Pagpapasa ng SSH, VPN o RD Gateway: aling landas para sa isang RDP desktop?

Tatlong opsyon ang nagdadala ng RDP, kaya ang protocol ay hindi ang deciding factor. Ang tunay na tanong ay kung gaano karaming maaabot ang dapat makuha ng isang user, at sino ang nagpapatakbo ng bagay na nagbibigay nito. Ang naipasang TCP port, ruteradong pribadong network at gateway ng desktop ay sumasagot sa tanong na iyon sa tatlong magkaibang sukat. Piliin muna ang sukat at susunod ang produkto.

Ang tanong ay saklaw, hindi protocol

Isulat kung ano ang talagang kailangang hawakan ng user. Kung ang sagot ay isang desktop, ang disenyong nagbibigay ng subnet ay masyadong malawak. Kung ang sagot ay desktop kasama ang pagbabahagi ng file kasama ang admin console, ang disenyong nagpapasa ng isang port ay babalik sa susunod na buwan para sa dalawa pang pagpapasa. Ang listahan ng destinasyon ang pangangailangan; ang lahat ng iba ay implementasyon.

Panatilihing hiwalay ang identity ng pagpasok sa Windows account na pumapasok sa desktop. Mayroon ang lahat ng disenyo sa ibaba ng dalawa, at ang paghahalo sa kanila ang paraan kung paano ang jump host account ay nakakakuha ng mas maraming awtoridad kaysa sa inaasahan ninuman.

Isang naipasang TCP service

Ang aprubadong SSH jump host ay maaaring magpasa ng lokal na listener sa RDP service na naaabot nito. Ibigkis ang listener na iyon sa loopback kapag umiiral lamang ito para sa sariling makina ng user, na siyang normal na layunin ng lokal na pagpapasa. Ang pagpapasa ay kaginhawahan para sa isang tao, hindi serbisyo para sa isang team.

Ang login sa SSH ay nagpapatunay ng access sa landas ng pagpapasa, at wala nang iba. Ang authentication ng Windows at awtorisasyon ng RDP ay nangyayari pa rin sa destinasyon, kaya ang valid na jump account ay hindi valid na desktop session. Dalawang independiyenteng gate iyon at pareho dapat bumukas.

Limitahan ang mga destinasyon ng pagpapasa ng jump account sa halip na magbigay ng walang limitasyong shell. Ang disenyong ito ay angkop sa maliit at tahasang nakalista na hanay ng mga makina, at nagdadagdag ito ng host, identity at lifecycle na patatakbuhin. Ang dagdag na host na iyon ang bahaging nakakalimutan ng mga tao kapag inihahambing ito sa gateway: may kailangang mag-patch, magmonitor at magmay-ari ng mga susi nito.

Isang ruteradong pribadong workspace

Ang VPN ay nagbibigay ng pribadong DNS at access sa ilang serbisyong ginagamit nang sabay, at iyon ang tunay nitong halaga. Ang pagtatago ng isang desktop port ay side effect, hindi ang dahilan upang itayo ito. Mahalaga ang pagkakaibang iyon kapag may nagtanong kung bakit may VPN.

Limitahan ang mga ruta at pahintulot sa resource sa mga nilalayong destinasyon. Ang konektadong user ay hindi awtomatikong karapat-dapat sa buong LAN, at ang firewall ng destinasyon kasama ang mga karapatan sa pagpasok sa Windows ay nananatiling hiwalay na hangganan na hindi pinapalitan ng VPN.

Ang kaayusang ito ay maginhawa para sa itinatag nang pinamamahalaang workspace. Ang gastos ay nagiging bahagi ng kapaligiran ng trabaho ng user ang onboarding, mga kinakailangan ng device, pag-uugali ng resolver at patakaran sa koneksyon, at may kailangang magmay-ari ng mga ito. Ihambing ang gastos na iyon sa lisensya ng gateway bago ipagpalagay na ang VPN ang mas murang opsyon.

Isang gateway na partikular sa RDP

Ang Remote Desktop Gateway ay nagbibigay ng hangganang partikular sa RDP kaysa sa network. Ang patakaran nito sa awtorisasyon ng koneksyon ay nagpapasya kung sino ang maaaring kumonekta, at ang patakaran sa awtorisasyon ng resource ay nagpapasya kung aling mga panloob na resource ang maaaring abutin nila sa pamamagitan nito. Ang dalawang patakaran ay bahagi ng produkto, hindi opsyonal na dagdag.

Planuhin nang sabay ang mga sertipiko, integrasyon ng identity at mga kinakailangang transport. Ang gateway ay hindi anonymous na TCP relay, at ang pag-deploy nito nang ganoon ay lumalaktaw sa mga patakarang nagbibigay-katwiran dito. Nagdadala rin ito ng mga kinakailangan sa lisensya at operasyon na wala sa isang naipasang port. Ibudget ang mga iyon bago ang pagsusuri ng disenyo, hindi pagkatapos.

Kung saan ang isang team ay nagpapatakbo na ng sentralisadong access sa desktop, bayad na ang overhead na iyon. Kung saan kailangan ng isang tao ang isang makina, malaking makina iyon na bibilhin para sa maliit na trabaho.

Ano ang kailangan pa ng tatlo

Panatilihin ang mga pagsusuri sa identity ng host sa bawat disenyo. Ang lokal na alias o tunnel ay hindi gumagawa ng hindi inaasahang sertipiko na walang pinsala, at ang pagtanggap ng hindi tugmang sertipiko upang makadaan sa proxy ay sumisira sa layunin ng tunnel. Ang pangalan sa client at ang pangalan sa sertipiko ay dapat sadyang pagtugmain.

Ilapat ang MFA sa punto ng pagpasok kung saan hinihiling ng patakaran, at panatilihin ang mga kontrol sa account ng destinasyon. Ang dalawa ay komplementaryo: ang una ay nagpapasya kung sino ang maaaring makarating sa pinto, ang pangalawa kung sino ang maaaring magbukas nito. Ang pag-alis sa alinman ay nag-iiwan ng disenyong mukhang kumpleto at hindi.

Piliin ang hangganang umaangkop sa trabaho at sa modelong pang-operasyon na talagang mayroon ka. Inilalarawan ng Pangkalahatang-tanaw ng mga papel sa RDS ang lugar ng gateway sa gitna ng session host at iba pang bahagi, at iyon ang kontekstong nagpapabasa sa gastos nito.