SSH फ़ॉरवर्ड, VPN या RD Gateway: एक RDP डेस्कटॉप के लिए कौन-सा रास्ता?

तीनों विकल्प RDP ले जाते हैं, इसलिए प्रोटोकॉल निर्णायक कारक नहीं है। असली सवाल यह है कि एक उपयोगकर्ता को कितनी पहुँच मिलनी चाहिए और जो चीज़ वह देती है उसे कौन चलाता है। एक फ़ॉरवर्ड किया गया TCP पोर्ट, एक राउटेड निजी नेटवर्क और एक डेस्कटॉप गेटवे इस सवाल का जवाब तीन अलग आकारों में देते हैं। पहले आकार चुनें और उत्पाद पीछे आएगा।

सवाल प्रोटोकॉल नहीं, दायरा है

लिखें कि उपयोगकर्ता को वास्तव में किस चीज़ को छूना है। अगर जवाब एक डेस्कटॉप है, तो सबनेट देने वाला डिज़ाइन बहुत चौड़ा है। अगर जवाब डेस्कटॉप के साथ फ़ाइल शेयर और एडमिन कंसोल है, तो एक पोर्ट फ़ॉरवर्ड करने वाला डिज़ाइन अगले महीने दो और फ़ॉरवर्ड के लिए लौटेगा। गंतव्यों की सूची ही ज़रूरत है; बाकी सब कार्यान्वयन है।

प्रवेश पहचान को उस Windows खाते से अलग रखें जो डेस्कटॉप में साइन इन करता है। नीचे हर डिज़ाइन में दोनों हैं, और इन्हें मिलाना ही जंप होस्ट खाते को किसी की मंशा से ज़्यादा अधिकार देने का तरीका है।

एक फ़ॉरवर्ड किया गया TCP सेवा

एक स्वीकृत SSH जंप होस्ट स्थानीय श्रोता को उस RDP सेवा की ओर फ़ॉरवर्ड कर सकता है जहाँ तक वह पहुँच सकता है। जब वह श्रोता केवल उपयोगकर्ता की अपनी मशीन के लिए हो तो उसे loopback से बाँधें, जो स्थानीय फ़ॉरवर्ड का सामान्य इरादा है। फ़ॉरवर्ड एक व्यक्ति के लिए सुविधा है, टीम के लिए सेवा नहीं।

SSH लॉगिन फ़ॉरवर्डिंग पथ तक पहुँच को प्रमाणित करता है, और इससे ज़्यादा कुछ नहीं। Windows प्रमाणीकरण और RDP प्राधिकरण अब भी गंतव्य पर होते हैं, इसलिए मान्य जंप खाता मान्य डेस्कटॉप सत्र नहीं है। ये दो स्वतंत्र द्वार हैं और दोनों खुलने चाहिए।

असीमित शेल देने के बजाय जंप खाते के फ़ॉरवर्डिंग गंतव्यों को सीमित करें। यह डिज़ाइन स्पष्ट रूप से सूचीबद्ध कुछ मशीनों के लिए उपयुक्त है, और इसे चलाने के लिए एक होस्ट, एक पहचान और एक जीवनचक्र जोड़ता है। वह अतिरिक्त होस्ट वही हिस्सा है जिसे लोग गेटवे से तुलना करते समय भूल जाते हैं: किसी को उसे पैच करना, निगरानी रखनी और उसकी कुंजियाँ रखनी होती हैं।

एक राउटेड निजी वर्कस्पेस

VPN निजी DNS और एक साथ उपयोग होने वाली कई सेवाओं तक पहुँच देता है, और यही उसका असली मूल्य है। एक डेस्कटॉप पोर्ट छिपाना दुष्प्रभाव है, उसे बनाने का कारण नहीं। यह अंतर तब मायने रखता है जब कोई पूछे कि VPN आख़िर क्यों मौजूद है।

मार्गों और संसाधन अनुमतियों को इच्छित गंतव्यों तक सीमित करें। जुड़ा हुआ उपयोगकर्ता अपने आप पूरे LAN का हक़दार नहीं है, और गंतव्य फ़ायरवॉल के साथ Windows साइन-इन अधिकार अलग सीमाएँ बने रहते हैं जिन्हें VPN नहीं बदलता।

यह व्यवस्था पहले से स्थापित प्रबंधित वर्कस्पेस के लिए सुविधाजनक है। लागत यह है कि ऑनबोर्डिंग, उपकरण आवश्यकताएँ, रिज़ॉल्वर व्यवहार और कनेक्शन नीति उपयोगकर्ता के कार्य वातावरण का हिस्सा बन जाते हैं, और किसी को उनका स्वामी होना पड़ता है। VPN को सस्ता विकल्प मानने से पहले उस लागत की तुलना गेटवे के लाइसेंस से करें।

RDP-विशिष्ट गेटवे

Remote Desktop Gateway नेटवर्क सीमा के बजाय RDP-विशिष्ट सीमा देता है। इसकी कनेक्शन प्राधिकरण नीति तय करती है कि कौन जुड़ सकता है, और इसकी संसाधन प्राधिकरण नीति तय करती है कि वे इसके ज़रिये किन आंतरिक संसाधनों तक पहुँच सकते हैं। दोनों नीतियाँ उत्पाद का हिस्सा हैं, वैकल्पिक अतिरिक्त नहीं।

प्रमाणपत्र, पहचान एकीकरण और आवश्यक ट्रांसपोर्ट की एक साथ योजना बनाएँ। गेटवे अनाम TCP रिले नहीं है, और इसे वैसे तैनात करना उन नीतियों को छोड़ देता है जो इसे पहले स्थान पर उचित ठहराती हैं। यह लाइसेंसिंग और परिचालन आवश्यकताएँ भी लेकर आता है जो एक फ़ॉरवर्ड किए गए पोर्ट में नहीं हैं। डिज़ाइन समीक्षा से पहले उनका बजट रखें, बाद में नहीं।

जहाँ किसी टीम के पास पहले से केंद्रीय डेस्कटॉप पहुँच है, वहाँ वह ऊपरी लागत पहले ही चुकाई जा चुकी है। जहाँ एक व्यक्ति को एक मशीन चाहिए, वहाँ छोटे काम के लिए बड़ी मशीन खरीदनी पड़ती है।

तीनों को अब भी क्या चाहिए

हर डिज़ाइन में होस्ट पहचान जाँच बनाए रखें। स्थानीय उपनाम या टनल अप्रत्याशित प्रमाणपत्र को हानिरहित नहीं बनाते, और प्रॉक्सी से गुज़रने के लिए बेमेल प्रमाणपत्र स्वीकार करना टनल का उद्देश्य ही ख़त्म कर देता है। क्लाइंट में नाम और प्रमाणपत्र पर नाम को जानबूझकर मिलाना होगा।

जहाँ नीति माँगे वहाँ प्रवेश बिंदु पर MFA लागू करें, और गंतव्य के खाता नियंत्रण बनाए रखें। दोनों पूरक हैं: पहला तय करता है कि द्वार तक कौन पहुँच सकता है, दूसरा तय करता है कि उसे कौन खोल सकता है। किसी एक को छोड़ने से ऐसा डिज़ाइन रह जाता है जो पूरा दिखता है और है नहीं।

वह सीमा चुनें जो काम और आपके वास्तविक परिचालन मॉडल से मेल खाती हो। RDS भूमिकाओं का अवलोकन सत्र होस्ट और अन्य घटकों के बीच गेटवे की जगह बताता है, और यही वह संदर्भ है जो उसकी लागत को पढ़ने योग्य बनाता है।