SSH пренасочване, VPN или RD Gateway: кой път за един RDP десктоп?

И трите варианта пренасят RDP, така че протоколът не е решаващият фактор. Истинският въпрос е колко достъпност трябва да получи един потребител и кой управлява нещото, което я предоставя. Пренасочен TCP порт, маршрутизирана частна мрежа и шлюз за десктоп отговарят на този въпрос в три различни размера. Изберете първо размера и продуктът ще последва.

Въпросът е обхват, не протокол

Запишете до какво всъщност трябва да се докосне потребителят. Ако отговорът е един десктоп, дизайн, който дава подмрежа, е прекалено широк. Ако отговорът е десктоп плюс файлови споделяния плюс администраторска конзола, дизайн, който пренасочва един порт, ще се върне следващия месец за още две пренасочвания. Списъкът с дестинации е изискването; всичко останало е реализация.

Дръжте идентичността за вход отделно от акаунта в Windows, който влиза в десктопа. Всеки дизайн по-долу има и двете, а смесването им е начинът, по който акаунт на хост за прескачане получава повече права, отколкото някой е имал предвид.

Една пренасочена TCP услуга

Одобрен SSH хост за прескачане може да пренасочи локален слушател към RDP услугата, до която достига. Обвържете този слушател с loopback, когато съществува само за собствената машина на потребителя, което е обичайната цел на локално пренасочване. Пренасочването е удобство за един човек, а не услуга за екип.

SSH входът удостоверява достъп до пътя за пренасочване и нищо повече. Удостоверяването в Windows и оторизацията за RDP все още се случват в дестинацията, така че валиден акаунт за прескачане не е валидна сесия на десктоп. Това са две независими порти и двете трябва да се отворят.

Ограничете дестинациите за пренасочване на акаунта за прескачане, вместо да давате неограничена обвивка. Този дизайн подхожда на малък, изрично изброен набор от машини и добавя хост, идентичност и жизнен цикъл за управление. Този допълнителен хост е частта, която хората забравят, когато го сравняват с шлюз: някой трябва да го кръпва, наблюдава и да притежава ключовете му.

Маршрутизирано частно работно пространство

VPN дава частен DNS и достъп до няколко услуги, използвани заедно, и това е истинската му стойност. Скриването на един десктоп порт е страничен ефект, а не причината да го изграждате. Тази разлика е важна, когато някой попита защо VPN изобщо съществува.

Ограничете маршрутите и разрешенията за ресурси до предвидените дестинации. Свързан потребител не заслужава автоматично цялата локална мрежа, а защитната стена на дестинацията плюс правата за вход в Windows остават отделни граници, които VPN не замества.

Тази подредба е удобна за установено управлявано работно пространство. Цената е, че въвеждането, изискванията към устройствата, поведението на resolver и политиката за свързване стават част от работната среда на потребителя и някой трябва да ги управлява. Сравнете тази цена с лицензирането на шлюза, преди да приемете, че VPN е по-евтиният вариант.

Шлюз, специфичен за RDP

Remote Desktop Gateway предоставя граница, специфична за RDP, а не мрежова. Политиката му за оторизация на връзки решава кой може да се свързва, а политиката за оторизация на ресурси решава до кои вътрешни ресурси могат да достигат през него. И двете политики са част от продукта, а не допълнителни опции.

Планирайте сертификатите, интеграцията на идентичности и необходимите транспорти заедно. Шлюзът не е анонимен TCP релей и внедряването му като такъв пропуска политиките, които го оправдават. Той носи и лицензионни и оперативни изисквания, каквито един пренасочен порт не носи. Предвидете ги в бюджета преди прегледа на дизайна, не след него.

Където екип вече управлява централен достъп до десктопи, тези разходи вече са платени. Където един човек се нуждае от една машина, това е голяма машина за малка работа.

От какво все още се нуждаят и трите

Запазете проверките за идентичност на хоста във всеки дизайн. Локален псевдоним или тунел не прави неочакван сертификат безвреден, а приемането на несъответстващ сертификат, за да преминете през прокси, обезсмисля тунела. Името в клиента и името в сертификата трябва съзнателно да се съгласуват.

Прилагайте MFA в точката на вход, където политиката го изисква, и запазете контролите на акаунта в дестинацията. Двете се допълват: първото решава кой може да стигне до вратата, второто решава кой може да я отвори. Пропускането на което и да е от тях оставя дизайн, който изглежда завършен, а не е.

Изберете границата, която отговаря на работата и на оперативния модел, който наистина имате. Преглед на ролите на RDS описва мястото на шлюза сред хоста на сесията и другите компоненти и това е контекстът, който прави цената му разбираема.