SSH փոխանցում, VPN թե RD Gateway՝ ո՞ր ուղին մեկ RDP աշխատասեղանի համար։

Բոլոր երեք տարբերակները կրում են RDP, ուստի արձանագրությունը որոշիչ գործոն չէ։ Իրական հարցն այն է, թե մեկ օգտատեր որքան հասանելիություն պետք է ստանա, և ով է շահագործում այն բանը, որը տրամադրում է այն։ Փոխանցված TCP պորտը, երթուղավորված մասնավոր ցանցը և աշխատասեղանի դարպասը պատասխանում են այս հարցին երեք տարբեր չափերով։ Նախ ընտրեք չափը, և արտադրանքը կհետևի։

Հարցը շրջանակն է, ոչ արձանագրությունը

Գրեք, թե օգտատերը իրականում ինչին պետք է դիպչի։ Եթե պատասխանը մեկ աշխատասեղան է, ենթացանց տվող ձևավորումը չափազանց լայն է։ Եթե պատասխանը աշխատասեղան գումարած ֆայլային համօգտագործում գումարած կառավարման վահանակ է, ապա մեկ պորտ փոխանցող ձևավորումը հաջորդ ամիս կվերադառնա ևս երկու փոխանցման համար։ Նպատակակետերի ցանկը պահանջն է, մնացած ամեն ինչ իրականացում է։

Մուտքի ինքնությունը առանձնացրեք այն Windows հաշվից, որը մուտք է գործում աշխատասեղան։ Ստորև բոլոր ձևավորումներն ունեն երկուսն էլ, և դրանք խառնելն է այն ճանապարհը, որով ցատկող հոսթի հաշիվն ավելի մեծ լիազորություն է ստանում, քան որևէ մեկը մտադիր էր։

Մեկ փոխանցված TCP ծառայություն

Հաստատված SSH ցատկող հոսթը կարող է տեղական լսողին փոխանցել այն RDP ծառայությանը, որին կարող է հասնել։ Կապեք այդ լսողին loopback-ին, երբ այն գոյություն ունի միայն օգտատիրոջ սեփական մեքենայի համար, ինչը տեղական փոխանցման սովորական նպատակն է։ Փոխանցումը հարմարություն է մեկ մարդու համար, ոչ թե ծառայություն թիմի համար։

SSH մուտքը հաստատում է փոխանցման ուղու հասանելիությունը և ոչ ավելին։ Windows նույնականացումը և RDP լիազորումը դեռ տեղի են ունենում նպատակակետում, ուստի վավեր ցատկող հաշիվը վավեր աշխատասեղանի աշխատաշրջան չէ։ Դրանք երկու անկախ դարպասներ են և երկուսն էլ պետք է բացվեն։

Սահմանափակեք ցատկող հաշվի փոխանցման նպատակակետերը՝ անսահմանափակ shell տալու փոխարեն։ Այս ձևավորումը հարմար է փոքր, բացահայտ թվարկված մեքենաների համար, և այն ավելացնում է հոսթ, ինքնություն և կյանքի ցիկլ շահագործելու համար։ Այդ լրացուցիչ հոսթն այն մասն է, որը մարդիկ մոռանում են դարպասի հետ համեմատելիս՝ ինչ-որ մեկը պետք է կարկատի այն, վերահսկի և տիրապետի դրա բանալիներին։

Երթուղավորված մասնավոր աշխատատարածք

VPN-ը տալիս է մասնավոր DNS և հասանելիություն միասին օգտագործվող մի քանի ծառայությունների, և դա է նրա իրական արժեքը։ Մեկ աշխատասեղանի պորտ թաքցնելը կողմնակի ազդեցություն է, ոչ թե այն կառուցելու պատճառ։ Այդ տարբերությունը կարևոր է, երբ ինչ-որ մեկը հարցնում է, թե VPN-ն ընդհանրապես ինչու է գոյություն ունի։

Սահմանափակեք երթուղիները և ռեսուրսների թույլտվությունները նախատեսված նպատակակետերով։ Միացված օգտատերը ինքնաբերաբար չի արժանի ամբողջ LAN-ին, և նպատակակետի firewall-ը գումարած Windows մուտքի իրավունքները մնում են առանձին սահմաններ, որոնք VPN-ը չի փոխարինում։

Այս դասավորությունը հարմար է արդեն հաստատված կառավարվող աշխատատարածքի համար։ Ծախսն այն է, որ ներգրավումը, սարքի պահանջները, լուծիչի վարքը և կապի քաղաքականությունը դառնում են օգտատիրոջ աշխատանքային միջավայրի մաս, և ինչ-որ մեկը պետք է տիրապետի դրանց։ Համեմատեք այդ ծախսը դարպասի լիցենզավորման հետ, նախքան ենթադրելը, որ VPN-ն ավելի էժան տարբերակն է։

RDP-ին հատուկ դարպաս

Remote Desktop Gateway-ը տալիս է RDP-ին հատուկ սահման, ոչ թե ցանցային։ Նրա կապի լիազորման քաղաքականությունը որոշում է, թե ով կարող է միանալ, և ռեսուրսների լիազորման քաղաքականությունը որոշում է, թե դրա միջով որ ներքին ռեսուրսներին կարող են հասնել։ Երկու քաղաքականություններն էլ արտադրանքի մաս են, ոչ թե ընտրովի հավելումներ։

Միասին պլանավորեք վկայագրերը, ինքնության ինտեգրումը և պահանջվող տրանսպորտները։ Դարպասը անանուն TCP ռելե չէ, և այն որպես այդպիսին տեղակայելը շրջանցում է այն քաղաքականությունները, որոնք հենց սկզբից արդարացնում են այն։ Այն նաև կրում է լիցենզավորման և շահագործման պահանջներ, որոնք մեկ փոխանցված պորտը չունի։ Բյուջե տրամադրեք դրանց համար ձևավորման վերանայումից առաջ, ոչ թե հետո։

Այնտեղ, որտեղ թիմն արդեն կենտրոնացված աշխատասեղանի հասանելիություն է շահագործում, այդ վերադիր ծախսն արդեն վճարված է։ Այնտեղ, որտեղ մեկ մարդու մեկ մեքենա է պետք, դա մեծ մեքենա է փոքր աշխատանքի համար։

Ինչ դեռ պետք է բոլոր երեքին

Պահպանեք հոսթի ինքնության ստուգումները յուրաքանչյուր ձևավորման մեջ։ Տեղական կեղծանունը կամ թունելը չեն դարձնում անսպասելի վկայագիրը անվնաս, և պրոքսիով անցնելու համար չհամապատասխանող վկայագրի ընդունումը ոչնչացնում է թունելի իմաստը։ Հաճախորդի անունը և վկայագրի անունը պետք է գիտակցաբար համաձայնեցվեն։

Կիրառեք MFA մուտքի կետում, որտեղ քաղաքականությունը պահանջում է, և պահեք նպատակակետի հաշվի վերահսկիչները։ Երկուսը լրացնում են միմյանց՝ առաջինը որոշում է, թե ով կարող է հասնել դռանը, երկրորդը՝ թե ով կարող է բացել այն։ Դրանցից որևէ մեկը բաց թողնելը թողնում է ձևավորում, որը ամբողջական է թվում և այդպիսին չէ։

Ընտրեք այն սահմանը, որը համապատասխանում է աշխատանքին և ձեր իրական շահագործման մոդելին։ RDS դերերի ակնարկ նկարագրում է դարպասի տեղը աշխատաշրջանի հոսթի և այլ բաղադրիչների միջև, և դա այն համատեքստն է, որն ընթեռնելի է դարձնում դրա ծախսը։