SSH yönlendirme, VPN veya RD Gateway: tek bir RDP masaüstü için hangi yol?

Üç seçenek de RDP taşır, bu yüzden protokol belirleyici etken değildir. Gerçek soru, tek bir kullanıcının ne kadar erişim alması gerektiği ve bunu sağlayan şeyi kimin işlettiğidir. Yönlendirilmiş bir TCP bağlantı noktası, yönlendirilmiş bir özel ağ ve bir masaüstü geçidi bu soruyu üç farklı boyutta yanıtlar. Önce boyutu seçin, ürün ardından gelir.

Soru protokol değil, kapsamdır

Kullanıcının gerçekte neye dokunması gerektiğini yazın. Yanıt tek bir masaüstüyse, alt ağ veren bir tasarım fazla geniştir. Yanıt masaüstü artı dosya paylaşımları artı bir yönetim konsolüyse, tek bağlantı noktası yönlendiren bir tasarım gelecek ay iki yönlendirme daha için geri döner. Hedefler listesi gereksinimdir; geri kalan her şey uygulamadır.

Giriş kimliğini masaüstünde oturum açan Windows hesabından ayrı tutun. Aşağıdaki her tasarımda ikisi de vardır ve bunları birbirine karıştırmak, atlama ana bilgisayarı hesabının kimsenin amaçladığından daha fazla yetkiye sahip olmasının yoludur.

Yönlendirilmiş tek bir TCP hizmeti

Onaylanmış bir SSH atlama ana bilgisayarı, yerel bir dinleyiciyi ulaşabildiği RDP hizmetine yönlendirebilir. Bu dinleyici yalnızca kullanıcının kendi makinesi için varsa loopback'e bağlayın; yerel yönlendirmenin olağan amacı budur. Yönlendirme bir kişi için kolaylıktır, bir ekip için hizmet değildir.

SSH oturum açması yalnızca yönlendirme yoluna erişimi doğrular, fazlasını değil. Windows kimlik doğrulaması ve RDP yetkilendirmesi hâlâ hedefte gerçekleşir, dolayısıyla geçerli bir atlama hesabı geçerli bir masaüstü oturumu değildir. Bunlar iki bağımsız kapıdır ve ikisi de açılmalıdır.

Sınırsız bir kabuk vermek yerine atlama hesabının yönlendirme hedeflerini kısıtlayın. Bu tasarım, açıkça listelenmiş küçük bir makine kümesine uygundur ve işletmek için bir ana bilgisayar, bir kimlik ve bir yaşam döngüsü ekler. O ek ana bilgisayar, insanların bir geçitle karşılaştırırken unuttuğu kısımdır: birinin onu yaması, izlemesi ve anahtarlarına sahip olması gerekir.

Yönlendirilmiş özel bir çalışma alanı

VPN özel DNS ve birlikte kullanılan birkaç hizmete erişim sağlar ve gerçek değeri budur. Tek bir masaüstü bağlantı noktasını gizlemek bir yan etkidir, onu inşa etmenin nedeni değildir. Bu ayrım, biri VPN'in neden var olduğunu sorduğunda önemlidir.

Yolları ve kaynak izinlerini amaçlanan hedeflerle sınırlayın. Bağlı bir kullanıcı otomatik olarak tüm yerel ağa hak kazanmaz ve hedef güvenlik duvarı artı Windows oturum açma hakları VPN'in yerini almadığı ayrı sınırlar olarak kalır.

Bu düzen, yerleşik ve yönetilen bir çalışma alanı için elverişlidir. Maliyet, ilk katılım, cihaz gereksinimleri, çözümleyici davranışı ve bağlantı ilkesinin kullanıcının çalışma ortamının parçası hâline gelmesi ve birinin bunlara sahip olması gerektiğidir. VPN'in daha ucuz seçenek olduğunu varsaymadan önce bu maliyeti geçidin lisanslamasıyla karşılaştırın.

RDP'ye özgü bir geçit

Remote Desktop Gateway, ağ sınırı yerine RDP'ye özgü bir sınır sağlar. Bağlantı yetkilendirme ilkesi kimin bağlanabileceğine, kaynak yetkilendirme ilkesi ise bunun üzerinden hangi iç kaynaklara ulaşabileceklerine karar verir. Her iki ilke de ürünün parçasıdır, isteğe bağlı ekler değildir.

Sertifikaları, kimlik entegrasyonunu ve gerekli taşımaları birlikte planlayın. Geçit anonim bir TCP aktarıcısı değildir ve onu böyle dağıtmak, onu haklı çıkaran ilkeleri atlar. Ayrıca tek bir yönlendirilmiş bağlantı noktasında olmayan lisans ve işletim gereksinimleri taşır. Bunları tasarım incelemesinden önce bütçeleyin, sonra değil.

Bir ekip zaten merkezî masaüstü erişimini işletiyorsa bu ek maliyet ödenmiştir. Tek bir kişinin tek bir makineye ihtiyacı varsa, bu küçük bir iş için alınan büyük bir makinedir.

Üçünün hâlâ ihtiyaç duyduğu şeyler

Her tasarımda ana bilgisayar kimliği denetimlerini koruyun. Yerel bir takma ad veya tünel, beklenmeyen bir sertifikayı zararsız hâle getirmez ve bir proxy'den geçmek için uyuşmayan bir sertifikayı kabul etmek tünelin anlamını bozar. İstemcideki ad ile sertifikadaki ad bilinçli olarak uzlaştırılmalıdır.

MFA'yı ilkenin gerektirdiği giriş noktasında uygulayın ve hedefin hesap denetimlerini koruyun. İkisi birbirini tamamlar: birincisi kapıya kimin ulaşabileceğine, ikincisi onu kimin açabileceğine karar verir. Herhangi birini bırakmak, eksiksiz görünen ama öyle olmayan bir tasarım bırakır.

İşe ve gerçekte sahip olduğunuz işletim modeline uyan sınırı seçin. RDS rollerine genel bakış geçidin oturum ana bilgisayarı ve diğer bileşenler arasındaki yerini açıklar ve maliyetini okunur kılan bağlam budur.