SSH フォワード、VPN、RD Gateway：一台の RDP デスクトップにはどの経路？

三つの選択肢はいずれも RDP を運ぶため、プロトコルが決め手ではありません。本当の問いは、一人のユーザーがどこまでの到達範囲を得るべきか、そしてそれを与えるものを誰が運用するかです。転送された TCP ポート、ルーティングされたプライベートネットワーク、デスクトップゲートウェイは、この問いに三つの異なる規模で答えます。先に規模を選べば、製品は後からついてきます。

問いはプロトコルではなく範囲です

ユーザーが実際に触れる必要があるものを書き出します。答えが一台のデスクトップなら、サブネットを与える設計は範囲が広すぎます。答えがデスクトップにファイル共有と管理コンソールを加えたものなら、一つのポートを転送する設計は来月さらに二つの転送を求めて戻ってきます。宛先の一覧が要件であり、それ以外はすべて実装です。

入口の ID を、デスクトップにサインインする Windows アカウントから分離します。以下のどの設計にも両方があり、それらを混同すると、ジャンプホストのアカウントが誰の意図よりも大きな権限を持つことになります。

一つの転送された TCP サービス

承認された SSH ジャンプホストは、到達できる RDP サービスへローカルリスナーを転送できます。そのリスナーがユーザー自身のマシンだけのものである場合は loopback に束縛しますが、これがローカル転送の通常の意図です。転送は一人のための便宜であり、チームのためのサービスではありません。

SSH ログインが認証するのは転送経路へのアクセスだけで、それ以上ではありません。Windows の認証と RDP の承認は依然として宛先で行われるため、有効なジャンプアカウントは有効なデスクトップセッションではありません。これは独立した二つの関門であり、両方が開く必要があります。

無制限のシェルを与えるのではなく、ジャンプアカウントの転送先を制限します。この設計は明示的に列挙された少数のマシンに適しており、運用すべきホスト、ID、ライフサイクルを追加します。その追加ホストこそ、ゲートウェイと比較するときに人々が忘れる部分であり、誰かがパッチを当て、監視し、鍵を所有しなければなりません。

ルーティングされたプライベートワークスペース

VPN はプライベート DNS と、一緒に使う複数のサービスへのアクセスを提供し、それが本来の価値です。デスクトップの一ポートを隠すのは副作用であり、構築する理由ではありません。VPN がそもそもなぜ存在するのかと問われたとき、この区別が効いてきます。

ルートとリソースの権限を意図した宛先に制限します。接続したユーザーが自動的に LAN 全体を正当に得るわけではなく、宛先のファイアウォールと Windows のサインイン権限は、VPN が置き換えない別個の境界として残ります。

この構成は、すでに確立された管理されたワークスペースには便利です。コストは、オンボーディング、デバイス要件、リゾルバーの挙動、接続ポリシーがユーザーの作業環境の一部になり、誰かがそれらを所有しなければならないことです。VPN が安価な選択肢だと決めつける前に、そのコストをゲートウェイのライセンスと比較してください。

RDP 固有のゲートウェイ

Remote Desktop Gateway はネットワークの境界ではなく、RDP 固有の境界を提供します。その接続承認ポリシーが誰が接続できるかを決め、リソース承認ポリシーがその経由でどの内部リソースに到達できるかを決めます。どちらのポリシーも製品の一部であり、任意の追加機能ではありません。

証明書、ID 統合、必要なトランスポートをまとめて計画します。ゲートウェイは匿名の TCP リレーではなく、そのように配備すると、そもそもそれを正当化するポリシーを飛ばすことになります。単一の転送ポートにはないライセンスと運用の要件も伴います。設計レビューの前にそれらを予算化し、後回しにしないでください。

チームがすでに中央集約的なデスクトップアクセスを運用しているなら、その間接費はすでに支払われています。一人が一台のマシンを必要とするなら、小さな仕事のために大きなマシンを買うことになります。

三つすべてにまだ必要なもの

どの設計でもホスト ID の検証を保ちます。ローカルエイリアスやトンネルは、予期しない証明書を無害にはしません。プロキシを通るために一致しない証明書を受け入れることはトンネルの意味を損なうため、クライアントの名前と証明書の名前は意図的に整合させる必要があります。

ポリシーが求める入口で MFA を適用し、宛先のアカウント管理を保ちます。前者は誰が扉に到達できるかを、後者は誰がそれを開けられるかを決めるため、二つは補完関係にあります。どちらかを欠くと、完全に見えてそうでない設計が残ります。

仕事と、実際に持っている運用モデルに合う境界を選びます。RDS の役割の概要はセッションホストと他のコンポーネントの中でのゲートウェイの位置を説明しており、そのコストを読み解けるようにする文脈はこれです。