أساسيات Remote Desktop Gateway
يوفر Remote Desktop Gateway مسارًا للمستخدمين عن بُعد إلى أسطح المكتب الداخلية وتطبيقات RemoteApp دون نشر منفذ RDP نفسه على الإنترنت. يتصل العميل بالبوابة، فتطبّق سياسات الوصول وتمرر الجلسة إلى المضيف الداخلي. تصف Microsoft الدور بأنه يتيح اتصالًا مشفّرًا بموارد Remote Desktop Services عبر الإنترنت دون اشتراط VPN (نشر دور RD Gateway).
مشكلة إتاحة RDP مباشرة
يرى ماسحو الإنترنت منفذ RDP المفتوح، وتكثر محاولات تخمين كلمات المرور عليه. تضيف هذه المحاولات ضوضاء إلى السجلات، وتمنح المهاجم نقطة يستمر بمحاولتها حتى مع وجود بيانات اعتماد قوية.
تزيل البوابة المسار المباشر إلى المضيف، لكنها تصبح هي نقطة الدخول المنشورة. لذلك تحتاج إلى تحديثات وصلاحيات ومراقبة خاصة بها، مع استمرار حماية الأنظمة التي تصل إليها.
ما الذي يعبر الشبكة؟
يغيّر وضع البوابة مواضع السماح بالحركة. ميّز بين اتجاه العميل إلى البوابة واتجاه البوابة إلى الموارد.
من العميل إلى البوابة:
- يحمل TCP 443 نقل HTTPS الخاص بالبوابة. يجب أن يتمكن العملاء المقصودون من الوصول إليه مباشرة أو عبر واجهة أمامية متوافقة.
- يستخدم UDP 3391 لنقل RDP عبر UDP عندما يُفعَّل. يمكن ضبطه في إعدادات البوابة، وليس مطلوبًا لكل اتصال.
من البوابة إلى المضيفين الداخليين:
- يستخدم RDP افتراضيًا TCP 3389، وقد يستخدم UDP 3389 إذا فُعِّل نقل UDP. اعتمد المنافذ الفعلية إذا غيّرتها في النشر.
تحتاج البوابة أيضًا إلى خدمات الهوية والأسماء التي يعتمد عليها إعدادها، وقد يشمل ذلك Kerberos وLDAP وRPC وDNS، وRADIUS على UDP 1812 و1813 عند استخدام NPS. تحدد الأدوار والمصادقة مساراتها المطلوبة، فارجع إلى متطلبات منافذ RDS بدل فتح مجموعة واسعة بلا حاجة.
لا يزال المضيف الداخلي يحتاج إلى قاعدة واردة لـ RDP. احصرها في البوابة وأي مصادر إدارة أخرى مبررة، لا نطاق شبكة غير مقيّد. إخفاء RDP عن الإنترنت يغيّر مصدر الاتصال المسموح، ولا يلغي قاعدة المضيف الداخلية.
CAP وRAP: قراران مختلفان
تحدد Connection Authorization Policy، أو CAP، شروط الاتصال بالبوابة. وتحدد Resource Authorization Policy، أو RAP، الأجهزة الداخلية التي يمكن للمستخدم الوصول إليها عبرها. ينبغي أن تحقق الجلسة سياسة من كل نوع؛ فالسماح بالمرور عبر البوابة لا يعني الوصول إلى كل ما وراءها.
تُحفَظ CAP محليًا افتراضيًا، أو في مخزن مركزي على NPS ويمكن تقييمها عبر RADIUS. أما RAP فتُعالَج على البوابة ولا تستخدم المخزن المركزي بالطريقة نفسها.
اربط CAP بمجموعات مسماة ذات مالك واضح، واربط RAP بالأجهزة التي تحتاج إليها كل مجموعة. لا تمنح فريقًا يدير بضعة خوادم سياسة تشمل كل البيئة. اجعل السياسات تعكس العمل المطلوب.
الهوية وصلاحيات الوصول
استخدم مجموعات وحسابات مسماة، وأزل الصلاحية عند انتهاء الحاجة. تصعّب الحسابات المشتركة تتبع من فعل ماذا، ويمنح سرقة كلمة مرورها كل ما تصل إليه.
يدعم RD Gateway مصادقة كلمات المرور والبطاقات الذكية، ويُختار المسموح في الإعداد. وعند استخدام كلمات المرور، تأتي المصادقة متعددة العوامل عادةً عبر تكامل خارجي. في مسار Microsoft Entra، تكون البوابة عميل RADIUS لـ NPS، الذي يتحقق من بيانات الاعتماد وسياساته، ثم تضيفه ملحقة Entra MFA العامل الثاني (تخطيط MFA لخدمات RDS).
افهم حدود هذا التكامل قبل الوعد به. لا يوفر تسجيل الدخول المعتاد عبر RD Gateway حقل إدخال رمز MFA؛ وتوثق Microsoft المكالمة الهاتفية وإشعارات الموافقة أو الرفض في Authenticator. لا يصلح لذلك تسجيل يعتمد فقط على رمز TOTP أو رسالة نصية. وقد تتطلب إعدادات الملحقة الحالية معالجة خاصة لاختيار طريقة المصادقة. ثبّت الملحقة على خادم NPS وأعدّ البوابة لاستخدام مخزن CAP المركزي، وفق إرشادات تكامل RD Gateway وEntra MFA.
قد تقلل قائمة السماح بالمصادر غير المطلوبة، لكنها لا تعوّض الهوية القوية. السفر والمخارج المشتركة يجعلان الموقع إشارة غير مثالية. راجع عضوية المجموعات وسجلات البوابة، وأزل الوصول الذي لم يعد مطلوبًا بعد تغيّر الدور.
الموضع والتحصين
لا تنشر RDP مباشرة على الإنترنت. حدّث البوابة، وطبّق المصادقة القوية، وراقب أحداثها. ضعها في موضع لا تصل منه إلا إلى الأنظمة المطلوبة؛ فبوابة تصل إلى كل مضيف تملك قدرة أوسع من الحاجة.
تحتاج البوابة إلى شهادة تطابق الاسم المستخدم في اتصال العملاء. توصي Microsoft بشهادة صادرة من جهة عامة لهذا الدور، وإذا اخترت جهة خاصة فيجب أن يثق كل عميل بسلسلتها مسبقًا.
تعامل معها كهدف عالي القيمة. يسجل Microsoft-Windows-TerminalServices-Gateway/Operational قرارات الوصول: الحدث 200 لاستيفاء CAP، والحدث 300 لاستيفاء RAP. وعلى NPS، يسجل Security 6272 منح الوصول الشبكي و6273 رفضه؛ ولا يثبتان وحدهما إنشاء جلسة سطح مكتب (تدقيق NPS). راقب الدخول من مصادر غير معتادة ومحاولات الوصول إلى أجهزة خارج نطاق المجموعة.
التوثيق والاختبار
وثّق المستخدمين والمجموعات وسياسات CAP والأجهزة المحددة في RAP وتسلسل تسجيل الدخول المتوقع. اختبر القبول والرفض: وصول مستخدم مسموح إلى جهازه، ورفض مستخدم أو وجهة غير مسموح بهما.
احتفظ بمسار استعادة للمسؤولين لا يعتمد على بوابة متعطلة. اجعله محدودًا ومراقبًا. البوابة طبقة ضمن تصميم الوصول، ولا تحل محل أمان الأجهزة أو إدارة الحسابات.
قائمة تحقق
- أبقِ RDP بعيدًا عن الإنترنت العام، ووفّر للعملاء المقصودين مسار HTTPS إلى البوابة.
- اسمح بمنافذ RDP الفعلية من البوابة إلى المضيفين المحددين، وأضف UDP عند استخدامه فقط، ووثّق مصادر الإدارة المستقلة.
- افصل CAP عن RAP واربطهما بمجموعات وأجهزة محددة.
- اختر طريقة المصادقة صراحة وطبّق MFA عبر تكامل NPS المناسب عند استخدام كلمات المرور.
- حدّث البوابة وراجع أحداثها، ومنها 200 و300.
- اختبر المسارات المسموحة والمرفوضة ومسار استعادة لا يعتمد عليها.