SSH ফরোয়ার্ড, VPN নাকি RD Gateway: একটি RDP ডেস্কটপের জন্য কোন পথ?

তিনটি বিকল্পই RDP বহন করে, তাই প্রোটোকলটি নির্ধারক নয়। আসল প্রশ্ন হলো একজন ব্যবহারকারী কতটা পৌঁছনো পাওয়া উচিত এবং যে জিনিসটি তা দেয় তা কে পরিচালনা করে। একটি ফরোয়ার্ড করা TCP পোর্ট, একটি রাউটেড প্রাইভেট নেটওয়ার্ক এবং একটি ডেস্কটপ গেটওয়ে এই প্রশ্নের উত্তর দেয় তিনটি ভিন্ন আকারে। আগে আকার বেছে নিন, পণ্য পরে আসবে।

প্রশ্নটি প্রোটোকল নয়, পরিধি

ব্যবহারকারীর আসলে কী স্পর্শ করতে হবে তা লিখে রাখুন। উত্তর যদি একটি ডেস্কটপ হয়, তাহলে সাবনেট দেওয়া নকশাটি অতি-প্রশস্ত। উত্তর যদি ডেস্কটপ যোগ ফাইল শেয়ার যোগ একটি অ্যাডমিন কনসোল হয়, তাহলে একটি পোর্ট ফরোয়ার্ড করা নকশাটি পরের মাসে আরও দুটি ফরোয়ার্ডের জন্য ফিরে আসবে। গন্তব্যের তালিকাই হলো চাহিদা; বাকি সব বাস্তবায়ন।

প্রবেশ পরিচয়কে ডেস্কটপে সাইন ইন করা Windows অ্যাকাউন্ট থেকে আলাদা রাখুন। নিচের প্রতিটি নকশায় দুটোই আছে, আর এগুলো মিশিয়ে ফেলাই হলো জাম্প হোস্ট অ্যাকাউন্টের কাছে কেউ যতটা চেয়েছিল তার চেয়ে বেশি ক্ষমতা চলে যাওয়ার উপায়।

একটি ফরোয়ার্ড করা TCP পরিষেবা

অনুমোদিত একটি SSH জাম্প হোস্ট একটি স্থানীয় লিসেনারকে যে RDP পরিষেবায় পৌঁছাতে পারে সেখানে ফরোয়ার্ড করতে পারে। সেই লিসেনারটি কেবল ব্যবহারকারীর নিজের মেশিনের জন্য হলে সেটিকে loopback-এ বাঁধুন, যা স্থানীয় ফরোয়ার্ডের স্বাভাবিক উদ্দেশ্য। ফরোয়ার্ডটি একজন মানুষের জন্য সুবিধা, দলের জন্য পরিষেবা নয়।

SSH লগইন কেবল ফরোয়ার্ডিং পথে প্রবেশ যাচাই করে, এর বেশি কিছু নয়। Windows প্রমাণীকরণ এবং RDP অনুমোদন এখনও গন্তব্যেই ঘটে, তাই বৈধ জাম্প অ্যাকাউন্ট মানেই বৈধ ডেস্কটপ সেশন নয়। এগুলো দুটি স্বাধীন দরজা এবং দুটোই খুলতে হবে।

সীমাহীন শেল দেওয়ার বদলে জাম্প অ্যাকাউন্টের ফরোয়ার্ডিং গন্তব্যগুলো সীমিত করুন। এই নকশাটি স্পষ্টভাবে তালিকাভুক্ত অল্প কিছু মেশিনের জন্য উপযুক্ত, এবং এটি পরিচালনার জন্য একটি হোস্ট, একটি পরিচয় ও একটি জীবনচক্র যোগ করে। সেই অতিরিক্ত হোস্টটিই মানুষ গেটওয়ের সঙ্গে তুলনা করার সময় ভুলে যায়: কাউকে এটি প্যাচ করতে হবে, পর্যবেক্ষণ করতে হবে এবং এর চাবির মালিক হতে হবে।

একটি রাউটেড প্রাইভেট ওয়ার্কস্পেস

একটি VPN প্রাইভেট DNS এবং একসঙ্গে ব্যবহৃত কয়েকটি পরিষেবায় প্রবেশ দেয়, আর এটাই তার আসল মূল্য। একটি ডেস্কটপ পোর্ট লুকানো একটি পার্শ্বপ্রতিক্রিয়া, এটি নির্মাণের কারণ নয়। কেউ জিজ্ঞাসা করলে VPN আদৌ কেন আছে, সেই পার্থক্যটি তখন গুরুত্বপূর্ণ।

রুট এবং সম্পদ অনুমতিগুলো অভীষ্ট গন্তব্যে সীমাবদ্ধ করুন। সংযুক্ত ব্যবহারকারী স্বয়ংক্রিয়ভাবে পুরো LAN পাওয়ার যোগ্য নয়, এবং গন্তব্যের ফায়ারওয়াল যোগ Windows সাইন-ইন অধিকার আলাদা সীমানা হিসেবেই থাকে যা VPN প্রতিস্থাপন করে না।

এই ব্যবস্থাটি একটি প্রতিষ্ঠিত পরিচালিত ওয়ার্কস্পেসের জন্য সুবিধাজনক। খরচ হলো অনবোর্ডিং, ডিভাইসের চাহিদা, রিজলভার আচরণ এবং সংযোগ নীতি ব্যবহারকারীর কাজের পরিবেশের অংশ হয়ে যায়, এবং কাউকে এর মালিক হতে হয়। VPN সস্তা বিকল্প বলে ধরে নেওয়ার আগে সেই খরচ গেটওয়ের লাইসেন্সিংয়ের সঙ্গে তুলনা করুন।

RDP-নির্দিষ্ট গেটওয়ে

Remote Desktop Gateway নেটওয়ার্কের বদলে RDP-নির্দিষ্ট একটি সীমানা দেয়। এর সংযোগ অনুমোদন নীতি ঠিক করে কে সংযোগ করতে পারে, আর এর সম্পদ অনুমোদন নীতি ঠিক করে তারা এর মধ্য দিয়ে কোন অভ্যন্তরীণ সম্পদে পৌঁছাতে পারে। দুটি নীতিই পণ্যের অংশ, ঐচ্ছিক সংযোজন নয়।

সার্টিফিকেট, পরিচয় সংহতি এবং প্রয়োজনীয় ট্রান্সপোর্ট একসঙ্গে পরিকল্পনা করুন। গেটওয়ে কোনো বেনামি TCP রিলে নয়, এবং এটিকে তেমনভাবে স্থাপন করলে যে নীতিগুলো এটিকে ন্যায্যতা দেয় সেগুলো বাদ পড়ে। এটি লাইসেন্সিং ও পরিচালনার চাহিদাও বহন করে যা একটি ফরোয়ার্ড করা পোর্ট বহন করে না। নকশা পর্যালোচনার আগেই সেগুলোর বাজেট রাখুন, পরে নয়।

যেখানে একটি দল ইতিমধ্যে কেন্দ্রীয় ডেস্কটপ প্রবেশ চালায়, সেখানে সেই ব্যয় ইতিমধ্যে দেওয়া হয়েছে। যেখানে একজনের একটি মেশিন দরকার, সেখানে ছোট কাজের জন্য এটি একটি বড় মেশিন কেনা।

তিনটির সবগুলোরই যা এখনও দরকার

প্রতিটি নকশায় হোস্ট পরিচয় যাচাই রাখুন। একটি স্থানীয় উপনাম বা একটি টানেল অপ্রত্যাশিত সার্টিফিকেটকে নিরীহ করে না, আর প্রক্সি পেরোতে অসঙ্গত সার্টিফিকেট গ্রহণ করা টানেলের উদ্দেশ্যই নষ্ট করে। ক্লায়েন্টের নাম ও সার্টিফিকেটের নাম সচেতনভাবে মিলিয়ে নিতে হবে।

নীতি যেখানে দাবি করে সেখানে প্রবেশ বিন্দুতে MFA প্রয়োগ করুন, এবং গন্তব্যের অ্যাকাউন্ট নিয়ন্ত্রণ রাখুন। দুটি পরিপূরক: প্রথমটি ঠিক করে কে দরজায় পৌঁছাতে পারে, দ্বিতীয়টি ঠিক করে কে তা খুলতে পারে। যেকোনো একটি বাদ দিলে এমন নকশা থাকে যা সম্পূর্ণ দেখায় কিন্তু নয়।

যে কাজ ও পরিচালনা মডেল আপনার সত্যিই আছে তার সঙ্গে মেলে এমন সীমানা বেছে নিন। RDS ভূমিকার সংক্ষিপ্ত বিবরণ সেশন হোস্ট ও অন্যান্য উপাদানের মধ্যে গেটওয়ের স্থান বর্ণনা করে, আর এই প্রসঙ্গই এর ব্যয়কে বোধগম্য করে।