העברת SSH, VPN או RD Gateway: איזה מסלול לשולחן עבודה אחד ב־RDP?

כל שלוש האפשרויות נושאות RDP, ולכן הפרוטוקול אינו הגורם המכריע. השאלה האמיתית היא כמה נגישות משתמש אחד צריך לקבל, ומי מתפעל את הדבר שמעניק אותה. פורט TCP מועבר, רשת פרטית מנותבת ושער שולחן עבודה עונים על השאלה הזו בשלושה גדלים שונים. בחרו קודם את הגודל והמוצר יבוא בעקבותיו.

השאלה היא היקף, לא פרוטוקול

רשמו מה המשתמש באמת צריך לגעת בו. אם התשובה היא שולחן עבודה אחד, עיצוב שמעניק תת־רשת רחב מדי. אם התשובה היא שולחן עבודה ועוד שיתופי קבצים ועוד קונסולת ניהול, עיצוב שמעביר פורט אחד יחזור בחודש הבא לשני העברים נוספים. רשימת היעדים היא הדרישה; כל השאר הוא יישום.

הפרידו את זהות הכניסה מחשבון Windows שנכנס לשולחן העבודה. בכל עיצוב למטה יש את שניהם, וערבובם הוא הדרך שבה חשבון מארח קפיצה מקבל סמכות רבה יותר ממה שמישהו התכוון.

שירות TCP מועבר אחד

מארח קפיצה SSH מאושר יכול להעביר מאזין מקומי לשירות RDP שהוא מסוגל להגיע אליו. קשרו את המאזין ל־loopback כשהוא קיים רק עבור המכונה של המשתמש עצמו, וזו הכוונה הרגילה של העברה מקומית. ההעברה היא נוחות לאדם אחד, לא שירות לצוות.

כניסת SSH מאמתת גישה לנתיב ההעברה, ולא יותר. אימות Windows והרשאת RDP עדיין מתרחשים ביעד, ולכן חשבון קפיצה תקף אינו הפעלת שולחן עבודה תקפה. אלו שני שערים בלתי תלויים ושניהם חייבים להיפתח.

הגבילו את יעדי ההעברה של חשבון הקפיצה במקום להעניק מעטפת ללא הגבלה. העיצוב הזה מתאים לקבוצה קטנה ומפורשת של מכונות, והוא מוסיף מארח, זהות ומחזור חיים לתפעול. המארח הנוסף הזה הוא החלק שאנשים שוכחים כשמשווים אותו לשער: מישהו צריך לתקן אותו, לנטר אותו ולהחזיק במפתחות שלו.

סביבת עבודה פרטית מנותבת

VPN מעניק DNS פרטי וגישה לכמה שירותים שמשתמשים בהם יחד, וזה הערך האמיתי שלו. הסתרת פורט שולחן עבודה אחד היא תופעת לוואי, לא הסיבה לבנות אותו. ההבחנה הזו חשובה כשמישהו שואל למה ה־VPN קיים בכלל.

הגבילו נתיבים והרשאות משאבים ליעדים המיועדים. משתמש מחובר לא זכאי אוטומטית לכל ה־LAN, וחומת האש של היעד יחד עם זכויות הכניסה של Windows נשארות גבולות נפרדים שה־VPN אינו מחליף.

הסדר הזה נוח לסביבת עבודה מנוהלת קיימת. המחיר הוא שהצטרפות, דרישות מכשיר, התנהגות הפותר ומדיניות החיבור הופכים לחלק מסביבת העבודה של המשתמש, ומישהו צריך להחזיק בהם. השוו את המחיר הזה לרישוי השער לפני שאתם מניחים שה־VPN הוא האפשרות הזולה.

שער ספציפי ל־RDP

Remote Desktop Gateway מספק גבול ספציפי ל־RDP ולא גבול רשת. מדיניות הרשאת החיבורים שלו קובעת מי רשאי להתחבר, ומדיניות הרשאת המשאבים קובעת לאילו משאבים פנימיים הם רשאים להגיע דרכו. שתי המדיניות הן חלק מהמוצר, לא תוספות אופציונליות.

תכננו יחד תעודות, שילוב זהויות ותעבורות נדרשות. השער אינו ממסר TCP אנונימי, ופריסתו ככזה מדלגת על המדיניות שמצדיקה אותו מלכתחילה. הוא נושא גם דרישות רישוי ותפעול שאין לפורט מועבר אחד. תקצבו אותן לפני סקירת העיצוב, לא אחריה.

כשצוות כבר מתפעל גישה מרכזית לשולחנות עבודה, התקורה הזו כבר שולמה. כשאדם אחד צריך מכונה אחת, זו מכונה גדולה לקנות לעבודה קטנה.

מה שכל השלושה עדיין צריכים

שמרו על בדיקות זהות המארח בכל עיצוב. כינוי מקומי או מנהרה אינם הופכים תעודה בלתי צפויה לבלתי מזיקה, וקבלת תעודה שאינה תואמת כדי לעבור דרך פרוקסי מחסלת את מטרת המנהרה. יש ליישב בכוונה את השם בלקוח ואת השם בתעודה.

החילו MFA בנקודת הכניסה שבה המדיניות דורשת זאת, ושמרו על בקרות החשבון ביעד. השניים משלימים זה את זה: הראשון קובע מי רשאי להגיע לדלת, השני קובע מי רשאי לפתוח אותה. השמטת אחד מהם מותירה עיצוב שנראה שלם ואינו.

בחרו את הגבול שמתאים לעבודה ולמודל התפעול שבאמת יש לכם. סקירת תפקידי RDS מתאר את מקומו של השער בין מארח ההפעלה לרכיבים אחרים, וזה ההקשר שהופך את העלות שלו לקריאה.