SSH ഫോർവേഡിംഗ്, VPN അല്ലെങ്കിൽ RD Gateway: ഒരു RDP ഡെസ്ക്ടോപ്പിന് ഏത് വഴി?

മൂന്ന് ഓപ്ഷനുകളും RDP കൊണ്ടുപോകുന്നു, അതിനാൽ പ്രോട്ടോക്കോൾ നിർണ്ണായക ഘടകമല്ല. യഥാർത്ഥ ചോദ്യം ഒരു ഉപയോക്താവിന് എത്ര പ്രവേശനം ലഭിക്കണം, അത് നൽകുന്ന കാര്യം ആരു നിർവഹിക്കുന്നു എന്നതാണ്. ഫോർവേഡ് ചെയ്ത TCP പോർട്ട്, റൂട്ട് ചെയ്ത സ്വകാര്യ നെറ്റ്വർക്ക്, ഡെസ്ക്ടോപ്പ് ഗേറ്റ്വേ എന്നിവ ഈ ചോദ്യത്തിന് മൂന്ന് വ്യത്യസ്ത വലുപ്പങ്ങളിൽ ഉത്തരം നൽകുന്നു. ആദ്യം വലുപ്പം തിരഞ്ഞെടുക്കുക, ഉൽപ്പന്നം പിന്തുടരും.

ചോദ്യം പ്രോട്ടോക്കോളല്ല, പരിധിയാണ്

ഉപയോക്താവ് യഥാർത്ഥത്തിൽ എന്ത് സ്പർശിക്കണം എന്ന് എഴുതുക. ഉത്തരം ഒരു ഡെസ്ക്ടോപ്പ് ആണെങ്കിൽ, സബ്നെറ്റ് നൽകുന്ന രൂപകൽപ്പന വളരെ വീതിയുള്ളതാണ്. ഉത്തരം ഡെസ്ക്ടോപ്പും ഫയൽ പങ്കിടലും അഡ്മിൻ കൺസോളും ആണെങ്കിൽ, ഒരു പോർട്ട് ഫോർവേഡ് ചെയ്യുന്ന രൂപകൽപ്പന അടുത്ത മാസം വീണ്ടും രണ്ട് ഫോർവേഡുകൾക്കായി മടങ്ങും. ലക്ഷ്യസ്ഥാനങ്ങളുടെ പട്ടികയാണ് ആവശ്യകത; ബാക്കിയെല്ലാം നടപ്പാക്കലാണ്.

പ്രവേശന ഐഡന്റിറ്റി ഡെസ്ക്ടോപ്പിൽ സൈൻ ഇൻ ചെയ്യുന്ന Windows അക്കൗണ്ടിൽ നിന്ന് വേർതിരിച്ച് സൂക്ഷിക്കുക. താഴെയുള്ള ഓരോ രൂപകൽപ്പനയിലും രണ്ടും ഉണ്ട്, അവ കൂട്ടിക്കലർത്തുന്നതാണ് ജംപ് ഹോസ്റ്റ് അക്കൗണ്ടിന് ആരും ഉദ്ദേശിച്ചതിലും കൂടുതൽ അധികാരം ലഭിക്കുന്ന വഴി.

ഒരു ഫോർവേഡ് ചെയ്ത TCP സേവനം

അംഗീകരിച്ച SSH ജംപ് ഹോസ്റ്റിന് എത്തിച്ചേരാവുന്ന RDP സേവനത്തിലേക്ക് ഒരു പ്രാദേശിക ലിസണർ ഫോർവേഡ് ചെയ്യാം. ആ ലിസണർ ഉപയോക്താവിന്റെ സ്വന്തം മെഷീന് മാത്രമായി ഉള്ളപ്പോൾ അതിനെ loopback-ലേക്ക് ബന്ധിക്കുക, ഇതാണ് പ്രാദേശിക ഫോർവേഡിന്റെ സാധാരണ ഉദ്ദേശ്യം. ഫോർവേഡ് ഒരു വ്യക്തിക്കുള്ള സൗകര്യമാണ്, ഒരു ടീമിനുള്ള സേവനമല്ല.

SSH ലോഗിൻ ഫോർവേഡിംഗ് പാതയിലേക്കുള്ള പ്രവേശനം മാത്രം സ്ഥിരീകരിക്കുന്നു. Windows പ്രാമാണീകരണവും RDP അനുമതിയും ഇപ്പോഴും ലക്ഷ്യസ്ഥാനത്ത് നടക്കുന്നു, അതിനാൽ സാധുവായ ജംപ് അക്കൗണ്ട് സാധുവായ ഡെസ്ക്ടോപ്പ് സെഷനല്ല. ഇവ രണ്ട് സ്വതന്ത്ര വാതിലുകളാണ്, രണ്ടും തുറക്കണം.

പരിധിയില്ലാത്ത ഷെൽ നൽകുന്നതിന് പകരം ജംപ് അക്കൗണ്ടിന്റെ ഫോർവേഡിംഗ് ലക്ഷ്യസ്ഥാനങ്ങൾ പരിമിതപ്പെടുത്തുക. ഈ രൂപകൽപ്പന വ്യക്തമായി ലിസ്റ്റ് ചെയ്ത കുറച്ച് മെഷീനുകൾക്ക് അനുയോജ്യമാണ്, കൂടാതെ നിർവഹിക്കാൻ ഒരു ഹോസ്റ്റും ഒരു ഐഡന്റിറ്റിയും ഒരു ജീവിതചക്രവും ചേർക്കുന്നു. ആ അധിക ഹോസ്റ്റാണ് ഗേറ്റ്വേയുമായി താരതമ്യം ചെയ്യുമ്പോൾ ആളുകൾ മറക്കുന്ന ഭാഗം: ആരെങ്കിലും അത് പാച്ച് ചെയ്യണം, നിരീക്ഷിക്കണം, അതിന്റെ താക്കോലുകൾ കൈവശം വയ്ക്കണം.

റൂട്ട് ചെയ്ത സ്വകാര്യ വർക്ക്സ്പേസ്

VPN സ്വകാര്യ DNS-ഉം ഒരുമിച്ച് ഉപയോഗിക്കുന്ന നിരവധി സേവനങ്ങളിലേക്കുള്ള പ്രവേശനവും നൽകുന്നു, അതാണ് അതിന്റെ യഥാർത്ഥ മൂല്യം. ഒരു ഡെസ്ക്ടോപ്പ് പോർട്ട് മറയ്ക്കുന്നത് പാർശ്വഫലമാണ്, അത് നിർമ്മിക്കാനുള്ള കാരണമല്ല. VPN എന്തിന് നിലനിൽക്കുന്നു എന്ന് ആരെങ്കിലും ചോദിക്കുമ്പോൾ ഈ വ്യത്യാസം പ്രധാനമാണ്.

റൂട്ടുകളും വിഭവാനുമതികളും ഉദ്ദേശിച്ച ലക്ഷ്യസ്ഥാനങ്ങളിൽ പരിമിതപ്പെടുത്തുക. ബന്ധിപ്പിച്ച ഉപയോക്താവിന് സ്വയമേവ മുഴുവൻ LAN-നും അർഹതയില്ല, കൂടാതെ ലക്ഷ്യസ്ഥാനത്തിന്റെ ഫയർവാൾക്കും Windows സൈൻ-ഇൻ അവകാശങ്ങൾക്കും VPN പകരം വയ്ക്കാത്ത വേർതിരിച്ച അതിരുകളായി തുടരും.

ഈ ക്രമീകരണം ഇതിനകം സ്ഥാപിതമായ നിർവഹിത വർക്ക്സ്പേസിന് സൗകര്യപ്രദമാണ്. ചെലവ് എന്നത് ഓൺബോർഡിംഗ്, ഉപകരണ ആവശ്യകതകൾ, റിസോൾവർ സ്വഭാവം, കണക്ഷൻ നയം എന്നിവ ഉപയോക്താവിന്റെ ജോലി അന്തരീക്ഷത്തിന്റെ ഭാഗമാകുന്നു എന്നതും ആരെങ്കിലും അവയുടെ ഉടമയാകണം എന്നതുമാണ്. VPN വിലകുറഞ്ഞ ഓപ്ഷനാണെന്ന് അനുമാനിക്കുന്നതിന് മുൻപ് ആ ചെലവ് ഗേറ്റ്വേയുടെ ലൈസൻസിംഗുമായി താരതമ്യം ചെയ്യുക.

RDP-ന് പ്രത്യേകമായ ഗേറ്റ്വേ

Remote Desktop Gateway നെറ്റ്വർക്ക് അതിരിന് പകരം RDP-ന് പ്രത്യേകമായ ഒരു അതിർ നൽകുന്നു. അതിന്റെ കണക്ഷൻ അനുമതി നയം ആർക്ക് ബന്ധിപ്പിക്കാമെന്ന് തീരുമാനിക്കുന്നു, വിഭവാനുമതി നയം അവർ അതിലൂടെ ഏത് ആന്തരിക വിഭവങ്ങളിൽ എത്താമെന്ന് തീരുമാനിക്കുന്നു. രണ്ട് നയങ്ങളും ഉൽപ്പന്നത്തിന്റെ ഭാഗമാണ്, ഐച്ഛിക കൂട്ടിച്ചേർക്കലുകളല്ല.

സർട്ടിഫിക്കറ്റുകൾ, ഐഡന്റിറ്റി സംയോജനം, ആവശ്യമായ ഗതാഗതം എന്നിവ ഒരുമിച്ച് ആസൂത്രണം ചെയ്യുക. ഗേറ്റ്വേ അജ്ഞാത TCP റിലേയല്ല, അത് അങ്ങനെ വിന്യസിക്കുന്നത് അതിനെ ന്യായീകരിക്കുന്ന നയങ്ങൾ ഒഴിവാക്കുന്നു. ഒരു ഫോർവേഡ് ചെയ്ത പോർട്ടിന് ഇല്ലാത്ത ലൈസൻസിംഗ്, പ്രവർത്തന ആവശ്യകതകളും അത് വഹിക്കുന്നു. ഡിസൈൻ അവലോകനത്തിന് മുൻപ് അവയ്ക്ക് ബജറ്റ് ഇടുക, അതിന് ശേഷമല്ല.

ഒരു ടീം ഇതിനകം കേന്ദ്രീകൃത ഡെസ്ക്ടോപ്പ് പ്രവേശനം നിർവഹിക്കുന്നിടത്ത് ആ ഓവർഹെഡ് ഇതിനകം നൽകിയിട്ടുണ്ട്. ഒരു വ്യക്തിക്ക് ഒരു മെഷീൻ ആവശ്യമുള്ളിടത്ത്, ചെറിയ ജോലിക്കായി വാങ്ങുന്ന വലിയ മെഷീനാണ് അത്.

മൂന്നിനും ഇപ്പോഴും എന്ത് വേണം

ഓരോ രൂപകൽപ്പനയിലും ഹോസ്റ്റ് ഐഡന്റിറ്റി പരിശോധനകൾ നിലനിർത്തുക. പ്രാദേശിക ഉപനാമമോ ടണലോ അപ്രതീക്ഷിത സർട്ടിഫിക്കറ്റിനെ ഹാനികരമല്ലാതാക്കുന്നില്ല, പ്രോക്സിയിലൂടെ കടക്കാൻ പൊരുത്തമില്ലാത്ത സർട്ടിഫിക്കറ്റ് സ്വീകരിക്കുന്നത് ടണലിന്റെ ഉദ്ദേശ്യം തകർക്കുന്നു. ക്ലയന്റിലെ പേരും സർട്ടിഫിക്കറ്റിലെ പേരും ബോധപൂർവം യോജിപ്പിക്കണം.

നയം ആവശ്യപ്പെടുന്ന പ്രവേശന പോയിന്റിൽ MFA പ്രയോഗിക്കുക, ലക്ഷ്യസ്ഥാനത്തിന്റെ അക്കൗണ്ട് നിയന്ത്രണങ്ങൾ നിലനിർത്തുക. രണ്ടും പരസ്പരപൂരകമാണ്: ആദ്യത്തേത് ആർക്ക് വാതിലിൽ എത്താമെന്ന്, രണ്ടാമത്തേത് ആർക്ക് അത് തുറക്കാമെന്ന് തീരുമാനിക്കുന്നു. ഏതെങ്കിലും ഒന്ന് ഒഴിവാക്കിയാൽ പൂർണ്ണമായി തോന്നുന്ന എന്നാൽ അല്ലാത്ത ഒരു രൂപകൽപ്പന അവശേഷിക്കും.

ജോലിക്കും നിങ്ങൾക്ക് യഥാർത്ഥത്തിൽ ഉള്ള പ്രവർത്തന മാതൃകയ്ക്കും യോജിക്കുന്ന അതിർ തിരഞ്ഞെടുക്കുക. RDS റോളുകളുടെ അവലോകനം സെഷൻ ഹോസ്റ്റിനും മറ്റ് ഘടകങ്ങൾക്കും ഇടയിൽ ഗേറ്റ്വേയുടെ സ്ഥാനം വിവരിക്കുന്നു, അതിന്റെ ചെലവ് വായിക്കാനാകുന്നതാക്കുന്ന സന്ദർഭം അതാണ്.