SSH-edelleenohjaus, VPN vai RD Gateway: mikä polku yhdelle RDP-työpöydälle?

Kaikki kolme vaihtoehtoa kuljettavat RDP:tä, joten protokolla ei ole ratkaiseva tekijä. Todellinen kysymys on, kuinka paljon ulottuvuutta yhdelle käyttäjälle pitäisi antaa ja kuka ylläpitää sitä, mikä sen myöntää. Edelleenohjattu TCP-portti, reititetty yksityinen verkko ja työpöytäyhdyskäytävä vastaavat tähän kysymykseen kolmessa eri koossa. Valitse ensin koko, niin tuote seuraa.

Kysymys on laajuus, ei protokolla

Kirjoita ylös, mitä käyttäjän todella täytyy koskea. Jos vastaus on yksi työpöytä, aliverkon myöntävä suunnitelma on liian laaja. Jos vastaus on työpöytä plus tiedostoresurssit plus ylläpitokonsoli, yhden portin edelleenohjaava suunnitelma palaa ensi kuussa kahden lisäohjauksen kanssa. Kohdeluettelo on vaatimus; kaikki muu on toteutusta.

Pidä sisäänkirjautumisen identiteetti erillään Windows-tilistä, joka kirjautuu työpöydälle. Jokaisessa alla olevassa suunnitelmassa on molemmat, ja niiden sekoittaminen on tapa, jolla hyppyisännän tili saa enemmän valtuuksia kuin kukaan tarkoitti.

Yksi edelleenohjattu TCP-palvelu

Hyväksytty SSH-hyppyisäntä voi ohjata paikallisen kuuntelijan RDP-palveluun, johon se pääsee. Sido kuuntelija loopbackiin, kun se on olemassa vain käyttäjän omalle koneelle, mikä on paikallisen edelleenohjauksen tavanomainen tarkoitus. Edelleenohjaus on mukavuus yhdelle henkilölle, ei palvelu tiimille.

SSH-kirjautuminen todentaa pääsyn edelleenohjauspolkuun eikä muuta. Windows-todennus ja RDP-valtuutus tapahtuvat edelleen kohteessa, joten kelvollinen hyppytili ei ole kelvollinen työpöytäistunto. Ne ovat kaksi riippumatonta porttia, ja molempien on avauduttava.

Rajoita hyppytilin edelleenohjauskohteita sen sijaan, että myöntäisit rajoittamattoman kuoren. Tämä suunnitelma sopii pienelle, nimenomaisesti luetellulle koneryhmälle, ja se lisää ylläpidettäväksi isännän, identiteetin ja elinkaaren. Se ylimääräinen isäntä on osa, jonka ihmiset unohtavat verratessaan sitä yhdyskäytävään: jonkun on paikattava se, valvottava sitä ja omistettava sen avaimet.

Reititetty yksityinen työtila

VPN antaa yksityisen DNS:n ja pääsyn useisiin yhdessä käytettäviin palveluihin, ja se on sen todellinen arvo. Yhden työpöytäportin piilottaminen on sivutuote, ei syy rakentaa sitä. Tämä ero on merkityksellinen, kun joku kysyy, miksi VPN ylipäätään on olemassa.

Rajoita reitit ja resurssien käyttöoikeudet aiottuihin kohteisiin. Yhdistetty käyttäjä ei automaattisesti ansaitse koko lähiverkkoa, ja kohteen palomuuri sekä Windows-kirjautumisoikeudet pysyvät erillisinä rajoina, joita VPN ei korvaa.

Tämä järjestely on kätevä vakiintuneelle hallitulle työtilalle. Kustannus on, että käyttöönotto, laitevaatimukset, resolverin käyttäytyminen ja yhteyskäytäntö tulevat osaksi käyttäjän työympäristöä, ja jonkun on omistettava ne. Vertaa tätä kustannusta yhdyskäytävän lisensointiin ennen kuin oletat VPN:n olevan halvempi vaihtoehto.

RDP-kohtainen yhdyskäytävä

Remote Desktop Gateway tarjoaa RDP-kohtaisen rajan verkkorajan sijaan. Sen yhteyksien valtuutuskäytäntö päättää, kuka saa yhdistää, ja resurssien valtuutuskäytäntö päättää, mihin sisäisiin resursseihin he voivat sen kautta päästä. Molemmat käytännöt ovat osa tuotetta, eivät valinnaisia lisäosia.

Suunnittele varmenteet, identiteettien integrointi ja tarvittavat siirtotiet yhdessä. Yhdyskäytävä ei ole anonyymi TCP-välitin, ja sellaisena käyttöönotto ohittaa käytännöt, jotka sen ylipäätään oikeuttavat. Se kantaa myös lisensointi- ja ylläpitovaatimuksia, joita yhdellä edelleenohjatulla portilla ei ole. Budjetoi ne ennen suunnittelukatselmusta, ei sen jälkeen.

Siellä, missä tiimi jo ylläpitää keskitettyä työpöytäkäyttöä, se yleiskustannus on jo maksettu. Siellä, missä yksi henkilö tarvitsee yhden koneen, se on suuri kone pieneen työhön.

Mitä kaikki kolme yhä tarvitsevat

Säilytä isännän identiteettitarkistukset jokaisessa suunnitelmassa. Paikallinen alias tai tunneli ei tee odottamatonta varmennetta vaarattomaksi, ja sopimattoman varmenteen hyväksyminen välityspalvelimen läpi pääsemiseksi vesittää tunnelin tarkoituksen. Asiakasohjelman nimi ja varmenteen nimi on sovitettava tietoisesti yhteen.

Käytä MFA:ta sisääntulopisteessä, jossa käytäntö sitä vaatii, ja pidä kohteen tilitunnistukset. Nämä kaksi täydentävät toisiaan: ensimmäinen päättää, kuka saa päästä ovelle, toinen, kuka saa avata sen. Kummankaan pois jättäminen jättää suunnitelman, joka näyttää valmiilta eikä ole.

Valitse raja, joka sopii työhön ja todelliseen ylläpitomalliisi. Yleiskatsaus RDS-rooleista kuvaa yhdyskäytävän paikan istuntoisännän ja muiden osien joukossa, ja se on asiayhteys, joka tekee sen kustannuksesta luettavan.