Introduktion af Psono Gateway

Vi er glade for at kunne annoncere udgivelsen af Psono Gateway, en ny måde for teams at starte sikre, browserbaserede SSH-, RDP- og VNC-sessioner direkte fra forbindelsesposter, der er gemt i Psono. Det samler hemmeligheder og fjernadgang i én kontrolleret arbejdsgang, uden at brugerne behøver at kopiere legitimationsoplysninger eller eksponere målsystemer direkte til deres enheder.

Psono Gateway er tilgængelig i dag eksklusivt for Psono Enterprise Edition og kræver en gyldig Enterprise Edition- licens. Den kan ikke bruges med Community Edition-serveren.

Fjernadgang fra adgangskodehåndteringen

Administratorer har ofte både brug for en legitimationsoplysning og et separat værktøj til at oprette forbindelse til en server, arbejdsstation eller andet beskyttet system. Det skaber ekstra trin og kan opmuntre til, at legitimationsoplysninger kopieres til udklipsholderen, terminaler eller gemmes lokalt som forbindelsesprofiler.

Med Psono Gateway kan brugere åbne en SSH-, RDP- eller VNC-forbindelse og vælge Start. Psono finder de tilladte legitimationsoplysninger, vælger en tilgængelig Gateway og åbner sessionen i en browser. Den samme arbejdsgang er tilgængelig både fra Psonos webklient og Psono-appen.

Psono Gateway er baseret på Apache Guacamole, den etablerede clientless remote desktop gateway. Vi har integreret Guacamole med Psonos krypterede hemmelighedshåndtering, autorisationsmodel, Gateway-klynger samt web- og mobilklienter for at muliggøre et skræddersyet opstartsflow til Psono-miljøer.

Nøglefunktioner

• SSH, RDP og VNC i browseren: Opret forbindelse til Linux-servere, Windows-systemer og VNC-desktops uden at installere en dedikeret protokolklient på brugerens enhed.
• Fleksibel godkendelse: Brug legitimationsoplysninger, der er gemt direkte i forbindelsen, henvis til en applikationsadgangskode, eller brug en SSH-nøgle med et personligt brugernavn.
• Krypteret startoverførsel: Klienten krypterer forbindelsesbeskrivelsen med en ny startnøgle. Psono-serveren autoriserer og videresender anmodningen uden at dekryptere mål-legitimationsoplysningerne.
• Kortlivede engangsstarter: Hver session starter med en midlertidig startkode, som forbruges atomisk og ikke kan genbruges.
• Løbende autorisation: Psono tjekker adgang, når sessionen starter, og revurderer aktive starter løbende, så tilbagekaldte brugere, sessioner, rettigheder til hemmeligheder eller Gateway-adgang kan ugyldiggøre en forbindelse.
• Granulær Gateway-adgang: Administratorer kan gøre en Gateway-klynge tilgængelig for alle eller begrænse den til udvalgte brugere og grupper.
• Høj tilgængelighed: Flere Gateway-instanser kan indgå i samme klynge. Psono vælger en aktiv instans til hver nye start, og brugerne kan vælge mellem klynger, hvis der er flere tilgængelige.
• Fleksibel udrulning: Containeren indeholder Gateway-webapplikationen og en indlejret guacd-dæmon til SSH, RDP og VNC. En ekstern guacd kan anvendes, når stærkere proces- eller netværksadskillelse er påkrævet.

Sådan fungerer det

1. En bruger starter en gemt SSH-, RDP- eller VNC-forbindelse fra Psono. Klienten finder forbindelsens konfigurerede autentificeringskilde og krypterer de nødvendige forbindelsesdetaljer med en ny nøgle.
2. Psono Enterprise Server verificerer brugerens token, læseadgang til forbindelseselementet og tilladelse til at bruge den valgte Gateway-klynge. Herefter vælges en aktiv Gateway-instans, og en kortlived engangs startkode returneres.
3. Brugerens browser forbinder direkte til den valgte Gateway via HTTPS. Gatewayen udveksler atomisk startkoden og dekrypterer forbindelsesdetaljerne i hukommelsen.
4. Den integrerede eller eksterne guacd-dæmon åbner SSH-, RDP- eller VNC-forbindelsen fra Gatewayens netværk til målsystemet. Psono-serveren initierer aldrig en forbindelse til Gatewayen eller målet.
5. Mens sessionen er aktiv, spørger Gatewayen jævnligt Psono-serveren, om opstarten fortsat er autoriseret. Inaktive og absolutte timeouts tilføjer yderligere begrænsninger for sessionen.

Denne adskillelse gør det muligt for organisationer at placere en Gateway tæt på de beskyttede systemer, mens brugerne kun behøver HTTPS-adgang til Psono og Gatewayen. Firewall-regler kan holde SSH-, RDP- og VNC-tjenester private og kun tillade, at Gatewayen tilgår de tilsigtede mål-netværk.

Designet til kontrolleret Enterprise-adgang

Gateway-klynger kan repræsentere forskellige lokationer, sikkerhedszoner eller miljøer. Administratorer kan tildele brugere og grupper til de relevante klynger, overvåge registrerede Gateway-instanser i Admin-portalen og køre flere instanser for tilgængelighedens skyld. Når brugere har adgang til flere klynger, kan de vælge den rette rute og eventuelt huske valget for en forbindelse.

Direkte login til Psono Gateway er med vilje ikke muligt. Hver session skal stamme fra en autoriseret Psono- forbindelse. Legitimation dekrypteres kun af den valgte Gateway for opstarten og opbevares kun i hukommelsen under fjernsessionen – aldrig afsløret af Psono-serveren.

Kom godt i gang

For at implementere Psono Gateway skal du aktivere Gateway-API’et på din Psono Enterprise Server, oprette en klynge i Gateway Management, konfigurere dens bruger- eller gruppeadgang og starte en eller flere Gateway-containere, hvorfra de kan nå de ønskede mål-systemer. Brugere kan derefter oprette SSH-, RDP- eller VNC-forbindelser og starte dem via Psono.

Den komplette vejledning til installation, reverse proxy, firewall, høj tilgængelighed og opdatering findes i Psono Gateway dokumentationen.