Penerusan SSH, VPN, atau RD Gateway: jalur mana untuk satu desktop RDP?

Ketiga opsi membawa RDP, jadi protokol bukanlah faktor penentu. Pertanyaan sebenarnya adalah seberapa besar jangkauan yang harus diterima satu pengguna, dan siapa yang mengoperasikan hal yang memberikannya. Port TCP yang diteruskan, jaringan privat yang dirutekan, dan gateway desktop menjawab pertanyaan itu dalam tiga ukuran berbeda. Pilih ukurannya dulu dan produknya akan mengikuti.

Pertanyaannya adalah cakupan, bukan protokol

Tuliskan apa yang benar-benar perlu disentuh pengguna. Jika jawabannya satu desktop, desain yang memberikan subnet terlalu luas. Jika jawabannya desktop plus berbagi file plus konsol admin, desain yang meneruskan satu port akan kembali bulan depan untuk dua penerusan lagi. Daftar tujuan adalah persyaratannya; sisanya implementasi.

Pisahkan identitas masuk dari akun Windows yang masuk ke desktop. Setiap desain di bawah memiliki keduanya, dan mencampurnya adalah cara akun host loncat mendapat wewenang lebih dari yang dimaksud siapa pun.

Satu layanan TCP yang diteruskan

Host loncat SSH yang disetujui dapat meneruskan pendengar lokal ke layanan RDP yang dapat dijangkau. Ikat pendengar itu ke loopback bila hanya ada untuk mesin pengguna sendiri, yang merupakan maksud normal penerusan lokal. Penerusan adalah kemudahan bagi satu orang, bukan layanan bagi tim.

Login SSH mengautentikasi akses ke jalur penerusan, dan tidak lebih. Autentikasi Windows dan otorisasi RDP tetap terjadi di tujuan, jadi akun loncat yang sah bukan sesi desktop yang sah. Itu dua gerbang independen dan keduanya harus terbuka.

Batasi tujuan penerusan akun loncat alih-alih memberi shell tanpa batas. Desain ini cocok untuk sekumpulan mesin kecil yang dicantumkan secara eksplisit, dan menambahkan host, identitas, dan siklus hidup untuk dioperasikan. Host tambahan itulah bagian yang dilupakan orang saat membandingkannya dengan gateway: seseorang harus menambal, memantau, dan memiliki kuncinya.

Ruang kerja privat yang dirutekan

VPN memberikan DNS privat dan akses ke beberapa layanan yang digunakan bersama, dan itulah nilai sebenarnya. Menyembunyikan satu port desktop hanyalah efek samping, bukan alasan membangunnya. Perbedaan itu penting ketika seseorang bertanya mengapa VPN ada sama sekali.

Batasi rute dan izin sumber daya pada tujuan yang dimaksud. Pengguna yang terhubung tidak otomatis berhak atas seluruh LAN, dan firewall tujuan plus hak masuk Windows tetap menjadi batas terpisah yang tidak digantikan VPN.

Pengaturan ini nyaman untuk ruang kerja terkelola yang sudah mapan. Biayanya adalah orientasi, persyaratan perangkat, perilaku resolver, dan kebijakan koneksi menjadi bagian dari lingkungan kerja pengguna, dan seseorang harus memilikinya. Bandingkan biaya itu dengan lisensi gateway sebelum menganggap VPN sebagai opsi yang lebih murah.

Gateway khusus RDP

Remote Desktop Gateway menyediakan batas khusus RDP, bukan batas jaringan. Kebijakan otorisasi koneksinya menentukan siapa yang boleh terhubung, dan kebijakan otorisasi sumber dayanya menentukan sumber daya internal mana yang boleh mereka capai melaluinya. Kedua kebijakan adalah bagian dari produk, bukan tambahan opsional.

Rencanakan sertifikat, integrasi identitas, dan transportasi yang diperlukan bersama-sama. Gateway bukan relai TCP anonim, dan menerapkannya sebagai itu melewati kebijakan yang membenarkannya. Ia juga membawa persyaratan lisensi dan operasional yang tidak dimiliki satu port yang diteruskan. Anggarkan semuanya sebelum tinjauan desain, bukan sesudahnya.

Di tempat tim sudah mengoperasikan akses desktop terpusat, biaya tambahan itu sudah dibayar. Di tempat satu orang membutuhkan satu mesin, itu mesin besar untuk pekerjaan kecil.

Yang masih dibutuhkan ketiganya

Pertahankan pemeriksaan identitas host di setiap desain. Alias lokal atau terowongan tidak membuat sertifikat tak terduga menjadi tidak berbahaya, dan menerima sertifikat yang tidak cocok agar bisa melewati proksi membatalkan tujuan terowongan. Nama di klien dan nama di sertifikat harus diselaraskan dengan sengaja.

Terapkan MFA di titik masuk tempat kebijakan mensyaratkannya, dan pertahankan kontrol akun di tujuan. Keduanya saling melengkapi: yang pertama menentukan siapa yang boleh mencapai pintu, yang kedua menentukan siapa yang boleh membukanya. Meninggalkan salah satunya menghasilkan desain yang tampak lengkap tetapi tidak.

Pilih batas yang sesuai dengan pekerjaan dan model operasi yang benar-benar Anda miliki. Ikhtisar peran RDS menjelaskan posisi gateway di antara host sesi dan komponen lain, dan itulah konteks yang membuat biayanya terbaca.