SSH прослеђивање, VPN или RD Gateway: који пут за један RDP десктоп?

Све три опције преносе RDP, па протокол није одлучујући фактор. Право питање је колико приступа један корисник треба да добије и ко одржава ствар која га даје. Прослеђен TCP порт, рутирана приватна мрежа и десктоп гејтвеј одговарају на то питање у три различите величине. Прво изаберите величину, а производ ће следити.

Питање је обим, а не протокол

Запишите шта корисник заиста треба да дотакне. Ако је одговор један десктоп, дизајн који даје подмрежу је преширок. Ако је одговор десктоп плус дељења фајлова плус административна конзола, дизајн који прослеђује један порт вратиће се следећег месеца по још два прослеђивања. Листа одредишта је захтев; све остало је имплементација.

Држите идентитет улаза одвојено од Windows налога који се пријављује на десктоп. Сваки дизајн испод има обоје, а њихово мешање је начин на који налог скокачког хоста добија већа овлашћења него што је ико намеравао.

Једна прослеђена TCP услуга

Одобрен SSH скокачки хост може проследити локални слушалац ка RDP услузи до које може да дође. Вежите тај слушалац на loopback када постоји само за корисников сопствени рачунар, што је уобичајена намера локалног прослеђивања. Прослеђивање је погодност за једну особу, не услуга за тим.

SSH пријава аутентификује приступ путу прослеђивања и ништа више. Windows аутентификација и RDP ауторизација се и даље дешавају на одредишту, па важећи скокачки налог није важећа десктоп сесија. То су два независна улаза и оба морају да се отворе.

Ограничите одредишта прослеђивања скокачког налога уместо да дате неограничену шкољку. Овај дизајн одговара малом, експлицитно наведеном скупу машина и додаје хост, идентитет и животни циклус за одржавање. Тај додатни хост је део који људи забораве када га упоређују са гејтвејом: неко мора да га закрпи, надгледа и поседује његове кључеве.

Рутирани приватни радни простор

VPN даје приватни DNS и приступ неколико услуга које се користе заједно, и то је његова стварна вредност. Скривање једног десктоп порта је нуспојава, а не разлог да се гради. Та разлика је важна када неко пита зашто VPN уопште постоји.

Ограничите руте и дозволе за ресурсе на предвиђена одредишта. Повезан корисник не заслужује аутоматски целу локалну мрежу, а заштитни зид одредишта плус права пријаве Windows остају одвојене границе које VPN не замењује.

Овај распоред је погодан за већ успостављен управљани радни простор. Трошак је то што увођење, захтеви уређаја, понашање разрешивача и политика повезивања постају део корисниковог радног окружења и неко мора да их поседује. Упоредите тај трошак са лиценцирањем гејтвеја пре него што претпоставите да је VPN јефтинија опција.

Гејтвеј специфичан за RDP

Remote Desktop Gateway пружа границу специфичну за RDP, а не мрежну. Његова политика ауторизације веза одлучује ко сме да се повеже, а политика ауторизације ресурса одлучује до којих унутрашњих ресурса могу да дођу преко њега. Обе политике су део производа, а не опциони додаци.

Планирајте сертификате, интеграцију идентитета и потребне транспорте заједно. Гејтвеј није анонимни TCP релеј, а његово постављање као таквог прескаче политике које га уопште оправдавају. Он носи и лиценцне и оперативне захтеве које један прослеђен порт нема. Предвидите их у буџету пре прегледа дизајна, а не после.

Тамо где тим већ одржава централизовани приступ десктопима, тај додатни трошак је већ плаћен. Тамо где једној особи треба једна машина, то је велика машина купљена за мали посао.

Шта све три и даље требају

Сачувајте провере идентитета хоста у сваком дизајну. Локални алијас или тунел не чине неочекивани сертификат безопасним, а прихватање неодговарајућег да би се прошло кроз прокси уништава смисао тунела. Име у клијенту и име на сертификату морају свесно да се ускладе.

Примените MFA на улазној тачки где политика то захтева и задржите контроле налога на одредишту. Две се допуњују: прва одлучује ко може да дође до врата, друга ко их може отворити. Изостављање било које оставља дизајн који изгледа потпун, а није.

Изаберите границу која одговара послу и оперативном моделу који заиста имате. Преглед RDS улога описује место гејтвеја међу хостом сесије и другим компонентама, и то је контекст који чини његову цену читљивом.