SSH-oerstjoering, VPN of RD Gateway: hokker paad foar ien RDP-buroblêd?
Ien oerstjoerde poarte, in rûtearre wurkromte of in buroblêdspoarte: fergelykje de berikberens dy’t elk jout en wa’t dit betsjinje moat foardat jo kieze.
Alle trije opsjes drage RDP, dus it protokol is net de beslissende faktor. De echte fraach is hoefolle berikberens ien brûker krije moat, en wa’t it ding betsjinnet dat it jout. In oerstjoerde TCP-poarte, in rûtearre privee netwurk en in buroblêdspoarte beantwurdzje dy fraach yn trije ferskillende maten. Kies earst de maat en it produkt folget.
De fraach is omfang, net protokol
Skriuw op wat de brûker wier oanreitsje moat. As it antwurd ien buroblêd is, is in ûntwerp dat in subnet jout te breed. As it antwurd in buroblêd plus bestânsdielingen plus in admin-konsole is, komt in ûntwerp dat ien poarte oerstjoert folgjende moanne werom foar noch twa oerstjoeringen. De list fan bestimmingen is de eask; al it oare is ymplemintaasje.
Hâld de yngongsidentiteit los fan it Windows-account dat him oanmeldt by it buroblêd. Elk ûntwerp hjirûnder hat beide, en se trochinoar helje is hoe’t in spronghost-account mear foech kriget as immen bedoelde.
Ien oerstjoerde TCP-tsjinst
In goedkarde SSH-spronghost kin in lokale listener oerstjoere nei de RDP-tsjinst dy’t er berikke kin. Byn dy listener oan loopback as er allinnich foar de eigen masine fan de brûker bestiet, wat de normale bedoeling fan in lokale oerstjoering is. De oerstjoering is in gemak foar ien persoan, net in tsjinst foar in team.
De SSH-oanmelding autentisearret tagong ta it oerstjoerpaad, en neat mear. Windows-autentikaasje en RDP-autorisaasje barre noch altyd by de bestimming, dus in jildich sprongaccount is gjin jildige buroblêdsesje. Dat binne twa ûnôfhinklike doarren en beide moatte iepen.
Behein de oerstjoerbestimmingen fan it sprongaccount ynstee fan in ûnbeheind shell te jaan. Dit ûntwerp past by in lyts, eksplisyt neamd set masines, en it foeget in host, in identiteit en in libbenssyklus ta om te betsjinjen. Dy ekstra host is it part dat minsken ferjitte as se it mei in poarte fergelykje: immen moat it patchen, monitoarje en de kaaien besitte.
In rûtearre privee wurkromte
In VPN jout privee DNS en tagong ta ferskate tsjinsten dy’t tegearre brûkt wurde, en dat is de echte wearde. Ien buroblêdspoarte ferbergje is in by-effekt, net de reden om it te bouwen. Dat ûnderskied makket út as immen freget wêrom’t de VPN oait bestiet.
Behein rûtes en boarnemachtigingen ta de bedoelde bestimmingen. In ferbûne brûker fertsjinnet net automatysk it hiele LAN, en de bestimmingsfirewall plus Windows-oanmeldrjochten bliuwe aparte grinzen dy’t de VPN net ferfangt.
Dizze regeling is handich foar in fêstige behearde wurkromte. De kosten binne dat onboarding, apparaateasken, resolvergedrach en ferbyningsbelied diel wurde fan de wurkomjouwing fan de brûker, en immen moat se besitte. Fergelykje dy kosten mei de lisinsje fan de poarte foardat jo oannimme dat de VPN de goedkeapere opsje is.
In RDP-spesifike poarte
Remote Desktop Gateway biedt in RDP-spesifike grins ynstee fan in netwurkgrins. It ferbiningsautorisaasjebelied beslút wa’t ferbine mei, en it boarne-autorisaasjebelied beslút hokker ynterne boarnen se dertroch berikke meie. Beide beliedsdielen binne part fan it produkt, net opsjonele ekstra’s.
Plan sertifikaten, identiteitsyntegraasje en fereaske transporten tegearre. De poarte is gjin anonime TCP-relay, en it as sa ynsette slacht de beliedsdielen oer dy’t it yn it earste plak rjochtfeardigje. It draacht ek lisinsje- en operasjonele easken dy’t ien oerstjoerde poarte net hat. Budgettearje dy foar de ûntwerprevisy, net dêrnei.
Dêr’t in team al sintrale buroblêdtagong betsjinnet, binne dy oerheakkosten al betelle. Dêr’t ien persoan ien masine nedich hat, is it in grutte masine om foar in lyts wurk te keapjen.
Wat alle trije noch nedich hawwe
Hâld hostidentiteitskontrôles yn elk ûntwerp. In lokale alias of in tunnel makket in ûnferwachts sertifikaat net ûnskeadlik, en in net-oerienkommend akseptearje om troch in proxy te kommen ferneatiget it punt fan de tunnel. De namme yn de klant en de namme op it sertifikaat moatte bewust ferienige wurde.
Pas MFA ta by it yngongspunt dêr’t belied it easket, en hâld de accountkontrôles fan de bestimming. De twa binne oanfoljend: de earste beslút wa’t de doar berikke mei, de twadde wa’t him iepenje mei. Ien fan beide weilitte lit in ûntwerp efter dat folslein liket en net is.
Kies de grins dy’t past by it wurk en it operasjonele model dat jo wier hawwe. Oersjoch fan RDS-rollen beskriuwt it plak fan de poarte ûnder de sesjehost en oare komponinten, en dat is de kontekst dy’t de kosten lêsber makket.