Encaminhamento SSH, VPN ou RD Gateway: qual caminho para um desktop RDP?

As três opções transportam RDP, pelo que o protocolo não é o fator decisivo. A verdadeira questão é quanta acessibilidade um utilizador deve receber, e quem opera o que a concede. Uma porta TCP encaminhada, uma rede privada encaminhada e um gateway de desktop respondem a essa pergunta em três tamanhos diferentes. Escolha primeiro o tamanho e o produto virá depois.

A questão é o alcance, não o protocolo

Anote o que o utilizador precisa realmente de tocar. Se a resposta for um único desktop, um desenho que concede uma sub-rede é demasiado amplo. Se a resposta for um desktop mais partilhas de ficheiros mais uma consola de administração, um desenho que encaminha uma porta voltará no próximo mês para mais dois encaminhamentos. A lista de destinos é o requisito; tudo o resto é implementação.

Mantenha a identidade de entrada separada da conta Windows que inicia sessão no desktop. Todos os desenhos abaixo têm as duas, e confundi-las é como uma conta de anfitrião de salto acaba com mais autoridade do que alguém pretendia.

Um serviço TCP encaminhado

Um anfitrião de salto SSH aprovado pode encaminhar um ouvinte local para o serviço RDP que consegue alcançar. Ligue esse ouvinte a loopback quando só existe para a máquina do próprio utilizador, que é a intenção normal de um encaminhamento local. O encaminhamento é uma comodidade para uma pessoa, não um serviço para uma equipa.

O início de sessão SSH autentica o acesso ao caminho de encaminhamento, e nada mais. A autenticação Windows e a autorização RDP continuam a acontecer no destino, pelo que uma conta de salto válida não é uma sessão de desktop válida. São duas portas independentes e ambas têm de abrir.

Restrinja os destinos de encaminhamento da conta de salto em vez de conceder uma shell sem restrições. Este desenho adequa-se a um conjunto pequeno e explicitamente listado de máquinas, e acrescenta um anfitrião, uma identidade e um ciclo de vida para operar. Esse anfitrião extra é a parte que as pessoas esquecem ao compará-lo com um gateway: alguém tem de o corrigir, monitorizar e deter as suas chaves.

Um espaço de trabalho privado encaminhado

Uma VPN fornece DNS privado e acesso a vários serviços usados em conjunto, e esse é o seu valor real. Esconder uma porta de desktop é um efeito secundário, não a razão para a construir. Essa distinção importa quando alguém pergunta porque é que a VPN existe.

Restrinja as rotas e as permissões de recursos aos destinos previstos. Um utilizador ligado não merece automaticamente toda a LAN, e a firewall de destino mais os direitos de início de sessão do Windows continuam a ser limites separados que a VPN não substitui.

Esta disposição é cómoda para um espaço de trabalho gerido já estabelecido. O custo é que a integração, os requisitos de dispositivo, o comportamento da resolução de nomes e a política de ligação passam a fazer parte do ambiente de trabalho do utilizador, e alguém tem de os deter. Compare esse custo com o licenciamento do gateway antes de assumir que a VPN é a opção mais barata.

Um gateway específico para RDP

O Remote Desktop Gateway fornece um limite específico para RDP em vez de um limite de rede. A sua política de autorização de ligações decide quem pode ligar-se, e a sua política de autorização de recursos decide a que recursos internos podem chegar através dele. Ambas as políticas fazem parte do produto, não são extras opcionais.

Planeie em conjunto os certificados, a integração de identidade e os transportes necessários. O gateway não é um relé TCP anónimo, e implantá-lo como tal ignora as políticas que o justificam. Também acarreta requisitos de licenciamento e operacionais que uma única porta encaminhada não tem. Orçamente-os antes da revisão de desenho, não depois.

Onde uma equipa já opera acesso centralizado a desktops, esse custo indireto já está pago. Onde uma pessoa precisa de uma máquina, é uma máquina grande comprada para um trabalho pequeno.

Do que as três ainda precisam

Preserve as verificações de identidade do anfitrião em todos os desenhos. Um alias local ou um túnel não tornam inofensivo um certificado inesperado, e aceitar um que não corresponde para passar por um proxy anula o objetivo do túnel. O nome no cliente e o nome no certificado têm de ser reconciliados deliberadamente.

Aplique MFA no ponto de entrada onde a política o exigir, e mantenha os controlos de conta do destino. Os dois complementam-se: o primeiro decide quem pode chegar à porta, o segundo quem a pode abrir. Omitir qualquer um deixa um desenho que parece completo e não é.

Escolha o limite que corresponde ao trabalho e ao modelo operativo que realmente tem. Visão geral das funções do RDS descreve o lugar do gateway entre o anfitrião de sessão e outros componentes, e é esse o contexto que torna o seu custo legível.