Chuyển tiếp SSH, VPN hay RD Gateway: con đường nào cho một desktop RDP?

Cả ba lựa chọn đều mang RDP, nên giao thức không phải yếu tố quyết định. Câu hỏi thực sự là một người dùng nên được cấp bao nhiêu phạm vi truy cập, và ai vận hành thứ cấp phạm vi đó. Một cổng TCP được chuyển tiếp, một mạng riêng được định tuyến và một cổng desktop trả lời câu hỏi đó theo ba kích cỡ khác nhau. Hãy chọn kích cỡ trước và sản phẩm sẽ theo sau.

Câu hỏi là phạm vi, không phải giao thức

Ghi lại những gì người dùng thực sự cần chạm tới. Nếu câu trả lời là một desktop, một thiết kế cấp cả subnet là quá rộng. Nếu câu trả lời là desktop cùng chia sẻ tệp cùng bảng điều khiển quản trị, một thiết kế chỉ chuyển tiếp một cổng sẽ quay lại vào tháng sau để xin thêm hai lần chuyển tiếp nữa. Danh sách đích đến là yêu cầu; mọi thứ khác là triển khai.

Giữ danh tính đầu vào tách khỏi tài khoản Windows đăng nhập vào desktop. Mọi thiết kế bên dưới đều có cả hai, và việc gộp chúng lại là cách một tài khoản máy chủ nhảy có quyền hạn nhiều hơn bất kỳ ai dự định.

Một dịch vụ TCP được chuyển tiếp

Một máy chủ nhảy SSH đã được phê duyệt có thể chuyển tiếp một trình lắng nghe cục bộ tới dịch vụ RDP mà nó có thể tiếp cận. Hãy gắn trình lắng nghe đó vào loopback khi nó chỉ tồn tại cho máy của chính người dùng, đúng như ý định thông thường của một lần chuyển tiếp cục bộ. Chuyển tiếp là tiện ích cho một người, không phải dịch vụ cho một nhóm.

Đăng nhập SSH chỉ xác thực quyền truy cập vào đường chuyển tiếp, không hơn. Xác thực Windows và uỷ quyền RDP vẫn diễn ra tại đích, nên một tài khoản nhảy hợp lệ không phải phiên desktop hợp lệ. Đó là hai cổng độc lập và cả hai đều phải mở.

Hạn chế đích chuyển tiếp của tài khoản nhảy thay vì cấp một shell không giới hạn. Thiết kế này phù hợp với một tập nhỏ máy được liệt kê rõ ràng, và nó thêm một máy chủ, một danh tính và một vòng đời phải vận hành. Máy chủ thêm đó là phần người ta quên khi so sánh với cổng: ai đó phải vá, giám sát và sở hữu các khoá của nó.

Một không gian làm việc riêng được định tuyến

VPN cung cấp DNS riêng và quyền truy cập nhiều dịch vụ được dùng cùng nhau, và đó mới là giá trị thực của nó. Việc ẩn một cổng desktop chỉ là tác dụng phụ, không phải lý do để xây dựng. Sự khác biệt đó quan trọng khi ai đó hỏi vì sao VPN tồn tại.

Hạn chế tuyến và quyền tài nguyên cho các đích đã định. Người dùng đã kết nối không đương nhiên được hưởng toàn bộ LAN, và tường lửa đích cùng quyền đăng nhập Windows vẫn là những ranh giới riêng mà VPN không thay thế.

Cách bố trí này thuận tiện cho một không gian làm việc được quản lý đã ổn định. Chi phí là việc giới thiệu, yêu cầu thiết bị, hành vi phân giải tên và chính sách kết nối trở thành một phần môi trường làm việc của người dùng, và ai đó phải sở hữu chúng. Hãy so sánh chi phí đó với việc cấp phép của cổng trước khi cho rằng VPN là lựa chọn rẻ hơn.

Một cổng dành riêng cho RDP

Remote Desktop Gateway cung cấp một ranh giới dành riêng cho RDP thay vì ranh giới mạng. Chính sách uỷ quyền kết nối quyết định ai được kết nối, và chính sách uỷ quyền tài nguyên quyết định tài nguyên nội bộ nào họ được tiếp cận qua nó. Cả hai chính sách đều là một phần của sản phẩm, không phải tiện ích tuỳ chọn.

Lập kế hoạch cùng lúc cho chứng chỉ, tích hợp danh tính và các phương thức truyền tải cần thiết. Cổng không phải một bộ chuyển tiếp TCP ẩn danh, và triển khai nó như vậy sẽ bỏ qua các chính sách vốn biện minh cho nó. Nó cũng mang các yêu cầu về giấy phép và vận hành mà một cổng được chuyển tiếp duy nhất không có. Hãy dự trù những chi phí đó trước buổi đánh giá thiết kế, không phải sau.

Nơi một nhóm đã vận hành truy cập desktop tập trung, chi phí phụ đó đã được trả. Nơi một người cần một máy, đó là một cỗ máy lớn mua cho một công việc nhỏ.

Điều cả ba vẫn cần

Giữ các kiểm tra danh tính máy chủ trong mọi thiết kế. Một bí danh cục bộ hay đường hầm không làm cho một chứng chỉ bất ngờ trở nên vô hại, và việc chấp nhận một chứng chỉ không khớp để đi qua proxy làm mất ý nghĩa của đường hầm. Tên trong máy khách và tên trên chứng chỉ phải được dung hoà một cách có chủ đích.

Áp dụng MFA tại điểm vào nơi chính sách yêu cầu, và giữ các kiểm soát tài khoản của đích. Hai điều đó bổ sung cho nhau: điều thứ nhất quyết định ai được tới cửa, điều thứ hai quyết định ai được mở nó. Bỏ một trong hai sẽ để lại một thiết kế trông hoàn chỉnh mà không phải vậy.

Chọn ranh giới phù hợp với công việc và mô hình vận hành mà bạn thực sự có. Tổng quan về các vai trò RDS mô tả vị trí của cổng giữa máy chủ phiên và các thành phần khác, và đó là bối cảnh khiến chi phí của nó dễ đọc.