Përcjellje SSH, VPN apo RD Gateway: cila rrugë për një desktop RDP?

Të tre opsionet mbartin RDP, ndaj protokolli nuk është faktori vendimtar. Pyetja e vërtetë është sa arritshmëri duhet të marrë një përdorues dhe kush operon gjënë që ia jep. Një port TCP i përcjellë, një rrjet privat i rrugëzuar dhe një portë desktop i përgjigjen asaj pyetjeje në tre madhësi të ndryshme. Zgjidhni së pari madhësinë dhe produkti do të pasojë.

Pyetja është shtrirja, jo protokolli

Shkruani çfarë duhet të prekë përdoruesi në të vërtetë. Nëse përgjigjja është një desktop, një dizajn që jep një nënrrjet është shumë i gjerë. Nëse përgjigjja është desktop plus ndarje skedarësh plus një konsolë administrimi, një dizajn që përcjell një port do të kthehet muajin tjetër për dy përcjellje të tjera. Lista e destinacioneve është kërkesa; gjithçka tjetër është zbatim.

Mbajeni identitetin e hyrjes të veçantë nga llogaria Windows që hyn në desktop. Çdo dizajn më poshtë i ka të dyja, dhe përzierja e tyre është mënyra se si një llogari host kërcimi merr më shumë autoritet sesa ka synuar dikush.

Një shërbim TCP i përcjellë

Një host kërcimi SSH i miratuar mund të përcjellë një dëgjues lokal te shërbimi RDP që arrin. Lidheni atë dëgjues me loopback kur ekziston vetëm për makinën e vetë përdoruesit, që është qëllimi normal i një përcjelljeje lokale. Përcjellja është një lehtësi për një person, jo një shërbim për një ekip.

Hyrja SSH vërteton aksesin në rrugën e përcjelljes, dhe asgjë më shumë. Vërtetimi Windows dhe autorizimi RDP ndodhin ende në destinacion, ndaj një llogari kërcimi e vlefshme nuk është një sesion desktop i vlefshëm. Këto janë dy porta të pavarura dhe të dyja duhet të hapen.

Kufizoni destinacionet e përcjelljes të llogarisë së kërcimit në vend që të jepni një shell të pakufizuar. Ky dizajn i përshtatet një grupi të vogël makinash të listuara shprehimisht, dhe shton një host, një identitet dhe një cikël jete për t'u operuar. Ai host shtesë është pjesa që njerëzit harrojnë kur e krahasojnë me një portë: dikush duhet ta rregullojë, ta monitorojë dhe t'i zotërojë çelësat.

Një hapësirë pune private e rrugëzuar

Një VPN jep DNS privat dhe akses në disa shërbime që përdoren së bashku, dhe kjo është vlera e saj e vërtetë. Fshehja e një porti desktop është një efekt anësor, jo arsyeja për ta ndërtuar. Ky dallim ka rëndësi kur dikush pyet pse ekziston VPN-ja fare.

Kufizoni rrugët dhe lejet e burimeve në destinacionet e synuara. Një përdorues i lidhur nuk e meriton automatikisht të gjithë LAN-in, dhe muri i zjarrit i destinacionit plus të drejtat e hyrjes në Windows mbeten kufij të veçantë që VPN-ja nuk i zëvendëson.

Kjo rregullim është i përshtatshëm për një hapësirë pune të menaxhuar të krijuar. Kostoja është që integrimi, kërkesat e pajisjeve, sjellja e zgjidhësit dhe politika e lidhjes bëhen pjesë e mjedisit të punës së përdoruesit, dhe dikush duhet t'i zotërojë ato. Krahasoni atë kosto me licencimin e portës përpara se të supozoni që VPN-ja është opsioni më i lirë.

Një portë specifike për RDP

Remote Desktop Gateway ofron një kufi specifik për RDP dhe jo një kufi rrjeti. Politika e autorizimit të lidhjeve vendos kush mund të lidhet, dhe politika e autorizimit të burimeve vendos cilat burime të brendshme mund të arrijnë përmes saj. Të dyja politikat janë pjesë e produktit, jo shtesa opsionale.

Planifikoni së bashku certifikatat, integrimin e identitetit dhe transportet e nevojshme. Porta nuk është një rele TCP anonime, dhe vendosja e saj si e tillë anashkalon politikat që e justifikojnë. Ajo mbart gjithashtu kërkesa licencimi dhe operimi që një port i vetëm i përcjellë nuk i ka. Planifikoni ato në buxhet përpara rishikimit të dizajnit, jo pas tij.

Aty ku një ekip operon tashmë akses të centralizuar në desktop, ajo shpenzim shtesë është paguar tashmë. Aty ku një person ka nevojë për një makinë, është një makinë e madhe e blerë për një punë të vogël.

Çfarë u duhet ende të treve

Ruani kontrollet e identitetit të hostit në çdo dizajn. Një alias lokal ose një tunel nuk e bëjnë të pafajshëm një certifikatë të papritur, dhe pranimi i një certifikate që nuk përputhet për të kaluar përmes një proxy prish qëllimin e tunelit. Emri në klient dhe emri në certifikatë duhet të pajtohen me qëllim.

Aplikoni MFA në pikën e hyrjes ku politika e kërkon, dhe mbani kontrollet e llogarisë së destinacionit. Të dyja plotësojnë njëra-tjetrën: e para vendos kush mund të arrijë derën, e dyta kush mund ta hapë atë. Lënia e njërës prej tyre lë një dizajn që duket i plotë dhe nuk është.

Zgjidhni kufirin që përputhet me punën dhe modelin operativ që keni vërtet. Përmbledhje e roleve RDS përshkruan vendin e portës midis hostit të sesionit dhe komponentëve të tjerë, dhe ky është konteksti që e bën koston e saj të lexueshme.