SSH-doorsluizen, VPN of RD Gateway: welke route voor één RDP-desktop?

Alle drie de opties dragen RDP, dus het protocol is niet de beslissende factor. De echte vraag is hoeveel bereikbaarheid één gebruiker zou moeten krijgen, en wie beheert wat dat mogelijk maakt. Een doorgestuurde TCP-poort, een gerouteerd particulier netwerk en een desktopgateway beantwoorden die vraag in drie verschillende formaten. Kies eerst het formaat en het product volgt.

De vraag is omvang, niet protocol

Schrijf op wat de gebruiker werkelijk moet aanraken. Als het antwoord één desktop is, is een ontwerp dat een subnet geeft te breed. Als het antwoord een desktop plus bestandsshares plus een beheerconsole is, komt een ontwerp dat één poort doorstuurt volgende maand terug voor nog twee doorsluizingen. De lijst met bestemmingen is de eis; al het andere is implementatie.

Houd de toegangsidentiteit gescheiden van het Windows-account dat zich op de desktop aanmeldt. Elk ontwerp hieronder heeft beide, en ze verwarren is hoe een jumphost-account meer bevoegdheid krijgt dan iemand bedoelde.

Eén doorgestuurde TCP-service

Een goedgekeurde SSH-jumphost kan een lokale listener doorsturen naar de RDP-service die hij kan bereiken. Bind die listener aan loopback wanneer hij alleen voor de machine van de gebruiker bestaat, wat de normale bedoeling van een lokale doorsturing is. De doorsturing is een gemak voor één persoon, geen dienst voor een team.

De SSH-aanmelding authenticeert toegang tot het doorsluizingspad, en niets meer. Windows-authenticatie en RDP-autorisatie vinden nog steeds op de bestemming plaats, dus een geldig jumphost-account is geen geldige desktopsessie. Dat zijn twee onafhankelijke poorten en beide moeten opengaan.

Beperk de doorstuurde bestemmingen van het jumphost-account in plaats van een onbeperkte shell te geven. Dit ontwerp past bij een kleine, expliciet genoemde set machines, en het voegt een host, een identiteit en een levenscyclus toe om te beheren. Die extra host is het deel dat mensen vergeten bij de vergelijking met een gateway: iemand moet hem patchen, monitoren en de sleutels bezitten.

Een gerouteerde particuliere werkruimte

Een VPN biedt private DNS en toegang tot meerdere services die samen worden gebruikt, en dat is de werkelijke waarde. Eén desktoppoort verbergen is een bijeffect, niet de reden om het te bouwen. Dat onderscheid telt wanneer iemand vraagt waarom de VPN überhaupt bestaat.

Beperk routes en resourcemachtigingen tot de beoogde bestemmingen. Een verbonden gebruiker verdient niet automatisch het hele LAN, en de bestemmingsfirewall plus Windows-aanmeldrechten blijven afzonderlijke grenzen die de VPN niet vervangt.

Deze opzet is handig voor een gevestigde beheerde werkruimte. De kosten zijn dat onboarding, apparaatvereisten, resolvergedrag en verbindingsbeleid deel worden van de werkomgeving van de gebruiker, en iemand moet ze bezitten. Vergelijk die kosten met de licenties van de gateway voordat u aanneemt dat de VPN de goedkopere optie is.

Een RDP-specifieke gateway

Remote Desktop Gateway biedt een RDP-specifieke grens in plaats van een netwerkgrens. Het verbindingsautorisatiebeleid bepaalt wie mag verbinden, en het resourceautorisatiebeleid bepaalt welke interne resources zij erdoor kunnen bereiken. Beide beleidsregels zijn onderdeel van het product, geen optionele extra's.

Plan certificaten, identiteitsintegratie en vereiste transporten samen. De gateway is geen anonieme TCP-relay, en hem als zodanig inzetten slaat de beleidsregels over die hem rechtvaardigen. Hij brengt ook licentie- en beheereisen met zich mee die één doorgestuurde poort niet heeft. Begroot die vóór de ontwerpbeoordeling, niet erna.

Waar een team al centrale desktoptoegang beheert, zijn die overheadkosten al betaald. Waar één persoon één machine nodig heeft, is het een grote machine voor een kleine klus.

Wat alle drie nog nodig hebben

Behoud hostidentiteitscontroles in elk ontwerp. Een lokale alias of een tunnel maakt een onverwacht certificaat niet onschadelijk, en een niet-overeenkomend certificaat accepteren om door een proxy te komen ondermijnt het doel van de tunnel. De naam in de client en de naam op het certificaat moeten bewust op elkaar worden afgestemd.

Pas MFA toe op het toegangspunt waar het beleid dat vereist, en behoud de accountcontroles van de bestemming. De twee vullen elkaar aan: de eerste bepaalt wie de deur mag bereiken, de tweede wie hem mag openen. Een van beide weglaten laat een ontwerp achter dat compleet lijkt en het niet is.

Kies de grens die past bij het werk en het beheermodel dat u werkelijk hebt. Overzicht van RDS-rollen beschrijft de plaats van de gateway tussen de sessiehost en andere onderdelen, en dat is de context die de kosten leesbaar maakt.