دورکاری بدون RDP مستقیم چگونه پیاده‌سازی می‌شود؟

زمان تقریبی مطالعه: ۴ دقیقه

برای دورکاری لازم نیست پورت RDP هر کامپیوتر را روی اینترنت باز کنید یا اطلاعات اتصال را میان کارکنان به اشتراک بگذارید. معماری مناسب، هویت کاربران، دستگاه‌های مجاز و رویدادهای اتصال را در یک مسیر مرکزی مدیریت می‌کند.

چرا RDP مستقیم در مقیاس سازمانی دردسرساز می‌شود؟

Remote Desktop ویندوز برای اتصال در شبکه داخلی ابزار مفیدی است، اما انتشار مستقیم آن روی اینترنت سطح مواجهه سرویس را افزایش می‌دهد. تیم IT علاوه بر حفاظت از حساب‌ها باید Port Forwarding، آدرس عمومی، Firewall و به‌روزرسانی هر مقصد را نیز مدیریت کند. اگر تعداد کارکنان و دستگاه‌ها زیاد شود، این تنظیمات پراکنده هم نگهداری را سخت می‌کنند و هم احتمال باقی‌ماندن دسترسی قدیمی را بالا می‌برند.

تغییر شماره پورت به‌تنهایی معماری امن ایجاد نمی‌کند. اسکن خودکار فقط به پورت پیش‌فرض محدود نیست. جزئیات بیشتر را در مقاله ریسک‌های بازکردن پورت 3389 بخوانید.

معماری مطلوب برای دسترسی کارمند از خانه

در یک مسیر مدیریت‌شده، کارمند ابتدا با حساب مستقل خود وارد سامانه می‌شود. سپس فقط رایانه یا منابعی را می‌بیند که برای نقش او مجاز شده‌اند. کاربر نباید مجبور باشد IP عمومی، شماره پورت یا رمز مشترک واحد را بداند. در سمت مدیریت نیز تیم IT باید بتواند دسترسی را از یک نقطه ایجاد، محدود یا لغو کند.

• هر کارمند یک حساب و هویت مستقل داشته باشد.
• هر حساب فقط دستگاه‌های موردنیاز همان فرد را ببیند.
• دسترسی مدیران، واحد مالی و سرورها از دسترسی عمومی جدا شود.
• شروع و پایان اتصال‌ها برای بازبینی ثبت شود.
• خروج کارمند از سازمان به لغو سریع دسترسی منجر شود.

حساب مستقل؛ جایگزین رمز مشترک

اشتراک‌گذاری یک نام کاربری یا رمز میان چند نفر، پاسخ به سؤال «چه کسی متصل شد؟» را دشوار می‌کند. با حساب مستقل، تغییر نقش یا خروج یک کارمند فقط روی همان حساب اثر می‌گذارد و نیازی به تعویض رمز چندین سیستم نیست. برای نقش‌های مختلف نیز می‌توان سیاست متفاوت تعریف کرد؛ برای مثال کارشناس مالی فقط رایانه واحد خود را ببیند، در حالی که مدیر سیستم به گروه مشخصی از سرورها دسترسی داشته باشد.

راهنمای کنترل دسترسی مبتنی بر نقش چارچوب مناسبی برای تعریف این مجوزها ارائه می‌کند.

اگر کامپیوتر محل کار خاموش باشد چه؟

روشن نگه‌داشتن شبانه‌روزی همه رایانه‌ها تنها راه دورکاری نیست. اگر سخت‌افزار، BIOS یا UEFI، کارت شبکه و شبکه سازمان برای Wake-on-LAN آماده باشند، می‌توان دستگاه سازگار را هنگام نیاز روشن کرد. این قابلیت باید ابتدا در شبکه داخلی آزمایش و برای هر مدل دستگاه مستند شود؛ زیرا پشتیبانی و تنظیمات همه رایانه‌ها یکسان نیست.

برای پیش‌نیازها و روش آزمون، مقاله روشن کردن کامپیوتر خاموش از راه دور را ببینید.

دورکاری با پشتیبانی از راه دور تفاوت دارد

در دورکاری، کارمند معمولاً به رایانه مشخص خودش متصل می‌شود و این دسترسی می‌تواند تکرارشونده باشد. در پشتیبانی از راه دور، تکنسین برای حل یک مسئله به دستگاه کاربر یا مشتری متصل می‌شود و ممکن است به تأیید یا ثبت تیکت نیاز داشته باشد. جداکردن این دو سناریو باعث می‌شود مجوزها، گزارش‌ها و ظرفیت اتصال هم‌زمان دقیق‌تر طراحی شوند.

چک‌لیست اجرای آزمایشی

1. دو یا سه کاربر از واحدهای متفاوت انتخاب کنید.
2. برای هر کاربر حساب مستقل و فقط یک دستگاه مجاز تعریف کنید.
3. اتصال از اینترنت خانگی و قطع و وصل شبکه را آزمایش کنید.
4. کیفیت تصویر، تأخیر، انتقال فایل و سیاست Clipboard را بررسی کنید.
5. لغو دسترسی و خروج کاربر را امتحان کنید.
6. گزارش رویدادها را با نیاز واحد فناوری اطلاعات تطبیق دهید.

ریموتو را چگونه ارزیابی کنیم؟

ریموتو را با یک گروه کوچک و سناریوی واقعی بسنجید: ورود کارمند، مشاهده دستگاه مجاز، اتصال، پایان نشست و بررسی رویداد توسط مدیر. اگر روشن‌کردن دستگاه خاموش جزو نیازهاست، آن را نیز جداگانه در زیرساخت خود آزمایش کنید. سپس تعداد کاربران، دستگاه‌ها و بیشترین اتصال هم‌زمان را برای انتخاب ظرفیت مشخص کنید.