SSH-továbbítás, VPN vagy RD Gateway: melyik út egy RDP-asztalhoz?

Mindhárom lehetőség RDP-t szállít, tehát a protokoll nem döntő tényező. A valódi kérdés az, mennyi elérést kapjon egy felhasználó, és ki üzemelteti azt, ami biztosítja. Egy továbbított TCP-port, egy irányított magánhálózat és egy asztali átjáró három különböző méretben válaszol erre a kérdésre. Először a méretet válassza, a termék követni fogja.

A kérdés a hatókör, nem a protokoll

Írja le, mihez kell a felhasználónak valóban hozzányúlnia. Ha a válasz egy asztal, az alhálózatot adó terv túl széles. Ha a válasz asztal plusz fájlmegosztások plusz felügyeleti konzol, az egy portot továbbító terv jövő hónapban két további továbbításért tér vissza. A célok listája a követelmény; minden más megvalósítás.

Tartsa külön a belépési identitást attól a Windows-fióktól, amely bejelentkezik az asztalra. Minden alábbi tervben megvan mindkettő, és ezek összemosása az, ahogyan egy ugrógazda-fiók nagyobb jogosultságot kap, mint bárki szándékozott.

Egy továbbított TCP-szolgáltatás

Egy jóváhagyott SSH-ugrógazda továbbíthat egy helyi figyelőt arra az RDP-szolgáltatásra, amelyet elér. Ha a figyelő csak a felhasználó saját gépének létezik, kösse loopbackhez, ami egy helyi továbbítás szokásos szándéka. A továbbítás egy ember kényelme, nem csapat szolgáltatása.

Az SSH-bejelentkezés a továbbítási útvonalhoz való hozzáférést hitelesíti, és semmi többet. A Windows-hitelesítés és az RDP-engedélyezés továbbra is a célon történik, így egy érvényes ugrófiók nem érvényes asztali munkamenet. Ez két független kapu, és mindkettőnek ki kell nyílnia.

Korlátozza az ugrófiók továbbítási céljait ahelyett, hogy korlátlan shellt adna. Ez a terv kis, kifejezetten felsorolt gépegyütteshez illik, és hozzáad egy gazdát, egy identitást és egy életciklust az üzemeltetéshez. Ez a plusz gazda az a rész, amelyet az emberek elfelejtenek, amikor átjáróval hasonlítják össze: valakinek javítania kell, felügyelnie kell, és birtokolnia kell a kulcsait.

Irányított magán munkaterület

A VPN privát DNS-t és hozzáférést ad több együtt használt szolgáltatáshoz, és ez a valódi értéke. Egy asztali port elrejtése mellékhatás, nem az építésének oka. Ez a különbség számít, amikor valaki megkérdezi, miért létezik egyáltalán a VPN.

Korlátozza az útvonalakat és az erőforrás-engedélyeket a szándékolt célokra. Egy csatlakozott felhasználó nem érdemli automatikusan az egész LAN-t, és a cél tűzfala plusz a Windows bejelentkezési jogok továbbra is külön határok, amelyeket a VPN nem helyettesít.

Ez az elrendezés kényelmes egy már kialakult felügyelt munkaterülethez. A költség az, hogy a bevezetés, az eszközkövetelmények, a feloldó viselkedése és a kapcsolati szabályzat a felhasználó munkakörnyezetének részévé válik, és valakinek ezeket birtokolnia kell. Hasonlítsa ezt a költséget az átjáró licenceléséhez, mielőtt feltételezné, hogy a VPN az olcsóbb megoldás.

RDP-specifikus átjáró

A Remote Desktop Gateway RDP-specifikus határt ad hálózati helyett. A kapcsolat-engedélyezési szabályzata dönti el, ki csatlakozhat, az erőforrás-engedélyezési szabályzat pedig azt, mely belső erőforrásokat érhetik el rajta keresztül. Mindkét szabályzat a termék része, nem opcionális kiegészítő.

Tervezze együtt a tanúsítványokat, az identitásintegrációt és a szükséges átviteleket. Az átjáró nem névtelen TCP-átjátszó, és ilyenként való telepítése megkerüli azokat a szabályzatokat, amelyek egyáltalán indokolják. Olyan licenc- és üzemeltetési követelményeket is hordoz, amelyekkel egyetlen továbbított port nem rendelkezik. Költségvetésbe állítsa őket a tervezési felülvizsgálat előtt, nem utána.

Ahol egy csapat már központi asztali hozzáférést üzemeltet, ott ez a többletköltség már meg van fizetve. Ahol egy embernek egy gépre van szüksége, az nagy gép egy kis munkára.

Amire mindháromnak még szüksége van

Őrizze meg a gazdaidentitás-ellenőrzéseket minden tervben. Egy helyi alias vagy egy alagút nem teszi ártalmatlanná a váratlan tanúsítványt, és egy nem egyező elfogadása a proxyn való átjutáshoz aláássa az alagút értelmét. Az ügyfélben szereplő nevet és a tanúsítványon szereplő nevet szándékosan össze kell hangolni.

Alkalmazza az MFA-t a belépési ponton, ahol a szabályzat megköveteli, és tartsa meg a cél fiókvezérléseit. A kettő kiegészíti egymást: az első eldönti, ki érheti el az ajtót, a második, ki nyithatja ki. Bármelyik elhagyása egy teljesnek látszó és nem teljes tervet hagy.

Válassza azt a határt, amely illik a munkához és a tényleges üzemeltetési modellhez. Az RDS-szerepkörök áttekintése leírja az átjáró helyét a munkamenet-gazda és más összetevők között, és ez az a kontextus, amely olvashatóvá teszi a költségét.