SSH pāradresācija, VPN vai RD Gateway: kurš ceļš vienai RDP darbvirsai?

Visas trīs iespējas pārsūta RDP, tāpēc protokols nav izšķirošais faktors. Īstais jautājums ir, cik lielu piekļuvi vienam lietotājam vajadzētu saņemt un kas pārvalda to, kas to piešķir. Pāradresēts TCP ports, maršrutēts privāts tīkls un darbvirsmas vārteja atbild uz šo jautājumu trīs dažādos izmēros. Vispirms izvēlieties izmēru, un produkts sekos.

Jautājums ir apjoms, nevis protokols

Pierakstiet, kam lietotājam patiešām jāpieskaras. Ja atbilde ir viena darbvirtsa, projekts, kas piešķir apakštīklu, ir pārāk plašs. Ja atbilde ir darbvirtsa plus failu koplietojumi plus administrācijas konsole, projekts, kas pāradresē vienu portu, nākamajā mēnesī atgriezīsies pēc vēl divām pāradresācijām. Galamērķu saraksts ir prasība; viss pārējais ir ieviešana.

Turiet ievades identitāti atsevišķi no Windows konta, kas piesakās darbvirsmā. Katram zemāk esošajam projektam ir abi, un to sajaukšana ir veids, kā lēciena resursdatora konts iegūst lielākas pilnvaras, nekā kāds bija iecerējis.

Viens pāradresēts TCP pakalpojums

Apstiprināts SSH lēciena resursdators var pāradresēt lokālu klausītāju uz RDP pakalpojumu, kuru tas sasniedz. Piesaistiet šo klausītāju loopback, ja tas pastāv tikai lietotāja paša mašīnai, kas ir parastais lokālas pāradresācijas nolūks. Pāradresācija ir ērtība vienam cilvēkam, nevis pakalpojums komandai.

SSH pieteikšanās autentificē piekļuvi pāradresācijas ceļam un neko vairāk. Windows autentifikācija un RDP autorizācija joprojām notiek galamērķī, tāpēc derīgs lēciena konts nav derīga darbvirsmas sesija. Tie ir divi neatkarīgi vārti, un abiem jāatveras.

Ierobežojiet lēciena konta pāradresācijas galamērķus, nevis piešķiriet neierobežotu apvalku. Šis projekts ir piemērots mazai, skaidri uzskaitītai mašīnu kopai, un tas pievieno resursdatoru, identitāti un dzīves ciklu, kas jāpārvalda. Tas papildu resursdators ir daļa, ko cilvēki aizmirst, salīdzinot ar vārteju: kādam tas jālabo, jāuzrauga un jāpārvalda tā atslēgas.

Maršrutēta privāta darbvieta

VPN nodrošina privātu DNS un piekļuvi vairākiem kopā lietotiem pakalpojumiem, un tā ir tā patiesā vērtība. Viena darbvirsmas porta slēpšana ir blakusefekts, nevis iemesls to būvēt. Šī atšķirība ir svarīga, kad kāds jautā, kāpēc VPN vispār pastāv.

Ierobežojiet maršrutus un resursu atļaujas ar paredzētajiem galamērķiem. Pievienojies lietotājs automātiski nav pelnījis visu LAN, un galamērķa ugunsmūris kopā ar Windows pieteikšanās tiesībām paliek atsevišķas robežas, ko VPN neaizstāj.

Šis izkārtojums ir ērts jau izveidotai pārvaldītai darbvietai. Izmaksas ir tādas, ka ievadīšana, ierīču prasības, risinātāja uzvedība un savienojuma politika kļūst par lietotāja darba vides daļu, un kādam tās jāpārvalda. Salīdziniet šīs izmaksas ar vārtejas licencēšanu, pirms pieņemat, ka VPN ir lētākais variants.

RDP specifiska vārteja

Remote Desktop Gateway nodrošina RDP specifisku, nevis tīkla robežu. Tās savienojumu autorizācijas politika nosaka, kas drīkst pieslēgties, un resursu autorizācijas politika nosaka, kurus iekšējos resursus viņi drīkst sasniegt caur to. Abas politikas ir produkta daļa, nevis izvēles papildinājumi.

Plānojiet sertifikātus, identitātes integrāciju un nepieciešamos transportus kopā. Vārteja nav anonīms TCP relejs, un tās izvietošana kā tāda izlaiž politikas, kas to vispār attaisno. Tai ir arī licencēšanas un darbības prasības, kādu vienam pāradresētam portam nav. Iekļaujiet tās budžetā pirms dizaina pārskatīšanas, nevis pēc tam.

Vietās, kur komanda jau pārvalda centralizētu piekļuvi darbvirsmām, šīs papildu izmaksas jau ir samaksātas. Vietās, kur vienam cilvēkam vajag vienu mašīnu, tas ir liels dators mazam darbam.

Kas visiem trim vēl nepieciešams

Saglabājiet resursdatora identitātes pārbaudes katrā projektā. Lokāls aizstājvārds vai tunelis nepadara negaidītu sertifikātu nekaitīgu, un neatbilstoša sertifikāta pieņemšana, lai izkļūtu caur starpniekserveri, iznīcina tuneļa jēgu. Klienta nosaukums un sertifikāta nosaukums ir apzināti jāsaskaņo.

Piemērojiet MFA ievades punktā, kur to prasa politika, un saglabājiet galamērķa konta kontroli. Abi papildina viens otru: pirmais nosaka, kas drīkst sasniegt durvis, otrais – kas tās drīkst atvērt. Izlaižot jebkuru, paliek projekts, kas izskatās pabeigts un nav.

Izvēlieties robežu, kas atbilst darbam un darbības modelim, kāds jums patiešām ir. RDS lomu pārskats apraksta vārtejas vietu starp sesijas resursdatoru un citām sastāvdaļām, un tas ir konteksts, kas padara tās izmaksas salasāmas.