SSH-videresendelse, VPN eller RD Gateway: hvilken vej til én RDP-skrivebord?

Alle tre muligheder bærer RDP, så protokollen er ikke den afgørende faktor. Det egentlige spørgsmål er, hvor meget rækkevidde én bruger bør få, og hvem der driver det, som giver den. En videresendt TCP-port, et routet privat netværk og en skrivebordsgateway besvarer det spørgsmål i tre forskellige størrelser. Vælg størrelsen først, og produktet følger.

Spørgsmålet er omfang, ikke protokol

Skriv ned, hvad brugeren faktisk skal røre ved. Hvis svaret er ét skrivebord, er et design, der giver et subnet, for bredt. Hvis svaret er et skrivebord plus filshare plus en adminkonsol, kommer et design, der videresender én port, tilbage i næste måned efter to videresendelser mere. Listen over destinationer er kravet; alt andet er implementering.

Hold indgangsidentiteten adskilt fra den Windows-konto, der logger på skrivebordet. Hvert design nedenfor har begge, og at blande dem er, hvordan en jump host-konto ender med mere myndighed, end nogen havde tænkt sig.

Én videresendt TCP-tjeneste

En godkendt SSH jump host kan videresende en lokal lytter til den RDP-tjeneste, den kan nå. Bind den lytter til loopback, når den kun findes for brugerens egen maskine, hvilket er den normale hensigt med en lokal videresendelse. Videresendelsen er en bekvemmelighed for én person, ikke en tjeneste for et team.

SSH-loginet godkender adgang til videresendelsesvejen og intet mere. Windows-godkendelse og RDP-autorisation sker stadig ved destinationen, så en gyldig jump-konto er ikke en gyldig skrivebordssession. Det er to uafhængige porte, og begge skal åbnes.

Begræns jump-kontoens videresendelsesdestinationer i stedet for at give et ubegrænset shell. Dette design passer til et lille, udtrykkeligt opført sæt maskiner, og det tilføjer en host, en identitet og en livscyklus at drive. Den ekstra host er den del, folk glemmer, når de sammenligner med en gateway: nogen skal patche den, overvåge den og eje dens nøgler.

Et routet privat arbejdsområde

En VPN giver privat DNS og adgang til flere tjenester, der bruges sammen, og det er dens faktiske værdi. At skjule én skrivebordsport er en bivirkning, ikke grunden til at bygge den. Den forskel betyder noget, når nogen spørger, hvorfor VPN'en overhovedet findes.

Begræns ruter og ressource tilladelser til de tilsigtede destinationer. En tilsluttet bruger fortjener ikke automatisk hele LAN'et, og destinationsfirewallen plus Windows-logonrettigheder forbliver separate grænser, som VPN'en ikke erstatter.

Denne ordning er bekvem for et etableret administreret arbejdsområde. Omkostningen er, at onboarding, enhedskrav, resolveradfærd og forbindelsespolitik bliver en del af brugerens arbejdsmiljø, og nogen skal eje dem. Sammenlign den omkostning med gatewayens licensering, før du antager, at VPN'en er den billigere mulighed.

En RDP-specifik gateway

Remote Desktop Gateway giver en RDP-specifik grænse i stedet for en netværksgrænse. Dets politik for forbindelsesautorisation afgør, hvem der må forbinde, og dets politik for ressourceautorisation afgør, hvilke interne ressourcer de må nå gennem den. Begge politikker er en del af produktet, ikke valgfrit ekstraudstyr.

Planlæg certifikater, identitetsintegration og nødvendige transporter sammen. Gatewayen er ikke et anonymt TCP-relæ, og at implementere den som et springer de politikker over, som berettiger den i første omgang. Den bærer også licens- og driftskrav, som én videresendt port ikke gør. Budgetlæg dem før designgennemgangen, ikke efter.

Hvor et team allerede driver central skrivebordsadgang, er den omkostning allerede betalt. Hvor én person har brug for én maskine, er det en stor maskine at købe til et lille job.

Hvad alle tre stadig har brug for

Bevar værtsidentitetskontroller i hvert design. Et lokalt alias eller en tunnel gør ikke et uventet certifikat uskadeligt, og at acceptere et ikke-matchende for at komme gennem en proxy ødelægger pointen med tunnelen. Navnet i klienten og navnet på certifikatet skal afstemmes bevidst.

Anvend MFA ved indgangspunktet, hvor politikken kræver det, og behold destinationens kontokontroller. De to supplerer hinanden: det første afgør, hvem der må nå døren, det andet afgør, hvem der må åbne den. At droppe en af dem efterlader et design, der ser komplet ud og ikke er det.

Vælg den grænse, der passer til arbejdet og den driftsmodel, du faktisk har. Oversigt over RDS-roller beskriver gatewayens plads blandt sessionsværten og andre komponenter, og det er den kontekst, der gør dens omkostning læsbar.