SSH peradresavimas, VPN ar RD Gateway: kuris kelias vienam RDP darbalaukiui?

Visos trys parinktys perduoda RDP, todėl protokolas nėra lemiamas veiksnys. Tikrasis klausimas – kiek prieigos turėtų gauti vienas naudotojas ir kas eksploatuoja tai, kas ją suteikia. Peradresuotas TCP prievadas, maršrutizuotas privatus tinklas ir darbalaukio vartai atsako į šį klausimą trimis skirtingais dydžiais. Pirmiausia pasirinkite dydį, o produktas ateis paskui.

Klausimas – apimtis, o ne protokolas

Užsirašykite, ką naudotojui iš tikrųjų reikia liesti. Jei atsakymas yra vienas darbalaukis, projektas, suteikiantis potinklį, yra per platus. Jei atsakymas yra darbalaukis plius failų bendrinimas plius administravimo konsolė, projektas, peradresuojantis vieną prievadą, kitą mėnesį grįš dar dviejų peradresavimų. Tikslų sąrašas yra reikalavimas; visa kita – įgyvendinimas.

Laikykite įėjimo tapatybę atskirai nuo Windows paskyros, kuri prisijungia prie darbalaukio. Kiekvienas žemiau pateiktas projektas turi abu, o jų sumaišymas yra būdas, kuriuo šuolio pagrindinio kompiuterio paskyra gauna daugiau galių, nei kas nors ketino.

Viena peradresuota TCP paslauga

Patvirtintas SSH šuolio pagrindinis kompiuteris gali peradresuoti vietinį klausytoją į RDP paslaugą, kurią pasiekia. Susiekite tą klausytoją su loopback, kai jis egzistuoja tik naudotojo pačio kompiuterio reikmėms, o tai įprasta vietinio peradresavimo paskirtis. Peradresavimas yra patogumas vienam žmogui, o ne paslauga komandai.

SSH prisijungimas autentifikuoja prieigą prie peradresavimo kelio ir nieko daugiau. Windows autentifikavimas ir RDP autorizavimas vis dar vyksta paskirties vietoje, todėl galiojanti šuolio paskyra nėra galiojanti darbalaukio sesija. Tai du nepriklausomi vartai, ir abu turi atsiverti.

Apribokite šuolio paskyros peradresavimo tikslus, o ne suteikite neribotą apvalkalą. Šis projektas tinka mažam, aiškiai išvardytam kompiuterių rinkiniui, ir jis prideda pagrindinį kompiuterį, tapatybę ir gyvavimo ciklą, kuriuos reikia eksploatuoti. Tas papildomas pagrindinis kompiuteris yra dalis, kurią žmonės pamiršta lygindami su vartais: kažkas turi jį pataisyti, stebėti ir turėti jo raktus.

Maršrutizuota privati darbo erdvė

VPN suteikia privatų DNS ir prieigą prie kelių kartu naudojamų paslaugų, ir tai yra tikroji jo vertė. Vieno darbalaukio prievado slėpimas yra šalutinis poveikis, o ne priežastis jį kurti. Šis skirtumas svarbus, kai kas nors klausia, kodėl VPN apskritai egzistuoja.

Apribokite maršrutus ir išteklių leidimus numatytoms paskirties vietoms. Prisijungęs naudotojas automatiškai nenusipelno viso LAN, o paskirties ugniasienė kartu su Windows prisijungimo teisėmis lieka atskiromis ribomis, kurių VPN nepakeičia.

Ši tvarka patogi jau įsitvirtinusiai valdomai darbo erdvei. Kaina yra ta, kad įtraukimas, įrenginių reikalavimai, sprendiklio elgsena ir ryšio politika tampa naudotojo darbo aplinkos dalimi, ir kažkas turi jais rūpintis. Palyginkite šią kainą su vartų licencijavimu prieš manydami, kad VPN yra pigesnis pasirinkimas.

RDP specifiniai vartai

Remote Desktop Gateway suteikia RDP specifinę, o ne tinklo ribą. Jo ryšių autorizavimo politika nusprendžia, kas gali prisijungti, o išteklių autorizavimo politika nusprendžia, kokius vidinius išteklius jie gali pasiekti per juos. Abi politikos yra produkto dalis, o ne pasirenkami priedai.

Planuokite sertifikatus, tapatybės integraciją ir reikiamus transportus kartu. Vartai nėra anoniminis TCP relelis, o jų diegimas kaip tokio praleidžia politikas, kurios juos apskritai pateisina. Jie taip pat turi licencijavimo ir eksploatavimo reikalavimų, kurių vienas peradresuotas prievadas neturi. Suplanuokite juos biudžete prieš dizaino peržiūrą, o ne po jos.

Kai komanda jau eksploatuoja centralizuotą darbalaukių prieigą, ta pridėtinė kaina jau sumokėta. Kai vienam žmogui reikia vieno kompiuterio, tai didelis kompiuteris mažam darbui.

Ko visoms trims dar reikia

Išsaugokite pagrindinio kompiuterio tapatybės patikras kiekviename projekte. Vietinis slapyvardis ar tunelis nepadaro netikėto sertifikato nekenksmingo, o nesutampančio sertifikato priėmimas norint praeiti pro tarpinį serverį panaikina tunelio prasmę. Kliento vardas ir sertifikato vardas turi būti sąmoningai suderinti.

Taikykite MFA įėjimo taške, kur to reikalauja politika, ir išlaikykite paskirties paskyros kontrolę. Abu papildo vienas kitą: pirmasis nusprendžia, kas gali pasiekti duris, antrasis – kas gali jas atidaryti. Praleidus bet kurį, lieka projektas, kuris atrodo baigtas ir nėra.

Pasirinkite ribą, atitinkančią darbą ir eksploatavimo modelį, kurį iš tikrųjų turite. RDS vaidmenų apžvalga aprašo vartų vietą tarp sesijos pagrindinio kompiuterio ir kitų komponentų, ir tai yra kontekstas, darantis jų kainą įskaitomą.