SSH 포워딩, VPN, RD Gateway: RDP 데스크톱 하나에는 어떤 경로?

세 가지 옵션 모두 RDP를 전달하므로 프로토콜은 결정 요인이 아닙니다. 진짜 질문은 한 사용자가 얼마나 많은 접근 범위를 받아야 하는지, 그리고 그것을 제공하는 것을 누가 운영하는지입니다. 전달된 TCP 포트, 라우팅된 사설 네트워크, 데스크톱 게이트웨이는 이 질문에 서로 다른 세 가지 규모로 답합니다. 먼저 규모를 고르면 제품은 따라옵니다.

질문은 프로토콜이 아니라 범위입니다

사용자가 실제로 무엇을 만져야 하는지 적어 보세요. 답이 데스크톱 하나라면 서브넷을 주는 설계는 너무 넓습니다. 답이 데스크톱에 파일 공유와 관리 콘솔을 더한 것이라면, 포트 하나를 전달하는 설계는 다음 달에 두 개의 전달을 더 요구하며 돌아옵니다. 목적지 목록이 요구 사항이고, 나머지는 모두 구현입니다.

진입 ID를 데스크톱에 로그인하는 Windows 계정과 분리하세요. 아래 모든 설계에는 둘 다 있으며, 이를 혼동하면 점프 호스트 계정이 누구도 의도하지 않은 더 큰 권한을 갖게 됩니다.

전달된 TCP 서비스 하나

승인된 SSH 점프 호스트는 접근할 수 있는 RDP 서비스로 로컬 리스너를 전달할 수 있습니다. 해당 리스너가 사용자 자신의 머신에만 필요하다면 loopback에 바인딩하세요. 이것이 로컬 전달의 일반적인 의도이며, 전달은 한 사람을 위한 편의이지 팀을 위한 서비스가 아닙니다.

SSH 로그인은 전달 경로에 대한 접근만 인증하며 그 이상은 하지 않습니다. Windows 인증과 RDP 권한 부여는 여전히 목적지에서 일어나므로, 유효한 점프 계정이 유효한 데스크톱 세션은 아닙니다. 이는 독립적인 두 개의 문이며 둘 다 열려야 합니다.

무제한 셸을 주는 대신 점프 계정의 전달 목적지를 제한하세요. 이 설계는 명시적으로 나열된 소수의 머신에 적합하며, 운영할 호스트와 ID, 수명 주기를 추가합니다. 그 추가 호스트가 바로 사람들이 게이트웨이와 비교할 때 잊는 부분이며, 누군가는 이를 패치하고 모니터링하며 키를 소유해야 합니다.

라우팅된 사설 작업 공간

VPN은 사설 DNS와 함께 사용하는 여러 서비스에 대한 접근을 제공하며, 그것이 실제 가치입니다. 데스크톱 포트 하나를 숨기는 것은 부작용일 뿐 이를 구축하는 이유가 아닙니다. VPN이 도대체 왜 존재하는지 누군가 물을 때 이 구분이 중요합니다.

경로와 리소스 권한을 의도한 목적지로 제한하세요. 연결된 사용자가 자동으로 LAN 전체를 누릴 자격이 있는 것은 아니며, 목적지 방화벽과 Windows 로그인 권한은 VPN이 대체하지 않는 별도의 경계로 남습니다.

이 구성은 이미 확립된 관리형 작업 공간에 편리합니다. 비용은 온보딩, 기기 요구 사항, 리졸버 동작, 연결 정책이 사용자의 작업 환경 일부가 되며 누군가 이를 소유해야 한다는 점입니다. VPN이 더 저렴한 옵션이라고 가정하기 전에 그 비용을 게이트웨이 라이선스와 비교하세요.

RDP 전용 게이트웨이

Remote Desktop Gateway는 네트워크 경계가 아니라 RDP 전용 경계를 제공합니다. 연결 권한 부여 정책은 누가 연결할 수 있는지 결정하고, 리소스 권한 부여 정책은 이를 통해 어떤 내부 리소스에 접근할 수 있는지 결정합니다. 두 정책 모두 제품의 일부이며 선택적 추가 기능이 아닙니다.

인증서, ID 통합, 필요한 전송을 함께 계획하세요. 게이트웨이는 익명 TCP 릴레이가 아니며, 그렇게 배포하면 애초에 이를 정당화하는 정책을 건너뛰게 됩니다. 또한 전달된 포트 하나에는 없는 라이선스 및 운영 요구 사항을 수반합니다. 설계 검토 전에, 이후가 아니라 예산을 잡으세요.

팀이 이미 중앙 집중식 데스크톱 접근을 운영하고 있다면 그 간접비는 이미 지불된 것입니다. 한 사람이 머신 하나를 필요로 한다면 작은 일을 위해 큰 머신을 사는 셈입니다.

세 가지 모두에 여전히 필요한 것

모든 설계에서 호스트 ID 검사를 유지하세요. 로컬 별칭이나 터널이 예기치 않은 인증서를 무해하게 만들지는 않으며, 프록시를 통과하려고 일치하지 않는 인증서를 받아들이면 터널의 의미가 무너집니다. 클라이언트의 이름과 인증서의 이름은 의도적으로 일치시켜야 합니다.

정책이 요구하는 진입 지점에서 MFA를 적용하고, 목적지의 계정 통제를 유지하세요. 전자는 누가 문에 도달할 수 있는지, 후자는 누가 그것을 열 수 있는지를 결정하므로 두 가지는 상호 보완적입니다. 어느 하나를 빼면 완전해 보이지만 그렇지 않은 설계가 남습니다.

작업과 실제로 가진 운영 모델에 맞는 경계를 선택하세요.RDS 역할 개요는 세션 호스트와 다른 구성 요소 사이에서 게이트웨이의 위치를 설명하며, 그 비용을 읽을 수 있게 하는 맥락이 바로 이것입니다.