SSH-перанакіраванне, VPN ці RD Gateway: які шлях для аднаго працоўнага стала RDP?

Усе тры варыянты перадаюць RDP, таму пратакол не з'яўляецца вырашальным фактарам. Сапраўднае пытанне ў тым, колькі дасяжнасці павінен атрымаць адзін карыстальнік і хто эксплуатуе тое, што яе дае. Перанакіраваны порт TCP, маршрутызаваная прыватная сетка і шлюз працоўнага стала адказваюць на гэтае пытанне ў трох розных памерах. Спачатку абярыце памер, і прадукт прыйдзе сам.

Пытанне ў аб'ёме, а не ў пратаколе

Запішыце, да чаго карыстальніку насамрэч трэба дакрануцца. Калі адказ — адзін працоўны стол, то праект, які дае падсетку, занадта шырокі. Калі адказ — працоўны стол плюс файлавыя рэсурсы плюс адміністрацыйная кансоль, то праект з перанакіраваннем аднаго порта вернецца ў наступным месяцы яшчэ за двума перанакіраваннямі. Спіс прызначэнняў — гэта патрабаванне; усё астатняе — рэалізацыя.

Трымайце ідэнтычнасць уваходу асобна ад уліковага запісу Windows, які ўваходзіць у працоўны стол. У кожным праекце ніжэй ёсць абодва, і іх змешванне — гэта тое, як уліковы запіс хаста пераходу атрымлівае больш паўнамоцтваў, чым хтосьці меў на ўвазе.

Адна перанакіраваная служба TCP

Зацверджаны хаст пераходу SSH можа перанакіраваць лакальны слухач на службу RDP, да якой ён можа дабрацца. Прывяжыце гэты слухач да loopback, калі ён існуе толькі для ўласнай машыны карыстальніка, што і ёсць звычайная мэта лакальнага перанакіравання. Перанакіраванне — гэта зручнасць для аднаго чалавека, а не служба для каманды.

Уваход па SSH аўтэнтыфікуе доступ да шляху перанакіравання і нічога больш. Аўтэнтыфікацыя Windows і аўтарызацыя RDP па-ранейшаму адбываюцца на прызначэнні, таму сапраўдны ўліковы запіс пераходу не з'яўляецца сапраўднай сесіяй працоўнага стала. Гэта дзве незалежныя брамы, і абедзве павінны адкрыцца.

Абмяжуйце прызначэнні перанакіравання ўліковага запісу пераходу замест таго, каб даваць неабмежаваную абалонку. Гэты праект падыходзіць для невялікага, яўна пералічанага набору машын, і ён дадае хаст, ідэнтычнасць і жыццёвы цыкл для эксплуатацыі. Гэты дадатковы хаст — тая частка, якую людзі забываюць пры параўнанні са шлюзам: нехта павінен яго латаць, маніторыць і валодаць яго ключамі.

Маршрутызаваная прыватная працоўная прастора

VPN дае прыватны DNS і доступ да некалькіх службаў, якія выкарыстоўваюцца разам, і ў гэтым яго сапраўдная каштоўнасць. Хаванне аднаго порта працоўнага стала — пабочны эфект, а не прычына яго будаваць. Гэта розніца важная, калі хтосьці пытаецца, навошта VPN наогул існуе.

Абмяжуйце маршруты і дазволы на рэсурсы прызначанымі прызначэннямі. Падключаны карыстальнік не атрымлівае аўтаматычна ўсю лакальную сетку, а міжсеткавы экран прызначэння разам з правамі ўваходу Windows застаюцца асобнымі межамі, якія VPN не замяняе.

Гэта ўладкаванне зручнае для ўжо створанай кіраванай працоўнай прасторы. Кошт у тым, што адаптацыя, патрабаванні да прылад, паводзіны resolver і палітыка злучэння становяцца часткай працоўнага асяроддзя карыстальніка, і нехта павінен імі кіраваць. Параўнайце гэты кошт з ліцэнзаваннем шлюза, перш чым меркаваць, што VPN — больш танны варыянт.

Шлюз, спецыфічны для RDP

Remote Desktop Gateway дае мяжу, спецыфічную для RDP, а не сеткавую. Яго палітыка аўтарызацыі злучэнняў вырашае, хто можа падключыцца, а палітыка аўтарызацыі рэсурсаў вырашае, да якіх унутраных рэсурсаў яны могуць дабрацца праз яго. Абедзве палітыкі — частка прадукту, а не дадатковыя опцыі.

Плануйце сертыфікаты, інтэграцыю ідэнтычнасці і неабходныя транспарты разам. Шлюз не з'яўляецца ананімным рэлеем TCP, і разгортванне яго як такога абыходзіць палітыкі, якія яго апраўдваюць. Ён таксама нясе ліцэнзійныя і эксплуатацыйныя патрабаванні, якіх не мае адзін перанакіраваны порт. Заложыце іх у бюджэт да агляду праекта, а не пасля.

Там, дзе каманда ўжо эксплуатуе цэнтральны доступ да працоўных сталоў, гэтыя накладныя выдаткі ўжо аплачаны. Там, дзе аднаму чалавеку патрэбна адна машына, гэта вялікая машына, якую купляюць для малой працы.

Што ўсё яшчэ патрэбна ўсім тром

Захоўвайце праверкі ідэнтычнасці хаста ў кожным праекце. Лакальны псеўданім ці тунель не робяць нечаканы сертыфікат бясшкодным, а прыняцце неадпаведнага сертыфіката, каб прайсці праз проксі, зводзіць на нішто сэнс тунеля. Імя ў кліенце і імя ў сертыфікаце трэба свядома ўзгадніць.

Ужывайце MFA у пункце ўваходу, дзе гэтага патрабуе палітыка, і захоўвайце кантроль уліковага запісу на прызначэнні. Гэтыя дзве меры ўзаемна дапаўняюць адна адну: першая вырашае, хто можа дайсці да дзвярэй, другая — хто можа іх адкрыць. Калі кінуць любую з іх, застанецца праект, які выглядае завершаным і не з'яўляецца такім.

Выбірайце мяжу, якая адпавядае працы і мадэлі эксплуатацыі, якая ў вас насамрэч ёсць. Агляд роляў RDS апісвае месца шлюза сярод хаста сесій і іншых кампанентаў, і гэта той кантэкст, які робіць яго кошт зразумелым.