SSH проследување, VPN или RD Gateway: кој пат за една RDP работна површина?

Сите три опции пренесуваат RDP, така што протоколот не е одлучувачки фактор. Вистинското прашање е колкав пристап треба да добие еден корисник и кој управува со она што го дава. Проследен TCP порт, рутирана приватна мрежа и портал за работна површина одговараат на тоа прашање во три различни големини. Прво изберете ја големината, а производот ќе следи.

Прашањето е обем, а не протокол

Запишете што корисникот навистина треба да допре. Ако одговорот е една работна површина, дизајнот што дава подмрежа е премногу широк. Ако одговорот е работна површина плус споделени датотеки плус административна конзола, дизајнот што проследува еден порт следниот месец ќе се врати по уште две проследувања. Списокот на дестинации е барањето; сѐ друго е имплементација.

Држете го идентитетот за влез одделно од Windows-сметката што се пријавува на работната површина. Секој дизајн подолу ги има двете, а нивното мешање е начинот на кој сметката на скокачкиот домаќин добива повеќе овластувања отколку што некој имал намера.

Една проследена TCP услуга

Одобрен SSH скокачки домаќин може да проследи локален слушател кон RDP услугата што може да ја достигне. Врзете го тој слушател на loopback кога постои само за сопствената машина на корисникот, што е вообичаената намера на локално проследување. Проследувањето е удобност за еден човек, не услуга за тим.

Најавувањето преку SSH го автентицира пристапот до патеката за проследување и ништо повеќе. Windows-автентикацијата и RDP-авторизацијата сѐ уште се случуваат на дестинацијата, така што важечка скокачка сметка не е важечка сесија на работна површина. Тоа се две независни порти и двете мора да се отворат.

Ограничете ги дестинациите за проследување на скокачката сметка наместо да дадете неограничена обвивка. Овој дизајн одговара на мал, експлицитно наведен сет на машини и додава домаќин, идентитет и животен циклус за управување. Тој дополнителен домаќин е делот што луѓето го забораваат кога го споредуваат со портал: некој мора да го закрпи, да го следи и да ги поседува неговите клучеви.

Рутирана приватна работна околина

VPN дава приватен DNS и пристап до неколку услуги што се користат заедно, и тоа е неговата вистинска вредност. Криењето на еден порт од работната површина е несакан ефект, а не причина да се гради. Таа разлика е важна кога некој прашува зошто VPN воопшто постои.

Ограничете ги рутите и дозволите за ресурси на предвидените дестинации. Поврзан корисник не заслужува автоматски целиот LAN, а огнениот ѕид на дестинацијата плус правата за најава на Windows остануваат одделни граници што VPN не ги заменува.

Овој распоред е удобен за веќе воспоставена управувана работна околина. Трошокот е што воведувањето, барањата за уреди, однесувањето на разрешувачот и политиката за поврзување стануваат дел од работната околина на корисникот и некој мора да ги поседува. Споредете го тој трошок со лиценцирањето на порталот пред да претпоставите дека VPN е поевтината опција.

Портал специфичен за RDP

Remote Desktop Gateway обезбедува граница специфична за RDP, а не мрежна. Неговата политика за авторизација на врски одлучува кој може да се поврзе, а политиката за авторизација на ресурси одлучува до кои внатрешни ресурси можат да стигнат преку него. Двете политики се дел од производот, а не опционални додатоци.

Планирајте ги сертификатите, интеграцијата на идентитети и потребните транспорти заедно. Порталот не е анонимен TCP реле, а неговото распоредување како таков ги прескокнува политиките што го оправдуваат. Тој носи и барања за лиценцирање и работење што еден проследен порт ги нема. Предвидете ги во буџетот пред прегледот на дизајнот, а не по него.

Каде што тимот веќе управува со централизиран пристап до работни површини, тој дополнителен трошок е веќе платен. Каде што еден човек има потреба од една машина, тоа е голема машина купена за мала работа.

Што им треба на сите три

Зачувајте ги проверките на идентитетот на домаќинот во секој дизајн. Локален псевдоним или тунел не го прават неочекуваниот сертификат безопасен, а прифаќањето на несоодветен сертификат за да се помине низ прокси ја уништува смислата на тунелот. Името во клиентот и името на сертификатот мора свесно да се усогласат.

Применете MFA на влезната точка каде што политиката го бара и задржете ги контролите на сметката на дестинацијата. Двете се надополнуваат: првото одлучува кој може да стигне до вратата, второто кој може да ја отвори. Испуштањето на кое било од нив остава дизајн што изгледа целосен, а не е.

Изберете ја границата што одговара на работата и на оперативниот модел што навистина го имате. Преглед на RDS-улоги го опишува местото на порталот меѓу домаќинот на сесијата и другите компоненти, и тоа е контекстот што ја прави неговата цена читлива.