SSH-plusfwdado, VPN aŭ RD Gateway: kiu vojo por unu RDP-labortablo?

Ĉiuj tri opcioj portas RDP, do la protokolo ne estas la decida faktoro. La vera demando estas kiom da atingeblo unu uzanto devus ricevi, kaj kiu funkciigas la aferon, kiu donas ĝin. Plusendita TCP-pordo, enkursigita privata reto kaj labortabla enirejo respondas tiun demandon en tri malsamaj grandecoj. Elektu la grandecon unue kaj la produkto sekvos.

La demando estas amplekso, ne protokolo

Notu, kion la uzanto efektive devas tuŝi. Se la respondo estas unu labortablo, dizajno, kiu donas subreton, estas tro vasta. Se la respondo estas labortablo plus dosierkomunigoj plus administra konzolo, dizajno, kiu plusendas unu pordon, revenos venontmonate por du pliaj plusendoj. La listo de celoj estas la postulo; ĉio alia estas efektivigo.

Tenu la eniridenton aparte de la Windows-konto, kiu ensalutas la labortablon. Ĉiu dizajno sube havas ambaŭ, kaj konfuzi ilin estas kiel saltgastiga konto finas kun pli da aŭtoritato ol iu intencis.

Unu plusendita TCP-servo

Aprobita SSH-saltgastiganto povas plusendi lokan aŭskultanton al la RDP-servo, kiun ĝi povas atingi. Ligu tiun aŭskultanton al loopback kiam ĝi ekzistas nur por la propra maŝino de la uzanto, kio estas la normala intenco de loka plusendo. La plusendo estas komforto por unu persono, ne servo por teamo.

La SSH-ensaluto aŭtentigas aliron al la plusenda vojo, kaj nenion pli. Windows-aŭtentigo kaj RDP-permeso ankoraŭ okazas ĉe la celo, do valida saltkonto ne estas valida labortabla seanco. Tiuj estas du sendependaj pordegoj kaj ambaŭ devas malfermiĝi.

Limigu la plusendajn celojn de la saltkonto anstataŭ doni senliman ŝelon. Ĉi tiu dizajno taŭgas por malgranda, eksplicite listigita aro de maŝinoj, kaj ĝi aldonas gastiganton, identon kaj vivciklon por funkciigi. Tiu kroma gastiganto estas la parto, kiun homoj forgesas kiam ili komparas ĝin kun enirejo: iu devas fliki ĝin, observi ĝin kaj posedi ĝiajn ŝlosilojn.

Enkursigita privata laborspaco

VPN donas privatan DNS kaj aliron al pluraj servoj uzataj kune, kaj tio estas ĝia reala valoro. Kaŝi unu labortablan pordon estas kromefiko, ne la kialo konstrui ĝin. Tiu distingo gravas kiam iu demandas, kial la VPN entute ekzistas.

Limigu itinerojn kaj rimedpermesojn al la celataj celoj. Konektita uzanto ne aŭtomate meritas la tutan LAN-on, kaj la celŝirma muro plus Windows-ensalutaj rajtoj restas apartaj limoj, kiujn la VPN ne anstataŭas.

Ĉi tiu aranĝo estas oportuna por jam establita administrata laborspaco. La kosto estas, ke enkonduko, aparatpostuloj, konduto de solvilo kaj konekta politiko fariĝas parto de la labora medio de la uzanto, kaj iu devas posedi ilin. Komparu tiun koston kun la licencado de la enirejo antaŭ ol supozi, ke la VPN estas la pli malmultekosta opcio.

RDP-specifa enirejo

Remote Desktop Gateway provizas RDP-specifan limon anstataŭ retan. Ĝia konekta permespolitiko decidas, kiu rajtas konektiĝi, kaj ĝia rimeda permespolitiko decidas, al kiuj internaj rimedoj ili rajtas atingi tra ĝi. Ambaŭ politikoj estas parto de la produkto, ne laŭvolaj aldonaĵoj.

Planu atestilojn, identan integriĝon kaj postulatajn transportojn kune. La enirejo ne estas anonima TCP-relajso, kaj deplojado kiel tia preterlasas la politikojn, kiuj pravigas ĝin. Ĝi ankaŭ portas licencajn kaj operaciajn postulojn, kiujn unu plusendita pordo ne portas. Buĝetu por ili antaŭ la dizajna revizio, ne post ĝi.

Kie teamo jam funkciigas centran labortablan aliron, tiu superkosto jam estas pagita. Kie unu persono bezonas unu maŝinon, ĝi estas granda maŝino aĉetita por malgranda tasko.

Kion ĉiuj tri ankoraŭ bezonas

Konservu gastigantidentecajn kontrolojn en ĉiu dizajno. Loka alinomo aŭ tunelo ne igas neatenditan atestilon sendanĝera, kaj akcepti malkongruan atestilon por trapasi prokuron fiaskigas la sencon de la tunelo. La nomo en la kliento kaj la nomo sur la atestilo devas esti intence kongruigitaj.

Apliku MFA ĉe la enirpunkto, kie la politiko postulas ĝin, kaj konservu la kontajn kontrolojn de la celo. La du kompletigas unu la alian: la unua decidas, kiu rajtas atingi la pordon, la dua decidas, kiu rajtas malfermi ĝin. Forlasi ajnan el ili lasas dizajnon, kiu aspektas kompleta kaj ne estas.

Elektu la limon, kiu kongruas kun la laboro kaj la operacia modelo, kiun vi efektive havas. Superrigardo de RDS-roloj priskribas la lokon de la enirejo inter la seanca gastiganto kaj aliaj komponantoj, kaj tio estas la kunteksto, kiu igas ĝian koston legebla.