Anfon SSH, VPN neu RD Gateway: pa lwybr ar gyfer un bwrdd gwaith RDP?

Mae’r tri opsiwn yn cario RDP, felly nid y protocol yw’r ffactor penderfynol. Y cwestiwn gwirioneddol yw faint o gyrraedd y dylai un defnyddiwr ei gael, a phwy sy’n gweithredu’r peth sy’n ei roi. Mae porthladd TCP a anfonir ymlaen, rhwydwaith preifat a lwybrir, a giât bwrdd gwaith yn ateb y cwestiwn hwnnw mewn tri maint gwahanol. Dewiswch y maint yn gyntaf a bydd y cynnyrch yn dilyn.

Y cwestiwn yw cwmpas, nid protocol

Ysgrifennwch beth y mae’r defnyddiwr angen ei gyffwrdd mewn gwirionedd. Os mai un bwrdd gwaith yw’r ateb, mae dyluniad sy’n rhoi is-rwydwaith yn rhy eang. Os mai bwrdd gwaith ynghyd â chyfrannu ffeiliau ynghyd â chonsol weinyddu yw’r ateb, bydd dyluniad sy’n anfon un porthladd ymlaen yn dychwelyd y mis nesaf am ddau anfoniad arall. Rhestr y cyrchfannau yw’r gofyniad; popeth arall yw gweithrediad.

Cadwch yr hunaniaeth mynediad ar wahân i’r cyfrif Windows sy’n mewngofnodi i’r bwrdd gwaith. Mae gan bob dyluniad isod y ddau, a’u cymysgu yw sut y mae cyfrif gwesteiwr naid yn cael mwy o awdurdod nag a fwriadwyd gan unrhyw un.

Un gwasanaeth TCP a anfonir ymlaen

Gall gwesteiwr naid SSH cymeradwy anfon gwrandäwr lleol ymlaen at y gwasanaeth RDP y mae’n gallu ei gyrraedd. Rhwymwch y gwrandäwr hwnnw i loopback pan fo’n bodoli’n unig ar gyfer peiriant y defnyddiwr ei hun, sef bwriad arferol anfoniad lleol. Mae’r anfoniad yn gyfleustra i un person, nid yn wasanaeth i dîm.

Mae mewngofnodi SSH yn dilysu mynediad i’r llwybr anfon, a dim mwy. Mae dilysu Windows ac awdurdodi RDP yn dal i ddigwydd yn y cyrchfan, felly nid yw cyfrif naid dilys yn sesiwn bwrdd gwaith ddilys. Dau borth annibynnol ydynt ac mae’n rhaid agor y ddau.

Cyfyngwch gyrchfannau anfon y cyfrif naid yn hytrach na rhoi plisgyn heb gyfyngiad. Mae’r dyluniad hwn yn addas ar gyfer set fach, a restrir yn benodol, o beiriannau, ac mae’n ychwanegu gwesteiwr, hunaniaeth a chylch bywyd i’w weithredu. Y gwesteiwr ychwanegol hwnnw yw’r rhan y mae pobl yn ei anghofio wrth ei gymharu â giât: rhaid i rywun ei glytio, ei fonitro a bod yn berchen ar ei allweddi.

Gweithle preifat a lwybrir

Mae VPN yn rhoi DNS preifat a mynediad at sawl gwasanaeth a ddefnyddir gyda’i gilydd, a dyna ei wir werth. Cuddio un porthladd bwrdd gwaith yw sgîl-effaith, nid y rheswm dros ei adeiladu. Mae’r gwahaniaeth hwnnw’n bwysig pan fydd rhywun yn gofyn pam fod y VPN yn bodoli o gwbl.

Cyfyngwch lwybrau a chaniatadau adnoddau i’r cyrchfannau a fwriadwyd. Nid yw defnyddiwr cysylltiedig yn haeddu’r LAN gyfan yn awtomatig, ac mae mur tân y cyrchfan ynghyd â hawliau mewngofnodi Windows yn parhau’n ffiniau ar wahân nad yw’r VPN yn eu disodli.

Mae’r trefniant hwn yn gyfleus ar gyfer gweithle rheoledig sefydledig. Y gost yw bod ymgymryd, gofynion dyfais, ymddygiad datryswr a pholisi cysylltu yn dod yn rhan o amgylchedd gwaith y defnyddiwr, a rhaid i rywun feddu arnynt. Cymharwch y gost honno â thrwyddedu’r giât cyn tybio mai’r VPN yw’r opsiwn rhatach.

Giât sy’n benodol i RDP

Mae Remote Desktop Gateway yn darparu ffin sy’n benodol i RDP yn hytrach na ffin rhwydwaith. Mae ei bolisi awdurdodi cysylltiadau yn penderfynu pwy a gaiff gysylltu, ac mae ei bolisi awdurdodi adnoddau yn penderfynu pa adnoddau mewnol y gallant eu cyrraedd drwyddo. Mae’r ddau bolisi yn rhan o’r cynnyrch, nid yn ychwanegiadau dewisol.

Cynlluniwch dystysgrifau, integreiddio hunaniaeth a’r trafnidiaeth ofynnol gyda’i gilydd. Nid yw’r giât yn relái TCP dienw, ac mae ei defnyddio felly’n hepgor y polisïau sy’n ei chyfiawnhau yn y lle cyntaf. Mae hefyd yn cario gofynion trwyddedu a gweithredol nad yw un porthladd a anfonir ymlaen yn eu cario. Cyllidebwch ar eu cyfer cyn yr adolygiad dylunio, nid ar ôl hynny.

Lle mae tîm eisoes yn rhedeg mynediad bwrdd gwaith canolog, mae’r gorbenion hwnnw eisoes wedi’i dalu. Lle mae un person angen un peiriant, mae’n beiriant mawr i’w brynu ar gyfer gwaith bach.

Yr hyn y mae’r tri o hyd yn ei angen

Cadwch wiriadau hunaniaeth gwesteiwr ym mhob dyluniad. Nid yw alias lleol na thwnel yn gwneud tystysgrif annisgwyl yn ddiniwed, ac mae derbyn un nad yw’n cyfateb er mwyn mynd trwy ddirprwy yn difetha pwrpas y twnel. Rhaid cysoni’r enw yn y cleient a’r enw ar y dystysgrif yn fwriadol.

Cymhwyswch MFA yn y man mynediad lle mae polisi yn ei fynnu, a chadwch reolyddion cyfrif y cyrchfan. Mae’r ddau yn ategu ei gilydd: mae’r cyntaf yn penderfynu pwy a gaiff gyrraedd y drws, mae’r ail yn penderfynu pwy a gaiff ei agor. Mae gollwng y naill neu’r llall yn gadael dyluniad sy’n edrych yn gyflawn ac nad yw.

Dewiswch y ffin sy’n cyfateb i’r gwaith a’r model gweithredu sydd gennych mewn gwirionedd. Mae Trosolwg o rolau RDS yn disgrifio lle’r giât ymhlith y gwesteiwr sesiwn a chydrannau eraill, a dyna’r cyd-destun sy’n gwneud ei chost yn ddealladwy.