SSH жіберу, VPN немесе RD Gateway: бір RDP жұмыс үстелі үшін қай жол?

Үш нұсқа да RDP тасымалдайды, сондықтан хаттама шешуші фактор емес. Нағыз сұрақ — бір пайдаланушы қаншалықты қолжетімділік алуы керек және оны беретін нәрсені кім басқарады. Жіберілген TCP порты, маршрутталған жеке желі және жұмыс үстелінің қақпасы бұл сұраққа үш түрлі өлшеммен жауап береді. Алдымен өлшемді таңдаңыз, өнім соңынан келеді.

Сұрақ — хаттама емес, ауқым

Пайдаланушы шынымен неге қол тигізуі керектігін жазыңыз. Жауап бір жұмыс үстелі болса, ішкі желі беретін жоба тым кең. Жауап жұмыс үстелі қосу файл бөлісу қосу әкімшілік консоль болса, бір портты жіберетін жоба келесі айда тағы екі жіберу үшін қайтады. Межелі орындар тізімі — талап; қалғанының бәрі іске асыру.

Кіру сәйкестігін жұмыс үстеліне кіретін Windows тіркелгісінен бөлек ұстаңыз. Төмендегі әрбір жобада екеуі де бар, оларды араластыру — секіру хостының тіркелгісіне біреудің ойлағанынан көбірек өкілеттік берілуінің жолы.

Бір жіберілген TCP қызметі

Мақұлданған SSH секіру хост қол жеткізе алатын RDP қызметіне жергілікті тыңдаушыны жібере алады. Бұл тыңдаушы тек пайдаланушының өз машинасы үшін болса, оны loopback-ке байлаңыз, бұл жергілікті жіберудің әдеттегі мақсаты. Жіберу — бір адамға арналған қолайлылық, топқа арналған қызмет емес.

SSH кіруі жіберу жолына қолжетімділікті растайды, одан артық емес. Windows аутентификациясы мен RDP авторизациясы әлі де межелі орында болады, сондықтан жарамды секіру тіркелгісі жарамды жұмыс үстелі сессиясы емес. Бұл екі тәуелсіз қақпа және екеуі де ашылуы керек.

Шексіз shell берудің орнына секіру тіркелгісінің жіберу межелерін шектеңіз. Бұл жоба анық тізілген шағын машиналар жиынтығына жарайды және басқару үшін хост, сәйкестік және өмірлік цикл қосады. Сол қосымша хост — адамдар қақпамен салыстырғанда ұмытып кететін бөлік: біреу оны жамауы, бақылауы және кілттеріне ие болуы керек.

Маршрутталған жеке жұмыс кеңістігі

VPN жеке DNS және бірге пайдаланылатын бірнеше қызметке қолжетімділік береді, оның нақты құндылығы осында. Бір жұмыс үстелі портын жасыру — жанама әсер, оны салудың себебі емес. Бұл айырмашылық біреу VPN не үшін бар деп сұрағанда маңызды.

Маршруттар мен ресурс рұқсаттарын көзделген межелермен шектеңіз. Қосылған пайдаланушы автоматты түрде бүкіл LAN-ға лайық емес, ал межелі орынның firewall-ы қосу Windows кіру құқықтары VPN алмастырмайтын бөлек шекаралар болып қалады.

Бұл тәртіп қалыптасқан басқарылатын жұмыс кеңістігі үшін қолайлы. Шығын — бейімдеу, құрылғы талаптары, resolver мінез-құлқы және қосылу саясаты пайдаланушының жұмыс ортасының бөлігіне айналады және біреу оларға ие болуы керек. VPN арзанырақ нұсқа деп есептемес бұрын бұл шығынды қақпаның лицензиялауымен салыстырыңыз.

RDP-ге тән қақпа

Remote Desktop Gateway желілік емес, RDP-ге тән шекараны ұсынады. Оның қосылымды авторизациялау саясаты кім қосыла алатынын шешеді, ал ресурсты авторизациялау саясаты ол арқылы қандай ішкі ресурстарға жете алатынын шешеді. Екі саясат та өнімнің бөлігі, қосымша опция емес.

Сертификаттарды, сәйкестікті біріктіруді және қажетті тасымалдарды бірге жоспарлаңыз. Қақпа — анонимді TCP релесі емес, оны солай орналастыру оны негіздейтін саясаттарды айналып өтеді. Ол сондай-ақ бір жіберілген портта жоқ лицензиялық және операциялық талаптарды алып жүреді. Дизайн шолуына дейін оларға бюджет бөліңіз, кейін емес.

Топ орталық жұмыс үстеліне қолжетімділікті әлдеқашан басқарса, бұл қосымша шығын әлдеқашан төленген. Бір адамға бір машина қажет болса, бұл шағын жұмыс үшін үлкен машина сатып алу.

Үшеуіне әлі не қажет

Әрбір жобада хост сәйкестігін тексеруді сақтаңыз. Жергілікті бүркеншік ат немесе туннель күтпеген сертификатты зиянсыз етпейді, ал проксиден өту үшін сәйкес емес сертификатты қабылдау туннельдің мәнін жояды. Клиенттегі атау мен сертификаттағы атауды әдейі келісу керек.

Саясат талап ететін кіру нүктесінде MFA қолданыңыз және межелі орынның тіркелгі бақылауын сақтаңыз. Екеуі бірін-бірі толықтырады: біріншісі кім есікке жете алатынын, екіншісі кім оны аша алатынын шешеді. Біреуін қалдыру толық көрінетін, бірақ толық емес жоба қалдырады.

Жұмысқа және сізде шын мәнінде бар операциялық модельге сай шекараны таңдаңыз. RDS рөлдеріне шолу қақпаның сессия хосты мен басқа компоненттер арасындағы орнын сипаттайды, ал бұл оның құнын оқуға болатын контекст.