Pemajuan SSH, VPN atau RD Gateway: laluan mana untuk satu desktop RDP?

Ketiga-tiga pilihan membawa RDP, jadi protokol bukan faktor penentu. Persoalan sebenar ialah berapa banyak jangkauan yang patut diterima oleh seorang pengguna, dan siapa yang mengendalikan perkara yang memberikannya. Port TCP yang dimajukan, rangkaian peribadi yang dihalakan dan gateway desktop menjawab persoalan itu dalam tiga saiz berbeza. Pilih saiz dahulu dan produk akan menyusul.

Persoalannya ialah skop, bukan protokol

Tuliskan apa yang benar-benar perlu disentuh oleh pengguna. Jika jawapannya satu desktop, reka bentuk yang memberikan subrangkaian terlalu luas. Jika jawapannya desktop serta perkongsian fail serta konsol pentadbir, reka bentuk yang memajukan satu port akan kembali bulan depan untuk dua pemajuan lagi. Senarai destinasi ialah keperluan; segala-galanya ialah pelaksanaan.

Asingkan identiti masuk daripada akaun Windows yang log masuk ke desktop. Setiap reka bentuk di bawah mempunyai kedua-duanya, dan mencampurkannya ialah cara akaun hos lompat mendapat kuasa lebih daripada yang dimaksudkan sesiapa.

Satu perkhidmatan TCP yang dimajukan

Hos lompat SSH yang diluluskan boleh memajukan pendengar tempatan ke perkhidmatan RDP yang dapat dicapainya. Ikat pendengar itu pada loopback apabila ia wujud hanya untuk mesin pengguna sendiri, iaitu niat biasa pemajuan tempatan. Pemajuan ialah kemudahan untuk seorang, bukan perkhidmatan untuk pasukan.

Log masuk SSH mengesahkan akses ke laluan pemajuan, dan tidak lebih. Pengesahan Windows dan kebenaran RDP masih berlaku di destinasi, jadi akaun lompat yang sah bukan sesi desktop yang sah. Itu dua pintu berasingan dan kedua-duanya mesti dibuka.

Hadkan destinasi pemajuan akaun lompat daripada memberikan shell tanpa had. Reka bentuk ini sesuai untuk set mesin kecil yang disenaraikan secara jelas, dan ia menambah hos, identiti dan kitaran hayat untuk dikendalikan. Hos tambahan itulah bahagian yang orang lupa apabila membandingkannya dengan gateway: seseorang perlu menampalnya, memantaunya dan memiliki kuncinya.

Ruang kerja peribadi yang dihalakan

VPN memberikan DNS peribadi dan akses kepada beberapa perkhidmatan yang digunakan bersama, dan itulah nilai sebenarnya. Menyembunyikan satu port desktop hanyalah kesan sampingan, bukan sebab membinanya. Perbezaan itu penting apabila seseorang bertanya mengapa VPN wujud.

Hadkan laluan dan kebenaran sumber kepada destinasi yang dimaksudkan. Pengguna yang bersambung tidak secara automatik berhak atas seluruh LAN, dan tembok api destinasi serta hak log masuk Windows kekal sebagai sempadan berasingan yang tidak digantikan oleh VPN.

Susunan ini memudahkan ruang kerja terurus yang sudah mantap. Kosnya ialah orientasi, keperluan peranti, tingkah laku penyelesai dan dasar sambungan menjadi sebahagian daripada persekitaran kerja pengguna, dan seseorang mesti memilikinya. Bandingkan kos itu dengan pelesenan gateway sebelum menganggap VPN ialah pilihan yang lebih murah.

Gateway khusus RDP

Remote Desktop Gateway menyediakan sempadan khusus RDP dan bukan sempadan rangkaian. Dasar kebenaran sambungannya menentukan siapa yang boleh bersambung, dan dasar kebenaran sumbernya menentukan sumber dalaman mana yang boleh dicapai melaluinya. Kedua-dua dasar ialah sebahagian daripada produk, bukan tambahan pilihan.

Rancang sijil, integrasi identiti dan pengangkutan yang diperlukan bersama-sama. Gateway bukan geganti TCP tanpa nama, dan menggunakan bentuk itu melangkau dasar yang mewajarkannya. Ia juga membawa keperluan pelesenan dan operasi yang tidak dimiliki oleh satu port yang dimajukan. Bajetkan semuanya sebelum semakan reka bentuk, bukan selepasnya.

Di tempat pasukan sudah mengendalikan akses desktop berpusat, kos tambahan itu sudah dibayar. Di tempat seorang memerlukan satu mesin, ia mesin besar untuk kerja kecil.

Apa yang ketiga-tiganya masih perlukan

Kekalkan pemeriksaan identiti hos dalam setiap reka bentuk. Alias tempatan atau terowong tidak menjadikan sijil tidak dijangka tidak berbahaya, dan menerima sijil yang tidak sepadan untuk melalui proksi membatalkan tujuan terowong. Nama dalam klien dan nama pada sijil mesti diselaraskan dengan sengaja.

Guna MFA di titik masuk di mana dasar memerlukannya, dan kekalkan kawalan akaun destinasi. Kedua-duanya saling melengkapi: yang pertama menentukan siapa boleh sampai ke pintu, yang kedua menentukan siapa boleh membukanya. Meninggalkan salah satu menghasilkan reka bentuk yang kelihatan lengkap tetapi tidak.

Pilih sempadan yang sepadan dengan kerja dan model operasi yang benar-benar anda miliki. Gambaran keseluruhan peranan RDS menerangkan kedudukan gateway antara hos sesi dan komponen lain, dan itulah konteks yang menjadikan kosnya mudah dibaca.