Προώθηση SSH, VPN ή RD Gateway: ποια διαδρομή για μία επιφάνεια εργασίας RDP;

Και οι τρεις επιλογές μεταφέρουν RDP, επομένως το πρωτόκολλο δεν είναι ο καθοριστικός παράγοντας. Το πραγματικό ερώτημα είναι πόση προσβασιμότητα πρέπει να λάβει ένας χρήστης και ποιος λειτουργεί το πράγμα που τη χορηγεί. Μια προωθημένη θύρα TCP, ένα δρομολογημένο ιδιωτικό δίκτυο και μια πύλη επιφάνειας εργασίας απαντούν σε αυτό το ερώτημα σε τρία διαφορετικά μεγέθη. Επιλέξτε πρώτα το μέγεθος και το προϊόν θα ακολουθήσει.

Το ερώτημα είναι εύρος, όχι πρωτόκολλο

Γράψτε τι χρειάζεται πραγματικά να αγγίξει ο χρήστης. Αν η απάντηση είναι μία επιφάνεια εργασίας, ένα σχέδιο που χορηγεί υποδίκτυο είναι υπερβολικά ευρύ. Αν η απάντηση είναι επιφάνεια εργασίας συν κοινόχρηστα αρχεία συν κονσόλα διαχείρισης, ένα σχέδιο που προωθεί μία θύρα θα επιστρέψει τον επόμενο μήνα για δύο ακόμη προωθήσεις. Η λίστα προορισμών είναι η απαίτηση· όλα τα άλλα είναι υλοποίηση.

Κρατήστε την ταυτότητα εισόδου χωριστά από τον λογαριασμό Windows που συνδέεται στην επιφάνεια εργασίας. Κάθε σχέδιο παρακάτω έχει και τα δύο, και η συγχώνευσή τους είναι ο τρόπος με τον οποίο ένας λογαριασμός κεντρικού υπολογιστή άλματος αποκτά περισσότερη εξουσία από όση σκόπευε κανείς.

Μία προωθημένη υπηρεσία TCP

Ένας εγκεκριμένος κεντρικός υπολογιστής άλματος SSH μπορεί να προωθήσει έναν τοπικό ακροατή στην υπηρεσία RDP που μπορεί να φτάσει. Δέστε αυτόν τον ακροατή στο loopback όταν υπάρχει μόνο για το μηχάνημα του ίδιου του χρήστη, που είναι η συνήθης πρόθεση μιας τοπικής προώθησης. Η προώθηση είναι διευκόλυνση για ένα άτομο, όχι υπηρεσία για μια ομάδα.

Η σύνδεση SSH πιστοποιεί την πρόσβαση στη διαδρομή προώθησης και τίποτε άλλο. Ο έλεγχος ταυτότητας Windows και η εξουσιοδότηση RDP εξακολουθούν να γίνονται στον προορισμό, επομένως ένας έγκυρος λογαριασμός άλματος δεν είναι έγκυρη συνεδρία επιφάνειας εργασίας. Είναι δύο ανεξάρτητες πύλες και οι δύο πρέπει να ανοίξουν.

Περιορίστε τους προορισμούς προώθησης του λογαριασμού άλματος αντί να χορηγείτε ένα απεριόριστο κέλυφος. Αυτό το σχέδιο ταιριάζει σε ένα μικρό, ρητά καταγεγραμμένο σύνολο μηχανημάτων, και προσθέτει έναν κεντρικό υπολογιστή, μια ταυτότητα και έναν κύκλο ζωής προς λειτουργία. Αυτός ο επιπλέον κεντρικός υπολογιστής είναι το μέρος που ξεχνούν οι άνθρωποι όταν το συγκρίνουν με μια πύλη: κάποιος πρέπει να το επιδιορθώνει, να το παρακολουθεί και να κατέχει τα κλειδιά του.

Ένας δρομολογημένος ιδιωτικός χώρος εργασίας

Ένα VPN παρέχει ιδιωτικό DNS και πρόσβαση σε πολλές υπηρεσίες που χρησιμοποιούνται μαζί, και αυτή είναι η πραγματική του αξία. Το να κρύβεις μία θύρα επιφάνειας εργασίας είναι παρενέργεια, όχι ο λόγος για να το φτιάξεις. Αυτή η διάκριση έχει σημασία όταν κάποιος ρωτά γιατί υπάρχει καθόλου το VPN.

Περιορίστε τις διαδρομές και τις άδειες πόρων στους επιδιωκόμενους προορισμούς. Ένας συνδεδεμένος χρήστης δεν δικαιούται αυτόματα ολόκληρο το LAN, και το τείχος προστασίας προορισμού συν τα δικαιώματα σύνδεσης Windows παραμένουν ξεχωριστά όρια που το VPN δεν αντικαθιστά.

Αυτή η διάταξη είναι βολική για ένα καθιερωμένο διαχειριζόμενο χώρο εργασίας. Το κόστος είναι ότι η ένταξη, οι απαιτήσεις συσκευών, η συμπεριφορά του resolver και η πολιτική σύνδεσης γίνονται μέρος του περιβάλλοντος εργασίας του χρήστη, και κάποιος πρέπει να τα κατέχει. Συγκρίνετε αυτό το κόστος με την αδειοδότηση της πύλης πριν υποθέσετε ότι το VPN είναι η φθηνότερη επιλογή.

Μια πύλη ειδική για RDP

Το Remote Desktop Gateway παρέχει ένα όριο ειδικό για RDP και όχι δικτυακό. Η πολιτική εξουσιοδότησης συνδέσεων αποφασίζει ποιος επιτρέπεται να συνδεθεί, και η πολιτική εξουσιοδότησης πόρων αποφασίζει σε ποιους εσωτερικούς πόρους μπορούν να φτάσουν μέσω αυτής. Και οι δύο πολιτικές είναι μέρος του προϊόντος, όχι προαιρετικά πρόσθετα.

Σχεδιάστε πιστοποιητικά, ενσωμάτωση ταυτότητας και απαιτούμενα μεταφορικά μέσα μαζί. Η πύλη δεν είναι ανώνυμο ρελέ TCP, και η ανάπτυξή της ως τέτοιου παραλείπει τις πολιτικές που τη δικαιολογούν εξαρχής. Φέρει επίσης απαιτήσεις αδειοδότησης και λειτουργίας που μία προωθημένη θύρα δεν έχει. Υπολογίστε τις στον προϋπολογισμό πριν από την αναθεώρηση σχεδίασης, όχι μετά.

Όπου μια ομάδα λειτουργεί ήδη κεντρική πρόσβαση επιφάνειας εργασίας, αυτό το γενικό κόστος έχει ήδη πληρωθεί. Όπου ένα άτομο χρειάζεται ένα μηχάνημα, είναι μεγάλο μηχάνημα για μικρή δουλειά.

Τι χρειάζονται ακόμη και τα τρία

Διατηρήστε τους ελέγχους ταυτότητας κεντρικού υπολογιστή σε κάθε σχέδιο. Ένα τοπικό ψευδώνυμο ή μια σήραγγα δεν κάνει ένα απρόσμενο πιστοποιητικό ακίνδυνο, και η αποδοχή ενός μη ταιριαστού για να περάσετε μέσω διαμεσολαβητή ακυρώνει το νόημα της σήραγγας. Το όνομα στον πελάτη και το όνομα στο πιστοποιητικό πρέπει να συμφιλιωθούν σκόπιμα.

Εφαρμόστε MFA στο σημείο εισόδου όπου το απαιτεί η πολιτική, και διατηρήστε τους ελέγχους λογαριασμού του προορισμού. Τα δύο συμπληρώνονται: το πρώτο αποφασίζει ποιος μπορεί να φτάσει στην πόρτα, το δεύτερο ποιος μπορεί να την ανοίξει. Αν λείπει ένα από τα δύο, μένει ένα σχέδιο που φαίνεται πλήρες και δεν είναι.

Επιλέξτε το όριο που ταιριάζει με την εργασία και το λειτουργικό μοντέλο που έχετε πραγματικά. Επισκόπηση των ρόλων RDS περιγράφει τη θέση της πύλης ανάμεσα στον κεντρικό υπολογιστή συνεδρίας και άλλα στοιχεία, και αυτό είναι το πλαίσιο που κάνει το κόστος της κατανοητό.