Reenviament SSH, VPN o RD Gateway: quin camí per a un escriptori RDP?

Les tres opcions transporten RDP, així que el protocol no és el factor decisiu. La pregunta real és quant abast ha de rebre un usuari i qui opera la cosa que el concedeix. Un port TCP reenviat, una xarxa privada encaminada i una passarel·la d’escriptori responen aquesta pregunta en tres mides diferents. Trieu primer la mida i el producte seguirà.

La pregunta és l’abast, no el protocol

Anoteu què ha de tocar realment l’usuari. Si la resposta és un escriptori, un disseny que atorga una subxarxa és massa ampli. Si la resposta és un escriptori més comparticions de fitxers més una consola d’administració, un disseny que reenvia un port tornarà el mes que ve per dos reenviaments més. La llista de destinacions és el requisit; tota la resta és implementació.

Mantingueu la identitat d’entrada separada del compte de Windows que inicia sessió a l’escriptori. Tots els dissenys de sota tenen tots dos, i confondre’ls és com un compte d’amfitrió de salt acaba amb més autoritat de la que ningú pretenia.

Un servei TCP reenviat

Un amfitrió de salt SSH aprovat pot reenviar un escoltador local cap al servei RDP que pot assolir. Lligueu aquest escoltador a loopback quan només existeix per a la màquina de l’usuari, que és la intenció normal d’un reenviament local. El reenviament és una comoditat per a una persona, no un servei per a un equip.

L’inici de sessió SSH autentica l’accés al camí de reenviament, i res més. L’autenticació de Windows i l’autorització RDP encara passen a la destinació, així que un compte de salt vàlid no és una sessió d’escriptori vàlida. Són dues portes independents i totes dues s’han d’obrir.

Restringiu les destinacions de reenviament del compte de salt en lloc de concedir una shell sense restriccions. Aquest disseny s’adiu a un conjunt petit i explícitament llistat de màquines, i afegeix un amfitrió, una identitat i un cicle de vida per operar. Aquest amfitrió extra és la part que la gent oblida en comparar-lo amb una passarel·la: algú l’ha de pedaçar, monitorar i posseir-ne les claus.

Un espai de treball privat encaminat

Una VPN dona DNS privat i accés a diversos serveis usats junts, que és el seu valor real. Amagar un port d’escriptori és un efecte secundari, no el motiu per construir-la. Aquesta distinció importa quan algú pregunta per què existeix la VPN.

Restringiu les rutes i els permisos de recursos a les destinacions previstes. Un usuari connectat no mereix automàticament tota la LAN, i el tallafoc de destinació més els drets d’inici de sessió de Windows continuen sent fronteres separades que la VPN no substitueix.

Aquest arranjament és convenient per a un espai de treball gestionat ja establert. El cost és que l’onboarding, els requisits de dispositiu, el comportament del resolutor i la política de connexió esdevenen part de l’entorn de treball de l’usuari, i algú els ha de posseir. Compareu aquest cost amb la llicència de la passarel·la abans de suposar que la VPN és l’opció més barata.

Una passarel·la específica per a RDP

Remote Desktop Gateway ofereix una frontera específica per a RDP en lloc d’una de xarxa. La seva política d’autorització de connexions decideix qui es pot connectar, i la seva política d’autorització de recursos decideix a quins recursos interns poden arribar-hi. Totes dues polítiques formen part del producte, no són extres opcionals.

Planifiqueu els certificats, la integració d’identitat i els transports necessaris alhora. La passarel·la no és un relé TCP anònim, i desplegar-la com a tal omet les polítiques que la justifiquen. També porta requisits de llicència i operatius que un sol port reenviat no té. Pressuposteu-los abans de la revisió de disseny, no després.

On un equip ja opera accés centralitzat a escriptoris, aquest cost ja està pagat. On una persona necessita una màquina, és una màquina gran per comprar per a una feina petita.

Què necessiten encara les tres

Preserveu les comprovacions d’identitat d’amfitrió a cada disseny. Un àlies local o un túnel no fan inofensiu un certificat inesperat, i acceptar-ne un de no coincident per passar per un proxy anul·la el sentit del túnel. El nom del client i el nom del certificat s’han de reconciliar deliberadament.

Apliqueu MFA al punt d’entrada on la política ho requereixi, i manteniu els controls de compte de la destinació. Els dos es complementen: el primer decideix qui pot arribar a la porta, el segon decideix qui la pot obrir. Ometre un dels dos deixa un disseny que sembla complet i no ho és.

Trieu la frontera que encaixa amb la feina i el model operatiu que realment teniu. Visió general dels rols de RDS descriu el lloc de la passarel·la entre l’amfitrió de sessió i altres components, i aquest és el context que fa llegible el seu cost.