SSH edastamine, VPN või RD Gateway: milline tee ühe RDP-töölaua jaoks?

Kõik kolm valikut kannavad RDP-d, seega ei ole protokoll otsustav tegur. Tegelik küsimus on, kui palju ulatust üks kasutaja peaks saama, ja kes haldab seda, mis selle annab. Edastatud TCP-port, marsruuditud privaatvõrk ja töölaua värav vastavad sellele küsimusele kolmes erinevas suuruses. Valige esmalt suurus ja toode järgneb.

Küsimus on ulatus, mitte protokoll

Kirjutage üles, mida kasutaja tegelikult puutuma peab. Kui vastus on üks töölaud, on alamvõrgu andev lahendus liiga lai. Kui vastus on töölaud pluss failijagamised pluss halduskonsool, tuleb ühte porti edastav lahendus järgmisel kuul tagasi veel kahe edastuse jaoks. Sihtkohtade loend on nõue; kõik muu on teostus.

Hoidke sisenemise identiteet eraldi Windowsi kontost, mis töölauale sisse logib. Igal allpool oleval lahendusel on mõlemad, ja nende segamine on viis, kuidas hüppehosti konto saab rohkem volitusi, kui keegi kavatses.

Üks edastatud TCP-teenus

Kinnitatud SSH hüppehost saab edastada kohaliku kuulaja RDP-teenusele, milleni ta ulatub. Siduge see kuulaja loopbackiga, kui see on mõeldud ainult kasutaja enda masinale, mis on kohaliku edastuse tavaline eesmärk. Edastus on mugavus ühele inimesele, mitte teenus meeskonnale.

SSH-sisselogimine autendib juurdepääsu edastusteele ja mitte rohkem. Windowsi autentimine ja RDP autoriseerimine toimuvad endiselt sihtkohas, seega kehtiv hüppekonto ei ole kehtiv töölaua sessioon. Need on kaks sõltumatut väravat ja mõlemad peavad avanema.

Piirake hüppekonto edastussihtkohti, selle asemel et anda piiramatu shell. See lahendus sobib väikesele, selgesõnaliselt loetletud masinate hulgale, ja see lisab haldamiseks hosti, identiteedi ja elutsükli. See lisahost on osa, mille inimesed väravaga võrdlemisel unustavad: keegi peab seda lappima, jälgima ja selle võtmeid omama.

Marsruuditud privaatne tööruum

VPN annab privaatse DNS-i ja juurdepääsu mitmele koos kasutatavale teenusele, ja see on selle tegelik väärtus. Ühe töölaua pordi peitmine on kõrvalmõju, mitte selle ehitamise põhjus. See erinevus loeb, kui keegi küsib, miks VPN üldse olemas on.

Piirake marsruudid ja ressursiõigused kavandatud sihtkohtadega. Ühendatud kasutaja ei vääri automaatselt kogu LAN-i, ja sihtkoha tulemüür pluss Windowsi sisselogimisõigused jäävad eraldi piirideks, mida VPN ei asenda.

See korraldus on mugav juba loodud hallatava tööruumi jaoks. Kulu on see, et kasutuselevõtt, seadmenõuded, resolveri käitumine ja ühenduspoliitika saavad kasutaja töökeskkonna osaks ning keegi peab neid omama. Võrrelge seda kulu värava litsentsimisega, enne kui eeldate, et VPN on odavam valik.

RDP-spetsiifiline värav

Remote Desktop Gateway pakub RDP-spetsiifilist, mitte võrgupiiri. Selle ühenduste autoriseerimispoliitika otsustab, kes tohib ühenduda, ja ressursi autoriseerimispoliitika otsustab, millistele sisemistele ressurssidele nad selle kaudu ulatuvad. Mõlemad poliitikad on toote osa, mitte valikulised lisad.

Planeerige sertifikaadid, identiteedi lõimimine ja vajalikud transpordid koos. Värav ei ole anonüümne TCP relee, ja selle sellisena juurutamine jätab vahele poliitikad, mis seda üldse õigustavad. See kannab ka litsentsi- ja haldusnõudeid, mida üks edastatud port ei kanna. Arvestage need eelarvesse enne disainiülevaatust, mitte pärast.

Kus meeskond juba haldab tsentraalset töölaua juurdepääsu, on see üldkulu juba makstud. Kus ühel inimesel on vaja ühte masinat, on see suur masin väikese töö jaoks.

Mida kõik kolm endiselt vajavad

Säilitage hosti identiteedi kontrollid igas lahenduses. Kohalik alias ega tunnel ei tee ootamatut sertifikaati kahjutuks, ja mittevastava sertifikaadi aktsepteerimine puhverserveri läbimiseks kahjustab tunneli mõtet. Kliendi nimi ja sertifikaadi nimi tuleb teadlikult kooskõlastada.

Rakendage MFA sisenemispunktis, kus poliitika seda nõuab, ja hoidke sihtkoha konto kontrolle. Need kaks täiendavad teineteist: esimene otsustab, kes tohib ukse juurde jõuda, teine, kes tohib selle avada. Kummagi ärajätmine jätab lahenduse, mis näib täielik ja ei ole.

Valige piir, mis sobib töö ja tegeliku haldusmudeliga. RDS-rollide ülevaade kirjeldab värava kohta sessioonihosti ja teiste komponentide seas, ja see on kontekst, mis muudab selle kulu loetavaks.