SSH birbidalketa, VPN edo RD Gateway: zein bide RDP mahaigain bakarrerako?

Hiru aukerek RDP daramate, beraz protokoloa ez da faktore erabakigarria. Benetako galdera erabiltzaile batek zenbat irisgarritasun jaso behar duen eta hura ematen duen gauza nor arduratzen den da. Birbideratutako TCP ataka batek, bideratutako sare pribatu batek eta mahaigaineko ate batek hiru tamaina ezberdinetan erantzuten diote galdera horri. Aukeratu tamaina lehenengo eta produktua ondoren etorriko da.

Galdera irismena da, ez protokoloa

Idatzi erabiltzaileak benetan ukitu behar duena. Erantzuna mahaigain bat bada, azpisare bat ematen duen diseinua zabalegia da. Erantzuna mahaigain bat gehi fitxategi partekatuak gehi administrazio-kontsola bat bada, ataka bat birbideratzen duen diseinua datorren hilean bi birbidalketa gehiagoren bila itzuliko da. Helmugen zerrenda da baldintza; gainerako guztia inplementazioa da.

Mantendu sarrerako identitatea mahaigainean saioa hasten duen Windows kontutik bereizita. Beheko diseinu bakoitzak biak ditu, eta horiek nahastea da jauzi-mahaiaren kontua inork nahi zuen baino autoritate handiagoarekin amaitzeko modua.

Birbideratutako TCP zerbitzu bat

Onartutako SSH jauzi-mahai batek tokiko entzule bat irits dezakeen RDP zerbitzura birbidera dezake. Lotu entzule hori loopback-era erabiltzailearen makinarentzat bakarrik badago, hau da, tokiko birbidalketa baten ohiko asmoa. Birbidalketa pertsona bakarrarentzako erraztasuna da, ez taldearentzako zerbitzua.

SSH saio-hasierak birbidalketa-biderako sarbidea egiaztatzen du, eta besterik ez. Windows egiaztapena eta RDP baimena helmugan gertatzen dira oraindik, beraz baliozko jauzi-kontua ez da baliozko mahaigain-saioa. Bi ate independente dira eta biek ireki behar dute.

Mugatu jauzi-kontuaren birbidalketa-helmugak shell mugagabea eman beharrean. Diseinu hori esplizituki zerrendatutako makina multzo txiki baterako egokia da, eta ustiatzeko ostalari bat, identitate bat eta bizi-ziklo bat gehitzen ditu. Ostalari gehigarri hori jendeak ate batekin alderatzean ahazten duen zatia da: norbaitek adabakitu, monitorizatu eta haren gakoak eduki behar ditu.

Bideratutako lan-espazio pribatu bat

VPN batek DNS pribatua eta elkarrekin erabiltzen diren hainbat zerbitzutara sarbidea ematen du, eta hori da bere benetako balioa. Mahaigaineko ataka bat ezkutatzea albo-efektua da, ez eraikitzeko arrazoia. Bereizketa horrek garrantzia du norbaitek VPN-a zertarako den galdetzen duenean.

Mugatu ibilbideak eta baliabide-baimenak aurreikusitako helmugei. Konektatutako erabiltzaileak ez du automatikoki LAN osoa merezi, eta helmugako suebakia gehi Windows saio-hasierako eskubideak VPN-ak ordezkatzen ez dituen muga bereiziak izaten jarraitzen dute.

Antolaketa hau erosoa da jada ezarritako kudeatutako lan-espazio baterako. Kostua da sarrera, gailu-baldintzak, ebazlearen portaera eta konexio-politika erabiltzailearen lan-ingurunearen parte bilakatzen direla, eta norbaitek horiek eduki behar dituela. Alderatu kostu hori atearen lizentziarekin VPN aukera merkeena dela suposatu aurretik.

RDP-rako berariazko ate bat

Remote Desktop Gateway-ek RDP-rako berariazko muga eskaintzen du, sare-muga bat beharrean. Bere konexio-baimen politikak erabakitzen du nor konekta daitekeen, eta bere baliabide-baimen politikak erabakitzen du zein barne-baliabidetera irits daitezkeen haren bidez. Bi politikak produktuaren parte dira, ez aukerako gehigarriak.

Planifikatu ziurtagiriak, identitate-integrazioa eta beharrezko garraioak elkarrekin. Atea ez da TCP errele anonimo bat, eta hala zabaltzeak hura justifikatzen duten politikak saihesten ditu. Lizentzia- eta eragiketa-baldintzak ere badaramatza, birbideratutako ataka bakar batek ez dituenak. Aurrekontuan sartu horiek diseinu-berrikuspenaren aurretik, ez ondoren.

Talde batek jada mahaigainetarako sarbide zentralizatua kudeatzen duen lekuan, kostu hori jada ordainduta dago. Pertsona batek makina bat behar duen lekuan, makina handia da lan txiki batentzat.

Hirurek oraindik behar dutena

Mantendu ostalariaren identitate-egiaztapenak diseinu guztietan. Tokiko alias batek edo tunel batek ez du ustekabeko ziurtagiria kaltegabe bihurtzen, eta bat ez datorrena onartzeak proxy bat zeharkatzeko tunelearen zentzua deuseztatzen du. Bezeroaren izena eta ziurtagiriaren izena nahita adostu behar dira.

Aplikatu MFA sarrera-puntuan politikak hala eskatzen duenean, eta mantendu helmugako kontu-kontrolak. Biak osagarriak dira: lehenak nor atea irits daitekeen erabakitzen du, bigarrenak nork ireki dezakeen. Edozein uzteak osoa dirudien eta ez den diseinu bat uzten du.

Aukeratu lanarekin eta benetan duzun eragiketa-ereduarekin bat datorren muga. RDS rolen ikuspegi orokorra atea saio-ostalariaren eta beste osagaien artean dagoen tokia deskribatzen du, eta hori da bere kostua irakurgarri egiten duen testuingurua.