SSH-Weiderleedung, VPN oder RD Gateway: wéi ee Wee fir een RDP-Desktop?

All dräi Optiounen droen RDP, dofir ass de Protokoll net dee entscheedende Faktor. Déi richteg Fro ass, wéi vill Erreechbarkeet ee Benotzer soll kréien, a wien dat bedreift, wat se gëtt. En heiweidergeleet TCP-Port, en geroutete private Reseau an en Desktop-Gateway beäntweren déi Fro an dräi verschiddene Gréissten. Wielt d’Gréisst als éischt an de Produkt wäert nokommen.

D’Fro ass den Ëmfang, net de Protokoll

Schreift op, wat de Benotzer wierklech muss beréieren. Wann d’Äntwert een Desktop ass, ass en Entworf, deen en Subnet gëtt, ze breet. Wann d’Äntwert en Desktop plus Dateifreigaben plus eng Administratiounskonsol ass, kënnt en Entworf, deen ee Port weiderleet, den nächsten Mount fir nach zwou Weiderleetungen zeréck. D’Lëscht vun den Ziler ass d’Ufuerderung; alles anescht ass Ëmsetzung.

Halt d’Entrétsidentitéit getrennt vum Windows-Kont, deen sech um Desktop aloggt. All Entworf hei drënner huet béides, a se ze vermëschen ass de Wee, wéi ee Jump-Host-Kont méi Autoritéit kritt wéi een et gemengt hat.

Een heiweidergeleet TCP-Service

En approuvéierte SSH-Jump-Host kann e lokale Lauschter op den RDP-Service weiderleeden, deen en erreecht. Bind dee Lauschter u loopback, wann en nëmme fir dem Benotzer seng eege Maschinn existéiert, wat déi normal Absicht vun enger lokaler Weiderleedung ass. D’Weiderleedung ass eng Bequemlechkeet fir eng Persoun, keen Service fir en Team.

D’SSH-Anmeldung authentifizéiert den Zougang zum Weiderleetungswee, a méi net. Windows-Authentifikatioun a RDP-Autorisatioun geschéien nach ëmmer um Zil, dofir ass e gültege Jump-Kont keng gülteg Desktop-Sessioun. Dat sinn zwee onofhängeg Porten a béid mussen opgoen.

Beschränkt d’Weiderleetungsziler vum Jump-Kont, amplaz eng onbeschränkt Shell ze ginn. Dësen Entworf passt op eng kleng, ausdrécklech opgelëschte Rei Maschinnen, an en füügt en Host, eng Identitéit an e Liewenszyklus fir ze bedreiwen derbäi. Dee zousätzlechen Host ass deen Deel, deen d’Leit vergiessen, wa se en mat engem Gateway vergläichen: een muss en patchjen, iwwerwaachen an d’Schlësselen dovu besëtzen.

Eng geroutete privat Aarbechtsplaz

E VPN gëtt privaten DNS an Zougang zu méi Servicer, déi zesummen benotzt ginn, a dat ass säin eigentleche Wäert. Een Desktop-Port ze verstoppen ass en Nieweneffekt, net de Grond fir en ze bauen. Dee Mëssverständnis zielt, wann een freet, firwat et de VPN iwwerhaapt gëtt.

Beschränkt d’Routen a Ressourceberechtegungen op déi virgesinn Ziler. E verbonnene Benotzer verdéngt net automatesch de ganzen LAN, an d’Zilfirewall plus Windows-Anmeldungsrechter bleiwen getrennte Grenzen, déi de VPN net ersetzt.

Dës Undeelung ass bequem fir eng etabléiert verwalt Aarbechtsplaz. De Käschtepunkt ass, datt Onboarding, Apparatsufuerderungen, Resolver-Verhalen a Verbindungspolitik Deel vun der Aarbechtsëmgebung vum Benotzer ginn, an een muss se besëtzen. Vergläicht dee Käschtepunkt mat der Lizenzéierung vum Gateway, ier Dir unhëlt, de VPN wier déi bëlleg Optioun.

En RDP-spezifesche Gateway

Remote Desktop Gateway bitt eng RDP-spezifesch Grenz amplaz enger Netzgrenz. Seng Autorisatiounspolitik fir Verbindunge entscheet, wien sech verbinde kann, a seng Autorisatiounspolitik fir Ressourcen entscheet, wéi intern Ressourcen se doriwwer erreeche kënnen. Béid Politike sinn Deel vum Produkt, net optional Extraen.

Plangt Zertifikater, Identitéitsintegratioun an déi néideg Transporte zesummen. De Gateway ass keen anonyme TCP-Relais, a wien en esou asetzt, iwwerspréngt d’Politiken, déi en iwwerhaapt gerechtfertegen. En dréit och Lizenz- a Betribsufuerderungen, déi een eenzelen heiweidergeleeten Port net huet. Budgetéiert se virun der Designrevisioun, net duerno.

Wou en Team schonn zentralen Desktop-Zougang bedreift, ass dee Gemeinkäschtepunkt schonn bezuelt. Wou eng Persoun eng Maschinn brauch, ass et eng grouss Maschinn fir eng kleng Aarbecht.

Wat all dräi nach brauchen

Halt d’Host-Identitéitspréifungen an all Entworf. En lokalen Alias oder en Tunnel mécht en onerwaart Zertifikat net harmlos, an en net passend Zertifikat ze akzeptéieren, fir duerch e Proxy ze kommen, zerstéiert den Zweck vum Tunnel. Den Numm am Client an den Numm um Zertifikat mussen bewosst an Einklang bruecht ginn.

Wend MFA um Entréts Punkt un, wou d’Politik et verlaangt, a behält d’Kontkontrollen vum Zil. Déi zwee ergänzen sech: déi éischt entscheet, wien d’Dier erreeche kann, déi zweet, wien se opmaache kann. Ee vun deenen zwee ewechzeloossen hannerléisst en Entworf, deen komplett ausgesäit an et net ass.

Wielt d’Grenz, déi zur Aarbecht an zum Betribsmodell passt, deen Dir tatsächlech hutt. Iwwerbléck iwwer d’RDS-Rollen beschreift dem Gateway seng Plaz ënner dem Sessiounshost an aneren Deeler, an dat ass de Kontext, deen seng Käschten liesbar mécht.