Reenvío SSH, VPN ou RD Gateway: que camiño para un escritorio RDP?

As tres opcións transportan RDP, así que o protocolo non é o factor decisivo. A verdadeira pregunta é canta accesibilidade debe recibir un usuario e quen opera o que a concede. Un porto TCP reenviado, unha rede privada encamiñada e unha porta de escritorio responden a esa pregunta en tres tamaños distintos. Escolla primeiro o tamaño e o produto virá despois.

A pregunta é o alcance, non o protocolo

Anote que necesita tocar realmente o usuario. Se a resposta é un escritorio, un deseño que concede unha subrede é demasiado amplo. Se a resposta é un escritorio máis recursos compartidos máis unha consola de administración, un deseño que reenvía un porto volverá o mes que vén por dous reenvíos máis. A lista de destinos é o requisito; todo o demais é implementación.

Manteña a identidade de entrada separada da conta de Windows que inicia sesión no escritorio. Todos os deseños de abaixo teñen ambas, e confundilas é como unha conta de host de salto acaba con máis autoridade da que ninguén pretendía.

Un servizo TCP reenviado

Un host de salto SSH aprobado pode reenviar un escoitante local ao servizo RDP que pode alcanzar. Ate ese escoitante a loopback cando só existe para a máquina do propio usuario, que é a intención normal dun reenvío local. O reenvío é unha comodidade para unha persoa, non un servizo para un equipo.

O inicio de sesión SSH autentica o acceso á ruta de reenvío, e nada máis. A autenticación de Windows e a autorización RDP seguen a ocorrer no destino, así que unha conta de salto válida non é unha sesión de escritorio válida. Son dúas portas independentes e ambas deben abrirse.

Restrinxa os destinos de reenvío da conta de salto en lugar de conceder un shell sen restricións. Este deseño encaixa cun conxunto pequeno e enumerado explicitamente de máquinas, e engade un host, unha identidade e un ciclo de vida que operar. Ese host adicional é a parte que a xente esquece ao comparalo cunha porta: alguén ten que parchealo, monitorizalo e posuír as súas chaves.

Un espazo de traballo privado encamiñado

Unha VPN proporciona DNS privado e acceso a varios servizos usados en conxunto, e ese é o seu valor real. Ocultar un porto de escritorio é un efecto secundario, non a razón para construíla. Esa distinción importa cando alguén pregunta por que existe a VPN.

Restrinxa as rutas e os permisos de recursos aos destinos previstos. Un usuario conectado non merece automaticamente toda a LAN, e a devasa de destino máis os dereitos de inicio de sesión de Windows seguen sendo límites separados que a VPN non substitúe.

Esta disposición é cómoda para un espazo de traballo xestionado xa establecido. O custo é que a incorporación, os requisitos de dispositivo, o comportamento do resolutor e a política de conexión pasan a formar parte da contorna de traballo do usuario, e alguén debe posuílos. Compare ese custo coa licenza da porta antes de supor que a VPN é a opción máis barata.

Unha porta específica para RDP

Remote Desktop Gateway ofrece un límite específico para RDP en lugar dun de rede. A súa política de autorización de conexións decide quen pode conectarse, e a súa política de autorización de recursos decide a que recursos internos poden chegar a través dela. Ámbalas dúas políticas forman parte do produto, non son extras opcionais.

Planifique os certificados, a integración de identidade e os transportes necesarios en conxunto. A porta non é un relé TCP anónimo, e despregala como tal omite as políticas que a xustifican. Tamén leva requisitos de licenza e operativos que un só porto reenviado non ten. Orzamente antes da revisión de deseño, non despois.

Onde un equipo xa opera acceso centralizado a escritorios, ese custo xa está pagado. Onde unha persoa necesita unha máquina, é unha máquina grande para un traballo pequeno.

O que as tres seguen necesitando

Conserve as comprobacións de identidade do host en cada deseño. Un alias local ou un túnel non fan inofensivo un certificado inesperado, e aceptar un que non coincide para atravesar un proxy anula o sentido do túnel. O nome do cliente e o nome do certificado deben conciliarse deliberadamente.

Aplique MFA no punto de entrada onde a política o esixa, e manteña os controis de conta do destino. Os dous complementan: o primeiro decide quen pode chegar á porta, o segundo quen pode abrila. Omitir calquera deixa un deseño que parece completo e non o está.

Escolla o límite que encaixa co traballo e o modelo operativo que realmente ten. Visión xeral dos roles de RDS describe o lugar da porta entre o host de sesión e outros compoñentes, e ese é o contexto que fai lexible o seu custo.