Einführung von Psono Gateway

Wir freuen uns, die Veröffentlichung von Psono Gateway bekanntzugeben – einer neuen Möglichkeit für Teams, sichere, browserbasierte SSH-, RDP- und VNC-Sitzungen direkt aus Verbindungseinträgen zu starten, die in Psono gespeichert sind. Damit werden Geheimnisse und Remote-Zugriff in einem kontrollierten Ablauf vereint, ohne dass Benutzer Zugangsdaten kopieren oder Zielsysteme direkt ihren Geräten aussetzen müssen.

Psono Gateway ist ab sofort exklusiv für die Psono Enterprise Edition verfügbar und erfordert eine gültige Enterprise Edition-Lizenz. Es kann nicht mit dem Community Edition Server verwendet werden.

Remote-Zugriff aus dem Passwort-Manager

Administratoren benötigen oft sowohl Zugangsdaten als auch ein separates Tool, um eine Verbindung zu einem Server, Arbeitsplatzrechner oder einem anderen geschützten System herzustellen. Das führt zu zusätzlichen Schritten und dazu, dass Zugangsdaten in Zwischenablagen, Terminals oder lokal gespeicherten Verbindungsprofilen kopiert werden.

Mit Psono Gateway können Nutzer einen SSH-, RDP- oder VNC-Verbindungseintrag öffnen und Starten auswählen. Psono löst die berechtigten Zugangsdaten auf, wählt ein verfügbares Gateway aus und öffnet die Sitzung im Browser. Der gleiche Ablauf ist sowohl im Psono-Webclient als auch in der Psono-App verfügbar.

Psono Gateway basiert auf Apache Guacamole, dem etablierten Remote-Desktop-Gateway ohne Client. Wir haben Guacamole mit Psonos verschlüsselter Geheimnisverwaltung, Berechtigungsmodell, Gateway-Clustern sowie Web- und Mobil-Clients integriert, um einen maßgeschneiderten Startablauf für Psono-Umgebungen bereitzustellen.

Zentrale Funktionen

• SSH, RDP und VNC im Browser: Verbinden Sie sich mit Linux-Servern, Windows-Systemen und VNC-Desktops, ohne einen dedizierten Protokoll-Client auf dem Benutzergerät installieren zu müssen.
• Flexible Authentifizierung: Verwenden Sie direkt im Verbindungseintrag gespeicherte Zugangsdaten, verweisen Sie auf ein Anwendungspasswort oder nutzen Sie einen SSH-Schlüssel mit persönlichem Benutzernamen.
• Verschlüsselte Startübergabe: Der Client verschlüsselt den Verbindungsdeskriptor mit einem frischen Startschlüssel. Der Psono-Server autorisiert und leitet die Anfrage weiter, ohne die Ziel-Zugangsdaten zu entschlüsseln.
• Kurzlebige, einmalige Starts: Jede Sitzung beginnt mit einem temporären Startcode, der atomar konsumiert wird und nicht wiederverwendet werden kann.
• Laufende Autorisierung: Psono prüft die Zugriffsberechtigung beim Sitzungsstart und validiert laufende Sitzungen regelmäßig. Somit können gesperrte Nutzer, Sitzungen, Berechtigungen auf Geheimnisse oder Gateway-Zugriffe eine Verbindung ungültig machen.
• Granularer Gateway-Zugriff: Administratoren können einen Gateway-Cluster allen Benutzern verfügbar machen oder ihn auf ausgewählte Benutzer und Gruppen beschränken.
• Hohe Verfügbarkeit: Mehrere Gateway-Instanzen können einem Cluster beitreten. Psono wählt für jeden neuen Start eine aktive Instanz aus und Nutzer können zwischen Clustern wählen, wenn mehrere verfügbar sind.
• Flexible Bereitstellung: Der Container beinhaltet die Gateway-Webanwendung sowie einen gebündelten guacd-Daemon für SSH, RDP und VNC. Ein externer guacd kann genutzt werden, wenn stärkere Prozess- oder Netzwerktrennung erforderlich ist.

So funktioniert es

1. Ein Benutzer startet eine gespeicherte SSH-, RDP- oder VNC-Verbindung aus Psono. Der Client löst die konfigurierte Authentifizierungsquelle der Verbindung auf und verschlüsselt die minimal notwendigen Verbindungsdetails mit einem neuen Schlüssel.
2. Der Psono Enterprise Server prüft das Token des Benutzers, die Leseberechtigung für den Verbindungseintrag und die Erlaubnis zur Nutzung des ausgewählten Gateway-Clusters. Anschließend wählt er eine aktive Gateway-Instanz aus und gibt einen kurzlebigen, einmaligen Startcode zurück.
3. Der Browser des Nutzers verbindet sich direkt über HTTPS mit dem ausgewählten Gateway. Das Gateway tauscht den Startcode atomar und entschlüsselt die Verbindungsdetails im Speicher.
4. Der gebündelte oder externe guacd-Daemon baut vom Netzwerk des Gateways die SSH-, RDP- oder VNC-Verbindung zum Zielsystem auf. Der Psono-Server initiiert niemals selbst eine Verbindung zum Gateway oder Ziel.
5. Während die Sitzung aktiv ist, fragt das Gateway regelmäßig beim Psono-Server nach, ob die Berechtigung für den Start weiterhin besteht. Inaktive und absolute Zeitlimits bieten zusätzliche Sitzungsgrenzen.

Diese Trennung erlaubt es Unternehmen, ein Gateway nahe an den geschützten Systemen zu betreiben, während Benutzer lediglich HTTPS-Zugriff zu Psono und dem Gateway benötigen. Firewall-Regeln können SSH-, RDP- und VNC-Dienste privat halten und lediglich dem Gateway Zugang zu den gewünschten Zielnetzwerken erlauben.

Für kontrollierten Enterprise-Zugriff entwickelt

Gateway-Cluster können verschiedene Standorte, Sicherheitszonen oder Umgebungen repräsentieren. Administratoren können Benutzern und Gruppen die passenden Cluster zuweisen, registrierte Gateway-Instanzen im Admin-Portal überwachen und mehrere Instanzen für hohe Verfügbarkeit betreiben. Wenn Benutzer Zugriff auf mehrere Cluster haben, können sie die passende Route wählen und diese Auswahl optional für eine Verbindung speichern.

Eine direkte Anmeldung am Psono Gateway ist absichtlich nicht möglich. Jede Sitzung muss von einem autorisierten Psono-Verbindungseintrag ausgehen. Zugangsdaten werden nur vom ausgewählten Gateway für den Start entschlüsselt und verbleiben für die Remote-Sitzung im Speicher – sie werden nicht durch den Psono-Server offengelegt.

Erste Schritte

Um Psono Gateway bereitzustellen, aktivieren Sie die Gateway-API auf Ihrem Psono Enterprise Server, erstellen Sie einen Cluster in der Gateway-Verwaltung, konfigurieren Sie den Benutzer- oder Gruppenzugriff und starten Sie eine oder mehrere Gateway-Container dort, wo sie die gewünschten Zielsysteme erreichen können. Anschließend können Nutzer SSH-, RDP- oder VNC-Verbindungseinträge erstellen und diese direkt aus Psono starten.

Die vollständige Anleitung zu Installation, Reverse-Proxy, Firewall, Hochverfügbarkeit und Updates finden Sie in der Psono Gateway Dokumentation.