SSH-videresending, VPN eller RD Gateway: hvilken vei for én RDP-skrivebord?

Alle tre alternativene bærer RDP, så protokollen er ikke den avgjørende faktoren. Det egentlige spørsmålet er hvor mye rekkevidde én bruker bør få, og hvem som drifter det som gir den. En videresendt TCP-port, et rutet privat nettverk og en skrivebordsgateway svarer på det spørsmålet i tre forskjellige størrelser. Velg størrelsen først, og produktet følger.

Spørsmålet er omfang, ikke protokoll

Skriv ned hva brukeren faktisk trenger å berøre. Hvis svaret er én skrivebord, er et design som gir et subnett for bredt. Hvis svaret er skrivebord pluss filutdelinger pluss en administrasjonskonsoll, kommer et design som videresender én port tilbake neste måned for to videresendinger til. Listen over destinasjoner er kravet; alt annet er implementasjon.

Hold inngangsidentiteten atskilt fra Windows-kontoen som logger på skrivebordet. Hvert design nedenfor har begge, og å blande dem er hvordan en jump host-konto ender opp med mer myndighet enn noen hadde tenkt.

Én videresendt TCP-tjeneste

En godkjent SSH jump host kan videresende en lokal lytter til RDP-tjenesten den kan nå. Bind lytteren til loopback når den bare finnes for brukerens egen maskin, som er den normale hensikten med en lokal videresending. Videresendingen er en bekvemmelighet for én person, ikke en tjeneste for et team.

SSH-innloggingen autentiserer tilgang til videresendingsveien, og ikke mer. Windows-autentisering og RDP-autorisasjon skjer fortsatt ved destinasjonen, så en gyldig jump-konto er ikke en gyldig skrivebordsøkt. Det er to uavhengige porter, og begge må åpnes.

Begrens jump-kontoens videresendingsdestinasjoner i stedet for å gi et ubegrenset skall. Dette designet passer for et lite, eksplisitt oppført sett maskiner, og det legger til en vert, en identitet og en livssyklus å drifte. Den ekstra verten er den delen folk glemmer når de sammenligner med en gateway: noen må patche den, overvåke den og eie nøklene.

Et rutet privat arbeidsområde

En VPN gir privat DNS og tilgang til flere tjenester som brukes sammen, og det er den faktiske verdien. Å skjule én skrivebordsport er en bivirkning, ikke grunnen til å bygge den. Den forskjellen betyr noe når noen spør hvorfor VPN-en i det hele tatt finnes.

Begrens ruter og ressurstillatelser til de tiltenkte destinasjonene. En tilkoblet bruker fortjener ikke automatisk hele LAN-et, og destinasjonens brannmur pluss Windows-påloggingsrettigheter forblir separate grenser som VPN-en ikke erstatter.

Denne ordningen er praktisk for et etablert administrert arbeidsområde. Kostnaden er at onboarding, enhetskrav, resolveratferd og tilkoblingspolicy blir en del av brukerens arbeidsmiljø, og noen må eie dem. Sammenlign den kostnaden med gatewayens lisensiering før du antar at VPN-en er det billigere alternativet.

En RDP-spesifikk gateway

Remote Desktop Gateway gir en RDP-spesifikk grense i stedet for en nettverksgrense. Policyen for tilkoblingsautorisasjon avgjør hvem som får koble til, og ressurspolicyen avgjør hvilke interne ressurser de får nå gjennom den. Begge policyene er en del av produktet, ikke valgfrie tillegg.

Planlegg sertifikater, identitetsintegrasjon og nødvendige transporter sammen. Gatewayen er ikke et anonymt TCP-relé, og å distribuere den som ett hopper over policyene som rettferdiggjør den. Den bærer også lisens- og driftskrav som én videresendt port ikke har. Budsjetter dem før designgjennomgangen, ikke etter.

Der et team allerede drifter sentral skrivebordstilgang, er den overheaden allerede betalt. Der én person trenger én maskin, er det en stor maskin å kjøpe for en liten jobb.

Hva alle tre fortsatt trenger

Behold vertsidentitetskontroller i hvert design. Et lokalt alias eller en tunnel gjør ikke et uventet sertifikat ufarlig, og å godta et som ikke stemmer for å komme gjennom en proxy ødelegger poenget med tunnelen. Navnet i klienten og navnet på sertifikatet må avstemmes bevisst.

Bruk MFA ved inngangspunktet der policyen krever det, og behold destinasjonens kontokontroller. De to utfyller hverandre: det første avgjør hvem som får nå døren, det andre hvem som får åpne den. Å droppe ett av dem etterlater et design som ser komplett ut og ikke er det.

Velg grensen som passer til arbeidet og driftsmodellen du faktisk har. Oversikt over RDS-roller beskriver gatewayens plass blant sesjonsverten og andre komponenter, og det er konteksten som gjør kostnaden dens lesbar.