Introduzione a Psono Gateway

Siamo entusiasti di annunciare il rilascio di Psono Gateway, un nuovo modo per i team di avviare sessioni sicure di SSH, RDP e VNC tramite browser direttamente dalle voci di connessione memorizzate in Psono. Unisce le credenziali segrete e l’accesso remoto in un unico flusso di lavoro controllato, senza che gli utenti debbano copiare le credenziali o esporre direttamente i sistemi target sui loro dispositivi.

Psono Gateway è disponibile da oggi in esclusiva per la Psono Enterprise Edition e richiede una licenza Enterprise Edition valida. Non può essere utilizzato con il server della Community Edition.

Accesso remoto dal gestore di password

Gli amministratori spesso hanno bisogno sia delle credenziali che di uno strumento separato per collegarsi a un server, workstation o altro sistema protetto. Questo genera passaggi aggiuntivi e può spingere gli utenti a copiare le credenziali negli appunti, nei terminali o salvarle localmente nei profili di connessione.

Con Psono Gateway, gli utenti possono aprire una voce di connessione SSH, RDP o VNC e selezionare Avvia. Psono risolve le credenziali consentite, seleziona un Gateway disponibile e apre la sessione in un browser. Lo stesso flusso di lavoro è disponibile sia dal webclient Psono che dall’app Psono.

Psono Gateway si basa su Apache Guacamole, l’affermato gateway desktop remoto senza client. Abbiamo integrato Guacamole con la gestione cifrata delle credenziali di Psono, il suo modello di autorizzazione, i cluster Gateway e i client web e mobile, per offrire un flusso di avvio su misura per gli ambienti Psono.

Caratteristiche principali

• SSH, RDP e VNC nel browser: Collegati a server Linux, sistemi Windows e desktop VNC senza installare un client dedicato per il protocollo sul dispositivo dell’utente.
• Autenticazione flessibile: Usa credenziali memorizzate direttamente in una voce di connessione, fai riferimento a una password applicativa, oppure utilizza una chiave SSH con un nome utente personale.
• Avvio cifrato della sessione: Il client cifra il descrittore della connessione con una nuova chiave di avvio. Il server Psono autorizza e instrada la richiesta senza decriptare le credenziali target.
• Avvii una tantum e a vita breve: Ogni sessione inizia con un codice di avvio temporaneo che viene consumato atomicamente e non può essere riutilizzato.
• Autorizzazione continua: Psono verifica l’accesso all’avvio della sessione e riconsidera regolarmente le sessioni attive, quindi utenti revocati, sessioni, permessi sulle credenziali o accesso al Gateway possono invalidare una connessione.
• Accesso granulare ai Gateway: Gli amministratori possono rendere disponibile un cluster Gateway a tutti oppure limitarlo a utenti e gruppi selezionati.
• Alta disponibilità: Più istanze Gateway possono unirsi a un cluster. Psono seleziona un’istanza attiva per ogni nuovo avvio, e gli utenti possono scegliere tra i cluster se ne sono disponibili diversi.
• Flessibilità di deployment: Il container include l’applicazione web Gateway e un demone guacd embedded per SSH, RDP e VNC. È possibile utilizzare anche un guacd esterno per un isolamento di processo o di rete più stretto.

Come funziona

1. Un utente avvia una connessione SSH, RDP o VNC salvata da Psono. Il client risolve la fonte di autenticazione configurata per la connessione e cifra con una nuova chiave i dettagli minimi necessari.
2. Il Psono Enterprise Server verifica il token dell’utente, l’accesso in lettura alla voce di connessione e l’autorizzazione all’uso del cluster Gateway scelto. Seleziona quindi un’istanza Gateway attiva e restituisce un codice di avvio usa e getta e a breve durata.
3. Il browser dell’utente si collega direttamente al Gateway selezionato tramite HTTPS. Il Gateway scambia atomicamente il codice di avvio e decripta in memoria i dettagli della connessione.
4. Il demone guacd incluso o esterno apre la connessione SSH, RDP o VNC dalla rete del Gateway al sistema target. Il server Psono non avvia mai la connessione verso il Gateway o il target.
5. Finché la sessione rimane attiva, il Gateway interroga periodicamente il server Psono per verificare se l’avvio resta autorizzato. I timeout di inattività e assoluti forniscono ulteriori limiti di sessione.

Questa separazione permette alle organizzazioni di posizionare un Gateway vicino ai sistemi protetti, mentre agli utenti serve solo l’accesso HTTPS a Psono e al Gateway. Le regole firewall possono mantenere privati i servizi SSH, RDP e VNC e consentire al Gateway di raggiungere solo le reti target desiderate.

Progettato per l’accesso Enterprise controllato

I cluster Gateway possono rappresentare diverse sedi, zone di sicurezza o ambienti. Gli amministratori possono assegnare utenti e gruppi ai cluster opportuni, monitorare le istanze Gateway registrate nell’Admin Portal e eseguire più istanze per la disponibilità. Quando gli utenti hanno accesso a più cluster, possono scegliere il percorso corretto e, se desiderano, memorizzare quella scelta per una connessione.

Il login diretto a Psono Gateway non è intenzionalmente disponibile. Ogni sessione deve avere origine da una voce di connessione Psono autorizzata. Le credenziali vengono decriptate solo dal Gateway selezionato per l’avvio e rimangono in memoria per la sessione remota, piuttosto che essere rivelate dal server Psono.

Per iniziare

Per distribuire Psono Gateway, abilita l’API Gateway sul tuo Psono Enterprise Server, crea un cluster nella sezione Gestione Gateway, configurane l’accesso per utenti o gruppi e avvia uno o più container Gateway dove possano raggiungere i sistemi target desiderati. Gli utenti potranno quindi creare voci di connessione SSH, RDP o VNC e avviarle da Psono.

L’installazione completa, le indicazioni su reverse proxy, firewall, alta disponibilità e aggiornamenti sono disponibili nella documentazione di Psono Gateway.