsi iş sahəsi

VPN şəxsi DNS və birlikdə istifadə olunan bir neçə xidmətə çıxış verir və onun əsl dəyəri budur. Bir masaüstü portunu gizlətmək yan təsirdir, onu qurmağın səbəbi deyil. Bu fərq kimsə VPN-in ümumiyyətlə nə üçün olduğunu soruşanda vacibdir.

Marşrutları və resurs icazələrini nəzərdə tutulan təyinatarla məhdudlaşdırın. Qoşulmuş istifadəçi avtomatik olaraq bütün LAN-a layiq deyil və təyinat firewall-u üstəgəl Windows giriş hüquqları VPN-in əvəz etmədiyi ayrı sərhədlər olaraq qalır.

Bu quruluş artıq qurulmuş idarə olunan iş sahəsi üçün rahatdır. Xərc ondadır ki, onboarding, cihaz tələbləri, resolv davranışı və qoşulma siyasəti istifadəçinin iş mühitinin bir hissəsinə çevrilir və kimsə onlara sahib olmalıdır. VPN-in daha ucuz variant olduğunu güman etməzdən əvvəl bu xərci şlüzün lisenziyalaşdırması ilə müqayisə edin.

RDP-yə xas şlüz

Remote Desktop Gateway şəbəkə deyil, RDP-yə xas sərhəd təqdim edir. Onun qoşulma avtorizasiyası siyasəti kimin qoşula biləcəyini, resurs avtorizasiyası siyasəti isə onun vasitəsilə hansı daxili resurslara çata biləcəklərini müəyyən edir. Hər iki siyasət məhsulun hissəsidir, əlavə seçim deyil.

Sertifikatları, kimlik inteqrasiyasını və tələb olunan nəqliyyatları birlikdə planlaşdırın. Şlüz anonim TCP relesi deyil və onu belə yerləşdirmək onu əsaslandıran siyasətləri atlayır. O, həmçinin bir yönləndirilmiş portun daşımadığı lisenziya və əməliyyat tələbləri daşıyır. Bunlar üçün büdcəni dizayn baxışından əvvəl ayırın, sonra deyil.

Komanda artıq mərkəzi masaüstü çıxışı idarə edirsə, o əlavə xərc artıq ödənilib. Bir nəfər bir maşın istəyirsə, bu kiçik iş üçün alınan böyük maşındır.

Hər üçünün hələ də ehtiyac duyduğu şeylər

Hər dizaynda host kimliyi yoxlamalarını qoruyun. Yerli ləqəb və ya tunel gözlənilməz sertifikatı zərərsiz etmir və proksidən keçmək üçün uyğunsuz sertifikatı qəbul etmək tunelin mənasını puç edir. Müştəridəki ad və sertifikatdakı ad qəsdən uzlaşdırılmalıdır.

MFA-nı siyasətin tələb etdiyi giriş nöqtəsində tətbiq edin və təyinatın hesab nəzarətlərini saxlayın. İkisi bir-birini tamamlayır: birincisi kimin qapıya çata biləcəyini, ikincisi kimin onu aça biləcəyini müəyyən edir. Hər hansı birini buraxmaq tam görünən, amma tam olmayan dizayn qoyur.

İşə və həqiqətən malik olduğunuz əməliyyat modelinə uyğun sərhədi seçin. RDS rollarına ümumi baxış şlüzün sessiya hostu və digər komponentlər arasındakı yerini təsvir edir və onun xərcini oxunaqlı edən kontekst məhz budur.