使用跳线主机保护从服务器到工作站的数据

Question

我有一个WWW服务器，我的问题是，内容是敏感的，不应该被访问的人没有适当的凭证。

如何提高易用性，但仍然保持以下场景的安全性；

服务器是通过“跳线主机”访问的，即客户端通过VPN连接连接到跳线器，并使用RemoteDesktop访问跳线器。从跳线器中，他再次使用RemoteDesktop访问服务器。最后，在服务器上，用户可以使用WWW浏览器访问内容。

从VPN客户端一直到WWW浏览器都需要使用智能卡令牌进行身份验证.

这在我看来是相当安全的。内容只在服务器和跳线器之间的RemoteDesktop上镜像，没有需要担心的缓存文件。跳线器和客户端之间的连接使用VPN(ssl)进行保护，因此不会窃听。

但是，对于需要打开许多步骤和连接的客户端来说，这是相当麻烦的。:(

那么，如何在不损害安全性的情况下提高访问服务器的用户体验呢？

谢谢。

Answer 1

我对你的配置的理解

TCP/IP      Client---jumper host ------Server
Logically   Client-VPN-jumper host -RDP-Server - www - website

上述问题：

1)跳线主机又名Bastion主机，有效地充当VPN集中器。

2)不清楚您是否只使用智能卡进行身份验证

3)这对用户来说是复杂的和困难的。

4)您让用户执行的额外工作可能无法提高安全性。

5)您没有提到一般的网络配置、防火墙、IDS、操作系统类型等等。

建议：

1)用VPN集中器替换堡垒主机，精简操作系统。

2)使用多个身份验证器

3)锁定上面，包括限制可访问的主机，并使服务器只对集中器访问。

4)分层VPN优于VPN+ RDP。IPSEC > SSL。

5)保护Web服务器以限制访问

6)您可以通过使VPN永久化或启动启动连接但不进行身份验证的脚本来尝试自动化其中的一部分。

7)您需要考虑Smartcard和底层基础结构的安全性，这在您的描述中是没有的。一个安全的PKI不仅仅是使用智能卡认证器！

Answer 2

这里有大量的变量，所以我只能发送一些通用的实践，这可能会使它更容易。但是，如果没有一个从终端用户到服务器的完全安全的链，就很难真正确保终端网站的安全性。让用户访问网站，即使是通过受SmartCard保护的VPN，仍然会打开一些漏洞，允许外部方查看远程安全网站上的内容。

例如，想象一下，如果终端用户坐在安装了间谍软件的PC上，能够拍摄屏幕快照吗？您所制定的所有“安全性”都被这个简单的程序忽略了。

然而，这并不能回答你的问题。我能想到的唯一一件事，可能会使您的终端用户更容易使用基于web的访问您的远程桌面服务器。您可以通过现成的服务(如LogMeIn或GoToMyPC )来完成此操作。还可能有一些Citrix自定义安装，这将允许客户端访问远程PC，而无需通过安装VPN客户端和使用远程桌面客户端的rigamarole。