SSH přesměrování, VPN nebo RD Gateway: která cesta pro jednu plochu RDP?

Všechny tři možnosti přenášejí RDP, takže protokol není rozhodujícím faktorem. Skutečná otázka je, jaký dosah má jeden uživatel dostat a kdo provozuje věc, která ho poskytuje. Přesměrovaný port TCP, směrovaná privátní síť a brána pro plochu odpovídají na tuto otázku ve třech různých velikostech. Nejprve vyberte velikost a produkt bude následovat.

Otázka je rozsah, ne protokol

Zapište, čeho se uživatel skutečně potřebuje dotknout. Pokud je odpovědí jedna plocha, návrh, který dává podsíť, je příliš široký. Pokud je odpovědí plocha plus souborové sdílení plus administrátorská konzole, návrh, který přesměruje jeden port, se příští měsíc vrátí pro další dva přesměrování. Seznam cílů je požadavek; vše ostatní je implementace.

Držte vstupní identitu odděleně od účtu Windows, který se přihlašuje k ploše. Každý návrh níže má obojí, a jejich zaměňování je způsob, jak účet skokového hostitele získá větší pravomoc, než kdo zamýšlel.

Jedna přesměrovaná služba TCP

Schválený skokový hostitel SSH může přesměrovat místní naslouchající port na službu RDP, ke které se dostane. Když existuje jen pro uživatelův vlastní stroj, přivažte ho na loopback, což je obvyklý záměr místního přesměrování. Přesměrování je pohodlí pro jednoho člověka, ne služba pro tým.

Přihlášení SSH ověřuje přístup k přesměrovací cestě a nic víc. Ověření Windows a autorizace RDP stále probíhají na cíli, takže platný skokový účet není platná relace plochy. Jsou to dvoje nezávislé dveře a oboje se musí otevřít.

Omezte cíle přesměrování skokového účtu, místo abyste dávali neomezený shell. Tento návrh se hodí pro malou, výslovně uvedenou sadu strojů a přidává hostitele, identitu a životní cyklus k provozu. Ten hostitel navíc je část, kterou lidé zapomínají při srovnání s bránou: někdo ho musí záplatovat, sledovat a vlastnit jeho klíče.

Směrovaný privátní pracovní prostor

VPN dává privátní DNS a přístup k několika službám používaným společně, a to je její skutečná hodnota. Skrývání jednoho portu plochy je vedlejší účinek, ne důvod ji stavět. Ten rozdíl je důležitý, když se někdo ptá, proč VPN vůbec existuje.

Omezte trasy a oprávnění k prostředkům na zamýšlené cíle. Připojený uživatel si automaticky nezaslouží celou LAN a cílová brána firewall plus práva přihlášení Windows zůstávají oddělenými hranicemi, které VPN nenahrazuje.

Toto uspořádání je vhodné pro zavedený spravovaný pracovní prostor. Cenou je, že onboarding, požadavky na zařízení, chování resolveru a zásady připojení se stanou součástí uživatelova pracovního prostředí a někdo je musí vlastnit. Porovnejte tuto cenu s licencováním brány, než budete předpokládat, že VPN je levnější možnost.

Brána specifická pro RDP

Remote Desktop Gateway poskytuje hranici specifickou pro RDP, nikoli síťovou. Její zásady autorizace připojení rozhodují, kdo se smí připojit, a zásady autorizace prostředků rozhodují, ke kterým interním prostředkům se přes ni dostanou. Obě zásady jsou součástí produktu, ne volitelné doplňky.

Naplánujte certifikáty, integraci identit a požadované transporty společně. Brána není anonymní TCP relé a její nasazení jako takové přeskakuje zásady, které ji vůbec ospravedlňují. Nese také licenční a provozní požadavky, které jediný přesměrovaný port nemá. Naplánujte je do rozpočtu před revizí návrhu, ne po ní.

Tam, kde tým už provozuje centrální přístup k plochám, jsou tyto náklady už zaplacené. Tam, kde jeden člověk potřebuje jeden stroj, je to velký stroj kupovaný na malou práci.

Co všechny tři stále potřebují

Zachovejte kontroly identity hostitele v každém návrhu. Místní alias nebo tunel nečiní neočekávaný certifikát neškodným a přijetí neshodného certifikátu, abyste prošli přes proxy, ničí smysl tunelu. Jméno v klientovi a jméno na certifikátu je třeba vědomě sladit.

Uplatněte MFA ve vstupním bodě, kde to zásady vyžadují, a zachovejte ovládací prvky účtu v cíli. Ty dvě se doplňují: první rozhoduje, kdo smí dojít ke dveřím, druhé, kdo je smí otevřít. Vypuštění kteréhokoli nechává návrh, který vypadá úplný a není.

Vyberte hranici, která odpovídá práci a provoznímu modelu, který skutečně máte. Přehled rolí RDS popisuje místo brány mezi hostitelem relace a dalšími komponentami, a to je kontext, který činí její cenu čitelnou.