SSH prosljeđivanje, VPN ili RD Gateway: koji put za jedan RDP desktop?

Sve tri opcije prenose RDP, pa protokol nije odlučujući faktor. Pravo pitanje je koliki doseg jedan korisnik treba dobiti i ko upravlja stvari koja ga daje. Proslijeđeni TCP port, rutirana privatna mreža i desktop gateway odgovaraju na to pitanje u tri različite veličine. Prvo odaberite veličinu, a proizvod će slijediti.

Pitanje je obim, ne protokol

Zapišite šta korisnik zaista treba dodirnuti. Ako je odgovor jedan desktop, dizajn koji daje podmrežu preširok je. Ako je odgovor desktop plus mrežni dijelovi plus administratorska konzola, dizajn koji prosljeđuje jedan port vratit će se sljedećeg mjeseca po još dva prosljeđivanja. Lista odredišta je zahtjev; sve ostalo je implementacija.

Držite identitet ulaza odvojeno od Windows računa koji se prijavljuje na desktop. Svaki dizajn ispod ima oboje, a njihovo miješanje je način na koji račun skakačkog hosta dobije više ovlasti nego što je iko namjeravao.

Jedna proslijeđena TCP usluga

Odobreni SSH skakački host može proslijediti lokalni slušalac prema RDP usluzi do koje može doći. Vežite taj slušalac na loopback kada postoji samo za korisnikov vlastiti stroj, što je uobičajena namjera lokalnog prosljeđivanja. Prosljeđivanje je pogodnost za jednu osobu, ne usluga za tim.

SSH prijava autentificira pristup putu prosljeđivanja i ništa više. Windows autentifikacija i RDP autorizacija i dalje se događaju na odredištu, pa valjan skakački račun nije valjana desktop sesija. To su dva neovisna vrata i oba se moraju otvoriti.

Ograničite odredišta prosljeđivanja skakačkog računa umjesto da dajete neograničenu ljusku. Ovaj dizajn odgovara malom, izričito navedenom skupu strojeva, i dodaje host, identitet i životni ciklus za održavanje. Taj dodatni host je dio koji ljudi zaborave kada ga uspoređuju s gatewayem: neko ga mora krpati, nadzirati i posjedovati njegove ključeve.

Rutirana privatna radna površina

VPN daje privatni DNS i pristup nekoliko usluga koje se koriste zajedno, i to je njegova stvarna vrijednost. Skrivanje jednog desktop porta je nuspojava, a ne razlog za njegovu izgradnju. Ta razlika je važna kada neko pita zašto VPN uopće postoji.

Ograničite rute i dozvole resursa na predviđena odredišta. Povezani korisnik ne zaslužuje automatski cijeli LAN, a vatrozid odredišta plus Windows prava prijave ostaju odvojene granice koje VPN ne zamjenjuje.

Ovaj raspored je pogodan za uspostavljenu upravljanu radnu površinu. Trošak je što onboarding, zahtjevi uređaja, ponašanje razrješivača i politika povezivanja postaju dio korisnikovog radnog okruženja, i neko ih mora posjedovati. Usporedite taj trošak s licenciranjem gatewaya prije nego što pretpostavite da je VPN jeftinija opcija.

Gateway specifičan za RDP

Remote Desktop Gateway pruža granicu specifičnu za RDP, a ne mrežnu. Njegova politika autorizacije veza odlučuje ko se smije povezati, a politika autorizacije resursa odlučuje kojim unutarnjim resursima smiju doći kroz njega. Obje politike dio su proizvoda, a ne opcionalni dodaci.

Planirajte certifikate, integraciju identiteta i potrebne transporte zajedno. Gateway nije anonimni TCP relej, a postavljanje kao takvog preskače politike koje ga uopće opravdavaju. On nosi i licencne i operativne zahtjeve koje jedan proslijeđeni port ne nosi. Planirajte ih u proračunu prije pregleda dizajna, ne poslije.

Tamo gdje tim već vodi središnji pristup desktopima, taj je trošak već plaćen. Tamo gdje jedna osoba treba jedan stroj, to je velik stroj kupljen za mali posao.

Što sve tri i dalje trebaju

Sačuvajte provjere identiteta hosta u svakom dizajnu. Lokalni alias ili tunel ne čini neočekivani certifikat bezopasnim, a prihvaćanje neusklađenog certifikata da biste prošli kroz proxy poništava svrhu tunela. Ime u klijentu i ime na certifikatu moraju se namjerno uskladiti.

Primijenite MFA na ulaznoj točki gdje to politika zahtijeva i zadržite kontrole računa na odredištu. To dvoje se nadopunjuje: prvo odlučuje ko smije doći do vrata, drugo odlučuje ko ih smije otvoriti. Izostavljanje bilo kojeg ostavlja dizajn koji izgleda potpun, a nije.

Odaberite granicu koja odgovara poslu i operativnom modelu koji stvarno imate. Pregled RDS uloga opisuje mjesto gatewaya među hostom sesije i drugim komponentama, i to je kontekst koji njegov trošak čini čitljivim.