SSH-vidaresending, VPN eller RD Gateway: kva veg for eitt RDP-skrivebord?

Alle tre alternativa ber RDP, så protokollen er ikkje den avgjerande faktoren. Det eigentlege spørsmålet er kor mykje rekkevidd éin brukar bør få, og kven som driftar det som gir henne. Ein vidaresend TCP-port, eit ruta privat nettverk og ein skrivebordsportal svarar på det spørsmålet i tre ulike storleikar. Vel storleiken først, og produktet følgjer.

Spørsmålet er omfang, ikkje protokoll

Skriv ned kva brukaren faktisk treng å røre. Viss svaret er eitt skrivebord, er eit design som gir eit subnett for breitt. Viss svaret er skrivebord pluss filutdelingar pluss ein administrasjonskonsoll, kjem eit design som vidaresender éin port tilbake neste månad for to vidaresendingar til. Lista over destinasjonar er kravet; alt anna er implementasjon.

Hald inngangsidentiteten skild frå Windows-kontoen som loggar på skrivebordet. Kvart design nedanfor har båe, og å blande dei er korleis ein jump host-konto endar opp med meir mynde enn nokon hadde tenkt.

Éin vidaresend TCP-teneste

Ein godkjend SSH jump host kan vidaresende ein lokal lyttar til RDP-tenesta han kan nå. Bind lyttaren til loopback når han berre finst for brukaren si eiga maskin, som er den normale meininga med ei lokal vidaresending. Vidaresendinga er ei lettvintheit for éin person, ikkje ei teneste for eit team.

SSH-innlogginga autentiserer tilgang til vidaresendingsvegen, og ikkje meir. Windows-autentisering og RDP-autorisasjon skjer framleis ved destinasjonen, så ein gyldig jump-konto er ikkje ei gyldig skrivebordsøkt. Det er to uavhengige portar, og båe må opnast.

Avgrens vidaresendingsdestinasjonane til jump-kontoen i staden for å gi eit ubegrensa skal. Dette designet passar for eit lite, eksplisitt oppført sett maskinar, og det legg til ein vert, ein identitet og ein livssyklus å drifte. Den ekstra verten er den delen folk gløymer når dei samanliknar med ein portal: nokon må patche han, overvake han og eige nøklane.

Eit ruta privat arbeidsområde

Ein VPN gir privat DNS og tilgang til fleire tenester som vert brukte saman, og det er den faktiske verdien. Å skjule éin skrivebordsport er ein biverknad, ikkje grunnen til å bygge han. Den skilnaden tel når nokon spør kvifor VPN-en i det heile finst.

Avgrens ruter og ressurstilgangar til dei tiltenkte destinasjonane. Ein tilkopla brukar fortener ikkje automatisk heile LAN-et, og brannmuren på destinasjonen pluss Windows-påloggingsrettar blir verande skilde grenser som VPN-en ikkje erstattar.

Denne ordninga er praktisk for eit etablert styrt arbeidsområde. Kostnaden er at onboarding, einskapskrav, resolveråtferd og tilkoplingspolicy blir ein del av arbeidsmiljøet til brukaren, og nokon må eige dei. Samanlikn den kostnaden med lisensieringa av porten før du antar at VPN-en er det billegare alternativet.

Ein RDP-spesifikk portal

Remote Desktop Gateway gir ei RDP-spesifikk grense i staden for ei nettverksgrense. Policyen for tilkoplingautorisasjon avgjer kven som får kople til, og ressurspolicyen avgjer kva interne ressursar dei får nå gjennom han. Båe policyane er ein del av produktet, ikkje valfrie tillegg.

Planlegg sertifikat, identitetsintegrasjon og nødvendige transportar saman. Porten er ikkje eit anonymt TCP-relé, og å setje han ut som eitt hoppar over policyane som rettferdiggjer han. Han ber òg lisens- og driftskrav som éin vidaresend port ikkje har. Budsjetter dei før designgjennomgangen, ikkje etter.

Der eit team allereie driftar sentral skrivebordstilgang, er den overheaden allereie betalt. Der éin person treng éi maskin, er det ei stor maskin å kjøpe for ein liten jobb.

Kva alle tre framleis treng

Hald vertsidentitetskontrollar i kvart design. Eit lokalt alias eller ein tunnel gjer ikkje eit uventa sertifikat ufarleg, og å godta eit som ikkje stemmer for å kome gjennom ein proxy øydelegg poenget med tunnelen. Namnet i klienten og namnet på sertifikatet må avstemmast medvite.

Bruk MFA ved inngangspunktet der policyen krev det, og hald kontokontrollane på destinasjonen. Dei to utfyller kvarandre: den første avgjer kven som får nå døra, den andre kven som får opne henne. Å droppe ein av dei etterlèt eit design som ser komplett ut og ikkje er det.

Vel grensa som passar til arbeidet og driftsmodellen du faktisk har. Oversikt over RDS-roller skildrar plassen til porten mellom sesjonsverten og andre komponentar, og det er konteksten som gjer kostnaden hans lesbar.