Presmerovanie SSH, VPN alebo RD Gateway: ktorá cesta pre jednu plochu RDP?

Všetky tri možnosti prenášajú RDP, takže protokol nie je rozhodujúcim faktorom. Skutočná otázka je, aký dosah má jeden používateľ dostať a kto prevádzkuje vec, ktorá ho poskytuje. Presmerovaný port TCP, smerovaná privátna sieť a brána pre plochu odpovedajú na túto otázku v troch rôznych veľkostiach. Najprv vyberte veľkosť a produkt bude nasledovať.

Otázka je rozsah, nie protokol

Zapíšte, čoho sa používateľ skutočne potrebuje dotknúť. Ak je odpoveďou jedna plocha, návrh, ktorý dáva podsieti, je príliš široký. Ak je odpoveďou plocha plus súborové zdieľania plus administrátorská konzola, návrh, ktorý presmerúva jeden port, sa budúci mesiac vráti pre ďalšie dve presmerovania. Zoznam cieľov je požiadavka; všetko ostatné je implementácia.

Držte vstupnú identitu oddelene od konta Windows, ktoré sa prihlasuje na plochu. Každý návrh nižšie má oboje, a ich zamieňanie je spôsob, akým konto skokového hostiteľa získa väčšiu právomoc, než ktokoľvek zamýšľal.

Jedna presmerovaná služba TCP

Schválený skokový hostiteľ SSH môže presmerovať miestny naslúchajúci port na službu RDP, ku ktorej sa dostane. Keď existuje len pre používateľov vlastný stroj, pripútajte ho na loopback, čo je obvyklý zámer miestneho presmerovania. Presmerovanie je pohodlie pre jedného človeka, nie služba pre tím.

Prihlásenie SSH overuje prístup k presmerovacej ceste a nič viac. Overovanie Windows a autorizácia RDP stále prebiehajú v cieli, takže platné skokové konto nie je platná relácia plochy. Sú to dvoje nezávislé dvere a oboje sa musia otvoriť.

Obmedzte ciele presmerovania skokového konta namiesto poskytnutia neobmedzeného shellu. Tento návrh sa hodí pre malú, výslovne uvedenú množinu strojov a pridáva hostiteľa, identitu a životný cyklus na prevádzku. Ten hostiteľ navyše je časť, ktorú ľudia zabúdajú pri porovnaní s bránou: niekto ho musí záplatať, sledovať a vlastniť jeho kľúče.

Smerovaný privátny pracovný priestor

VPN dáva privátny DNS a prístup k niekoľkým službám používaným spoločne, a to je jej skutočná hodnota. Skrývanie jedného portu plochy je vedľajší účinok, nie dôvod ju stavať. Ten rozdiel je dôležitý, keď sa niekto pýta, prečo VPN vôbec existuje.

Obmedzte trasy a oprávnenia k prostriedkom na zamýšľané ciele. Pripojený používateľ si automaticky nezaslúži celú LAN a cieľový firewall plus práva prihlásenia Windows zostávajú oddelenými hranicami, ktoré VPN nenahrádza.

Toto usporiadanie je vhodné pre zavedený spravovaný pracovný priestor. Cenou je, že onboarding, požiadavky na zariadenie, správanie prekladača a zásady pripojenia sa stanú súčasťou pracovného prostredia používateľa a niekto ich musí vlastniť. Porovnajte túto cenu s licencovaním brány, než budete predpokladať, že VPN je lacnejšia možnosť.

Brána špecifická pre RDP

Remote Desktop Gateway poskytuje hranicu špecifickú pre RDP, nie sieťovú. Jej zásady autorizácie pripojení rozhodujú, kto sa smie pripojiť, a zásady autorizácie prostriedkov rozhodujú, ku ktorým interným prostriedkom sa cez ňu dostanú. Obe zásady sú súčasťou produktu, nie voliteľné doplnky.

Naplánujte certifikáty, integráciu identít a požadované transporty spoločne. Brána nie je anonymný relé TCP a jej nasadenie ako takého obchádza zásady, ktoré ju vôbec odôvodňujú. Nesie aj licenčné a prevádzkové požiadavky, ktoré jeden presmerovaný port nemá. Naplánujte ich do rozpočtu pred revíziou návrhu, nie po nej.

Tam, kde tím už prevádzkuje centrálny prístup k plochám, sú tieto režijné náklady už zaplatené. Tam, kde jeden človek potrebuje jeden stroj, je to veľký stroj kupovaný na malú prácu.

Čo všetky tri stále potrebujú

Zachovajte kontroly identity hostiteľa v každom návrhu. Miestny alias alebo tunel nerobia neočakávaný certifikát neškodným a prijatie nezhodného certifikátu, aby ste prešli cez proxy, ničí zmysel tunela. Názov v klientovi a názov na certifikáte je potrebné vedome zosúladiť.

Uplatnite MFA vo vstupnom bode, kde to zásady vyžadujú, a zachovajte ovládacie prvky konta v cieli. Tie dve sa dopĺňajú: prvé rozhoduje, kto smie prísť k dverám, druhé, kto ich smie otvoriť. Vynechanie ktoréhokoľvek necháva návrh, ktorý vyzerá úplný a nie je.

Vyberte hranicu, ktorá zodpovedá práci a prevádzkovému modelu, ktorý skutočne máte. Prehľad rolí RDS opisuje miesto brány medzi hostiteľom relácie a ďalšími komponentmi, a to je kontext, ktorý robí jej cenu čitateľnou.