SSH გადაცემა, VPN თუ RD Gateway: რომელი გზა ერთი RDP დესკტოპისთვის?

სამივე ვარიანტი RDP-ს ატარებს, ამიტომ პროტოკოლი გადამწყვეტი ფაქტორი არ არის. ნამდვილი კითხვაა, რამდენი წვდომა უნდა მიიღოს ერთმა მომხმარებელმა და ვინ მართავს იმას, რაც მას იძლევა. გადაცემული TCP პორტი, მარშრუტიზებული კერძო ქსელი და დესკტოპის კარიბჭე ამ კითხვას სამ სხვადასხვა ზომაში პასუხობს. ჯერ ზომა აირჩიეთ და პროდუქტი მოჰყვება.

კითხვა მოცულობაა, არა პროტოკოლი

ჩაწერეთ, რასაც მომხმარებელს ნამდვილად სჭირდება შეხება. თუ პასუხი ერთი დესკტოპია, ქვექსელის მიმცემი დიზაინი ზედმეტად ფართოა. თუ პასუხია დესკტოპი პლუს ფაილების გაზიარება პლუს ადმინის კონსოლი, ერთი პორტის გადამცემი დიზაინი მომავალ თვეში კიდევ ორი გადაცემისთვის დაბრუნდება. დანიშნულებების სია მოთხოვნაა; დანარჩენი ყველაფერი განხორციელებაა.

შესვლის იდენტობა გამოყავით იმ Windows ანგარიშისგან, რომელიც დესკტოპზე შედის. ქვემოთ ყველა დიზაინს ორივე აქვს და მათი არევა ის გზაა, რომლითაც ნახტომი ჰოსტის ანგარიში უფრო მეტ უფლებამოსილებას იღებს, ვიდრე ვინმე გულისხმობდა.

ერთი გადაცემული TCP სერვისი

დამტკიცებულ SSH ნახტომი ჰოსტს შეუძლია ლოკალური მსმენელი გადასცეს იმ RDP სერვისს, რომელსაც აღწევს. მიაბით ეს მსმენელი loopback-ს, როცა ის მხოლოდ მომხმარებლის საკუთარი მანქანისთვის არსებობს, რაც ლოკალური გადაცემის ჩვეულებრივი მიზანია. გადაცემა ერთი ადამიანისთვის კომფორტია, არა გუნდისთვის სერვისი.

SSH შესვლა ამოწმებს წვდომას გადაცემის გზაზე და მეტს არაფერს. Windows-ის ავთენტიფიკაცია და RDP ავტორიზაცია კვლავ დანიშნულებაზე ხდება, ამიტომ მოქმედი ნახტომი ანგარიში მოქმედი დესკტოპის სესია არ არის. ეს ორი დამოუკიდებელი კარიბჭეა და ორივე უნდა გაიხსნას.

შეზღუდეთ ნახტომი ანგარიშის გადაცემის დანიშნულებები შეუზღუდავი shell-ის მიცემის ნაცვლად. ეს დიზაინი შეეფერება მცირე, ცხადად ჩამოთვლილ მანქანათა ნაკრებს და ამატებს ჰოსტს, იდენტობას და სასიცოცხლო ციკლს სამართავად. ის დამატებითი ჰოსტი ის ნაწილია, რომელსაც ადამიანები ივიწყებენ კარიბჭესთან შედარებისას: ვიღაცამ უნდა გაარემონტოს ის, დააკვირდეს და ფლობდეს მის გასაღებებს.

მარშრუტიზებული კერძო სამუშაო სივრცე

VPN იძლევა კერძო DNS-ს და წვდომას ერთად გამოყენებულ რამდენიმე სერვისზე და ეს არის მისი ნამდვილი ღირებულება. ერთი დესკტოპის პორტის დამალვა გვერდითი ეფექტია, არა მისი აშენების მიზეზი. ეს განსხვავება მნიშვნელოვანია, როცა ვიღაც კითხულობს, რატომ არსებობს VPN საერთოდ.

შეზღუდეთ მარშრუტები და რესურსების ნებართვები განზრახ დანიშნულებებზე. დაკავშირებული მომხმარებელი ავტომატურად არ იმსახურებს მთელ LAN-ს და დანიშნულების firewall პლუს Windows-ის შესვლის უფლებები რჩება ცალკე საზღვრებად, რომლებსაც VPN არ ცვლის.

ეს მოწყობა მოსახერხებელია უკვე დამკვიდრებული მართული სამუშაო სივრცისთვის. ღირებულება ისაა, რომ ონბორდინგი, მოწყობილობის მოთხოვნები, resolver-ის ქცევა და კავშირის პოლიტიკა მომხმარებლის სამუშაო გარემოს ნაწილი ხდება და ვიღაცამ უნდა ფლობდეს მათ. შეადარეთ ეს ღირებულება კარიბჭის ლიცენზირებას, სანამ ჩათვლით, რომ VPN უფრო იაფი ვარიანტია.

RDP-სპეციფიკური კარიბჭე

Remote Desktop Gateway იძლევა RDP-სპეციფიკურ საზღვარს და არა ქსელურ საზღვარს. მისი კავშირის ავტორიზაციის პოლიტიკა წყვეტს, ვის შეუძლია დაკავშირება, ხოლო რესურსების ავტორიზაციის პოლიტიკა წყვეტს, რომელ შიდა რესურსებზე შეუძლიათ მისი მეშვეობით მისვლა. ორივე პოლიტიკა პროდუქტის ნაწილია, არა არჩევითი დამატება.

დაგეგმეთ სერტიფიკატები, იდენტობის ინტეგრაცია და საჭირო ტრანსპორტები ერთად. კარიბჭე ანონიმური TCP რელე არ არის და მისი ისე განლაგება გამოტოვებს იმ პოლიტიკებს, რომლებიც მას პირველ რიგში ამართლებს. ის ასევე ატარებს ლიცენზირებისა და ოპერაციულ მოთხოვნებს, რომლებიც ერთ გადაცემულ პორტს არ აქვს. ბიუჯეტში გაითვალისწინეთ ისინი დიზაინის გადახედვამდე და არა მის შემდეგ.

სადაც გუნდი უკვე მართავს ცენტრალურ დესკტოპ წვდომას, ეს ზედნადები უკვე გადახდილია. სადაც ერთ ადამიანს ერთი მანქანა სჭირდება, ეს დიდი მანქანაა პატარა სამუშაოსთვის.

რაც სამივეს ჯერ კიდევ სჭირდება

შეინარჩუნეთ ჰოსტის იდენტობის შემოწმებები ყველა დიზაინში. ლოკალური ფსევდონიმი ან გვირაბი არ აქცევს მოულოდნელ სერტიფიკატს უვნებლად და პროქსის გავლისთვის შეუსაბამო სერტიფიკატის მიღება აუქმებს გვირაბის აზრს. კლიენტში არსებული სახელი და სერტიფიკატზე არსებული სახელი განზრახ უნდა შეთანხმდეს.

გამოიყენეთ MFA შესვლის წერტილში, სადაც პოლიტიკა მოითხოვს და შეინარჩუნეთ დანიშნულების ანგარიშის კონტროლი. ორივე ერთმანეთს ავსებს: პირველი წყვეტს, ვინ შეიძლება მივიდეს კართან, მეორე — ვინ შეიძლება გახსნას ის. ერთის გამოტოვება ტოვებს დიზაინს, რომელიც სრულად გამოიყურება და არ არის.

აირჩიეთ ის საზღვარი, რომელიც ერგება სამუშაოს და თქვენს რეალურ ოპერაციულ მოდელს. RDS როლების მიმოხილვა აღწერს კარიბჭის ადგილს სესიის ჰოსტსა და სხვა კომპონენტებს შორის და ეს არის ის კონტექსტი, რომელიც მის ღირებულებას წაკითხვადს ხდის.