Preusmerjanje SSH, VPN ali RD Gateway: katera pot za en namizni računalnik RDP?

Vse tri možnosti prenašajo RDP, zato protokol ni odločilni dejavnik. Pravo vprašanje je, koliko dosega naj dobi en uporabnik in kdo upravlja stvar, ki ga omogoča. Preusmerjena vrata TCP, usmerjeno zasebno omrežje in prehod za namizje odgovarjajo na to vprašanje v treh različnih velikostih. Najprej izberite velikost in izdelek bo sledil.

Vprašanje je obseg, ne protokol

Zapišite, česa se mora uporabnik v resnici dotakniti. Če je odgovor eno namizje, je zasnova, ki daje podomrežje, preširoka. Če je odgovor namizje plus datotečne delitve plus skrbniška konzola, se bo zasnova, ki preusmeri ena vrata, naslednji mesec vrnila po še dve preusmeritvi. Seznam ciljev je zahteva; vse drugo je izvedba.

Vstopno identiteto hranite ločeno od računa Windows, ki se prijavi v namizje. Vsaka zasnova spodaj ima oboje, njuno mešanje pa je način, kako račun skočnega gostitelja dobi več pooblastil, kot je kdo nameraval.

Ena preusmerjena storitev TCP

Odobren skočni gostitelj SSH lahko preusmeri lokalnega poslušalca na storitev RDP, ki jo doseže. Tega poslušalca povežite z loopback, kadar obstaja samo za uporabnikov lastni stroj, kar je običajen namen lokalne preusmeritve. Preusmeritev je udobje za eno osebo, ne storitev za ekipo.

Prijava SSH overi dostop do preusmeritvene poti in nič več. Preverjanje Windows in avtorizacija RDP se še vedno zgodita na cilju, zato veljaven skočni račun ni veljavna seja namizja. To sta dve neodvisni vratci in obe se morata odpreti.

Omejite cilje preusmeritve skočnega računa, namesto da bi dali neomejeno lupino. Ta zasnova ustreza majhnemu, izrecno navedenemu naboru strojev in doda gostitelja, identiteto in življenjski cikel za upravljanje. Ta dodatni gostitelj je del, ki ga ljudje pozabijo pri primerjavi s prehodom: nekdo ga mora popraviti, spremljati in imeti njegove ključe.

Usmerjen zasebni delovni prostor

VPN daje zasebni DNS in dostop do več storitev, ki se uporabljajo skupaj, in to je njegova resnična vrednost. Skrivanje enih vrat namizja je stranski učinek, ne razlog za gradnjo. Ta razlika je pomembna, ko se nekdo vpraša, zakaj VPN sploh obstaja.

Omejite poti in dovoljenja za vire na predvidene cilje. Povezan uporabnik si samodejno ne zasluži celotnega LAN, požarni zid cilja in pravice za prijavo v Windows pa ostajajo ločene meje, ki jih VPN ne nadomesti.

Ta ureditev je priročna za že vzpostavljen upravljani delovni prostor. Strošek je, da uvajanje, zahteve naprav, vedenje razreševalnika in politika povezovanja postanejo del uporabnikovega delovnega okolja in nekdo jih mora imeti v lasti. Primerjajte ta strošek z licenciranjem prehoda, preden domnevate, da je VPN cenejša možnost.

Prehod, specifičen za RDP

Remote Desktop Gateway zagotavlja mejo, specifično za RDP, ne omrežno. Njegova politika avtorizacije povezav odloča, kdo se sme povezati, politika avtorizacije virov pa odloča, do katerih notranjih virov lahko pridejo prek njega. Obe politiki sta del izdelka, ne izbirni dodatki.

Skupaj načrtujte potrdila, integracijo identitet in potrebne prenose. Prehod ni anonimni rele TCP in njegova postavitev kot takega preskoči politike, ki ga sploh upravičujejo. Prinaša tudi licenčne in obratovalne zahteve, ki jih ena preusmerjena vrata nimajo. Predvidite jih v proračunu pred pregledom zasnove, ne po njem.

Kjer ekipa že upravlja centralni dostop do namizij, so ti režijski stroški že plačani. Kjer ena oseba potrebuje en stroj, je to velik stroj, kupljen za majhno delo.

Kaj vse tri še vedno potrebujejo

Ohranite preverjanja identitete gostitelja v vsaki zasnovi. Lokalni vzdevek ali tunel ne naredita nepričakovanega potrdila neškodljivega, sprejetje neujemajočega potrdila za prehod skozi posrednik pa izniči smisel tunela. Ime v odjemalcu in ime na potrdilu je treba zavestno uskladiti.

Uporabite MFA na vstopni točki, kjer to zahteva politika, in ohranite nadzor računa na cilju. Oba se dopolnjujeta: prvi odloča, kdo sme priti do vrat, drugi, kdo jih sme odpreti. Če izpustite katerega koli, ostane zasnova, ki je videti popolna in ni.

Izberite mejo, ki ustreza delu in obratovalnemu modelu, ki ga v resnici imate. Pregled vlog RDS opisuje mesto prehoda med gostiteljem seje in drugimi komponentami, in to je kontekst, ki naredi njegov strošek berljiv.