Przekierowanie SSH, VPN czy RD Gateway: która droga do jednego pulpitu RDP?

Wszystkie trzy opcje przenoszą RDP, więc protokół nie jest czynnikiem decydującym. Prawdziwe pytanie brzmi, jak duży zasięg powinien otrzymać jeden użytkownik i kto zarządza tym, co go zapewnia. Przekierowany port TCP, routowana sieć prywatna i brama pulpitu odpowiadają na to pytanie w trzech różnych rozmiarach. Najpierw wybierz rozmiar, a produkt pójdzie za nim.

Pytanie dotyczy zakresu, nie protokołu

Zapisz, czego użytkownik naprawdę musi dotknąć. Jeśli odpowiedzią jest jeden pulpit, projekt przyznający podsieć jest zbyt szeroki. Jeśli odpowiedzią jest pulpit plus udziały plików plus konsola administracyjna, projekt przekierowujący jeden port wróci w przyszłym miesiącu po dwa kolejne przekierowania. Lista miejsc docelowych jest wymaganiem; wszystko inne to implementacja.

Trzymaj tożsamość wejściową osobno od konta Windows, które loguje się do pulpitu. Każdy projekt poniżej ma oba, a ich mieszanie to sposób, w jaki konto hosta przeskoku zdobywa więcej uprawnień, niż ktokolwiek zamierzał.

Jedna przekierowana usługa TCP

Zatwierdzony host przeskoku SSH może przekierować lokalny nasłuch do usługi RDP, do której dociera. Powiąż ten nasłuch z loopback, gdy istnieje tylko dla maszyny samego użytkownika, co jest normalnym celem lokalnego przekierowania. Przekierowanie to wygoda dla jednej osoby, nie usługa dla zespołu.

Logowanie SSH uwierzytelnia dostęp do ścieżki przekierowania i nic więcej. Uwierzytelnianie Windows i autoryzacja RDP nadal odbywają się w miejscu docelowym, więc ważne konto przeskoku nie jest ważną sesją pulpitu. To dwie niezależne bramy i obie muszą się otworzyć.

Ogranicz miejsca docelowe przekierowania konta przeskoku zamiast dawać nieograniczoną powłokę. Ten projekt pasuje do małego, wyraźnie wymienionego zestawu maszyn i dodaje hosta, tożsamość oraz cykl życia do utrzymania. Ten dodatkowy host to część, o której ludzie zapominają, porównując go z bramą: ktoś musi go łatać, monitorować i posiadać jego klucze.

Routowana prywatna przestrzeń robocza

VPN zapewnia prywatny DNS i dostęp do kilku usług używanych razem, i to jest jego rzeczywista wartość. Ukrywanie jednego portu pulpitu to efekt uboczny, a nie powód jego budowy. To rozróżnienie ma znaczenie, gdy ktoś pyta, dlaczego VPN w ogóle istnieje.

Ogranicz trasy i uprawnienia do zasobów do zamierzonych miejsc docelowych. Podłączony użytkownik nie zasługuje automatycznie na całą sieć LAN, a zapora miejsca docelowego plus prawa logowania Windows pozostają odrębnymi granicami, których VPN nie zastępuje.

Ten układ jest wygodny dla ustalonej zarządzanej przestrzeni roboczej. Kosztem jest to, że wdrożenie, wymagania dotyczące urządzeń, zachowanie resolvera i polityka połączeń stają się częścią środowiska pracy użytkownika, a ktoś musi je posiadać. Porównaj ten koszt z licencjonowaniem bramy, zanim uznasz, że VPN jest tańszą opcją.

Brama specyficzna dla RDP

Remote Desktop Gateway zapewnia granicę specyficzną dla RDP, a nie sieciową. Jej zasady autoryzacji połączeń decydują, kto może się połączyć, a zasady autoryzacji zasobów decydują, do których zasobów wewnętrznych mogą dotrzeć przez bramę. Obie zasady są częścią produktu, a nie opcjonalnymi dodatkami.

Zaplanuj razem certyfikaty, integrację tożsamości i wymagane transporty. Brama nie jest anonimowym przekaźnikiem TCP, a wdrażanie jej jako takiego pomija zasady, które ją uzasadniają. Niesie też wymagania licencyjne i operacyjne, których pojedynczy przekierowany port nie ma. Zaplanuj je w budżecie przed przeglądem projektu, a nie po nim.

Tam, gdzie zespół już prowadzi centralny dostęp do pulpitów, ten narzut jest już opłacony. Tam, gdzie jedna osoba potrzebuje jednej maszyny, to duża maszyna kupiona do małej pracy.

Czego wszystkie trzy nadal potrzebują

Zachowaj kontrole tożsamości hosta w każdym projekcie. Lokalny alias lub tunel nie czyni nieoczekiwanego certyfikatu nieszkodliwym, a akceptowanie niezgodnego certyfikatu, aby przejść przez proxy, niweczy sens tunelu. Nazwa w kliencie i nazwa na certyfikacie muszą być świadomie uzgodnione.

Zastosuj MFA w punkcie wejścia, gdzie wymaga tego polityka, i zachowaj kontrolę konta w miejscu docelowym. Oba elementy się uzupełniają: pierwszy decyduje, kto może dotrzeć do drzwi, drugi, kto może je otworzyć. Pominięcie któregokolwiek zostawia projekt, który wygląda na kompletny i taki nie jest.

Wybierz granicę odpowiadającą pracy i modelowi operacyjnemu, który naprawdę masz. Przegląd ról RDS opisuje miejsce bramy wśród hosta sesji i innych komponentów, i to jest kontekst, który czyni jej koszt czytelnym.