SSH-framsending, VPN eða RD Gateway: hvaða leið fyrir eitt RDP-skjáborð?

Allir þrír valkostirnir bera RDP, þannig að samskiptareglan er ekki ráðandi þáttur. Raunverulega spurningin er hversu mikið aðgengi einn notandi ætti að fá og hver rekur hlutinn sem veitir það. Framsend TCP-höfn, rýmt einkanet og skjáborðsgátt svara þeirri spurningu í þremur mismunandi stærðum. Veldu stærðina fyrst og varan fylgir.

Spurningin er umfang, ekki samskiptaregla

Skrifaðu niður hvað notandinn þarf í raun að snerta. Ef svarið er eitt skjáborð er hönnun sem veitir undirnet of breið. Ef svarið er skjáborð auk skráardeilinga auk stjórnborðs er hönnun sem framsendir eina höfn komin aftur í næsta mánuði fyrir tvær framsendingar í viðbót. Listinn yfir áfangastaði er krafan; allt annað er útfærsla.

Haltu innkomuauðkenninu aðskildu frá Windows-reikningnum sem skráir sig inn á skjáborðið. Sérhver hönnun hér að neðan hefur bæði, og að blanda þeim saman er hvernig stökkgastar-reikningur endar með meira vald en nokkur ætlaði.

Ein framsend TCP-þjónusta

Viðurkenndur SSH-stökkgastur getur framsent staðbundið hlustunartæki til RDP-þjónustunnar sem hann nær til. Skuldbundu það hlustunartæki við loopback þegar það er aðeins fyrir vél notandans sjálfs, sem er venjulegur tilgangur staðbundinnar framsendingar. Framsendingin er þægindi fyrir einn einstakling, ekki þjónusta fyrir teymi.

SSH-innskráning auðkennir aðgang að framsendingarleiðinni og ekkert meira. Windows-auðkenning og RDP-heimild eiga sér enn stað á áfangastaðnum, svo gildur stökkgastar-reikningur er ekki gild skjáborðslota. Þetta eru tveir óháðir hliðar og báðir verða að opnast.

Takmarkaðu framsendingarákvarðastaði stökkgastar-reikningsins í stað þess að veita ótakmarkað skel. Þessi hönnun hentar litlum, skýrt skráðum hópi véla og bætir við gestgjafa, auðkenni og lífsferli til að reka. Sá aukagestgjafi er hlutinn sem fólk gleymir þegar það ber hann saman við gátt: einhver verður að plástra hann, fylgjast með honum og eiga lyklana hans.

Rýmt einkavinnusvæði

VPN veitir einkadns og aðgang að nokkrum þjónustum sem notaðar eru saman, og það er raunverulegt gildi þess. Að fela eina skjáborðshöfn er aukaverkun, ekki ástæðan til að byggja það. Sá greinarmunur skiptir máli þegar einhver spyr hvers vegna VPN er yfirleitt til.

Takmarkaðu leiðir og auðlindaheimildir við fyrirhugaða áfangastaði. Tengdur notandi á ekki sjálfkrafa allt LAN, og eldveggur áfangastaðar auk Windows-innskráningarréttinda eru áfram aðskilin mörk sem VPN kemur ekki í staðinn fyrir.

Þessi skipan er þægileg fyrir þegar fastmótað stýrt vinnusvæði. Kostnaðurinn er að innleiðing, tækjakröfur, hegðun leysir og tengistefna verða hluti af vinnuumhverfi notandans og einhver verður að eiga þau. Berðu þann kostnað saman við leyfisveitingu gáttarinnar áður en þú gerir ráð fyrir að VPN sé ódýrari kosturinn.

Gátt sem er sérhæfð fyrir RDP

Remote Desktop Gateway veitir sérhæft mörk fyrir RDP frekar en netmörk. Tengiaðgangsheimildarstefna þess ákveður hver má tengjast, og auðlindaheimildarstefnan ákveður hvaða innri auðlindir þeir ná til í gegnum hana. Báðar stefnurnar eru hluti af vörunni, ekki valfrjáls viðbót.

Skipuleggðu skírteini, auðkennissamþættingu og nauðsynlega flutninga saman. Gáttin er ekki nafnlaus TCP-endurvarpa og að setja hana upp sem slíka sleppir stefnunum sem réttlæta hana. Hún ber einnig leyfis- og rekstrarkröfur sem ein framsend höfn ber ekki. Fjárveittu fyrir þær fyrir hönnunarúttektina, ekki eftir hana.

Þar sem teymi rekur þegar miðlægan skjáborðsaðgang er sá kostnaður þegar greiddur. Þar sem einn einstaklingur þarf eina vél er það stór vél keypt fyrir lítið verk.

Það sem allir þrír þurfa enn

Haltu gestgjafaauðkennisathugunum í hverri hönnun. Staðbundið samheiti eða göng vill ekki gera óvænt skírteini skaðlaust, og að samþykkja ósamsvarandi skírteini til að komast gegnum milliþjón deyfir tilgang ganganna. Samræma verður nafnið í biðlarans og nafnið á skírteininu viljandi.

Beittu MFA við innganginn þar sem stefnan krefst þess og haltu reikningsstýringum áfangastaðarins. Þau tvö eru að bæta hvort annað: hið fyrra ákveður hver má ná dyrunum, hið síðara hver má opna þær. Að sleppa hvoru um sig skilur eftir hönnun sem lítur út fyrir að vera fullkomin og er það ekki.

Veldu mörkin sem passa við verkið og rekstrarlíkanið sem þú hefur í raun. Yfirlit yfir RDS-hlutverk lýsir stað gáttarinnar meðal lotugestgjafans og annarra hluta, og það er samhengið sem gerir kostnað hennar læsilegan.