Introductie van Psono Gateway

We zijn verheugd om de release van Psono Gateway aan te kondigen, een nieuwe manier voor teams om veilige, browsergebaseerde SSH-, RDP- en VNC-sessies te starten, rechtstreeks vanuit verbindingsvermeldingen die in Psono zijn opgeslagen. Het brengt geheimen en externe toegang samen in één gecontroleerde workflow, zonder dat gebruikers referenties hoeven te kopiëren of doelapparaten direct aan hun eigen apparaten hoeven bloot te stellen.

Psono Gateway is vanaf vandaag exclusief beschikbaar voor Psono Enterprise Edition en vereist een geldige Enterprise Edition-licentie. Het kan niet worden gebruikt met de Community Edition-server.

Externe Toegang vanuit de Wachtwoordmanager

Beheerders hebben vaak zowel inloggegevens als een afzonderlijke tool nodig om verbinding te maken met een server, werkstation of ander beschermd systeem. Dat zorgt voor extra stappen en kan ertoe leiden dat inloggegevens worden gekopieerd naar klemborden, terminals of lokaal opgeslagen verbindingsprofielen.

Met Psono Gateway kunnen gebruikers een SSH-, RDP- of VNC-verbindinsvermelding openen en Starten selecteren. Psono haalt automatisch de toegestane inloggegevens op, kiest een beschikbare Gateway en opent de sessie in een browser. Dezezelfde workflow is beschikbaar via zowel de Psono webclient als de Psono app.

Psono Gateway is gebaseerd op Apache Guacamole, de gevestigde clientloze remote desktop gateway. We hebben Guacamole geïntegreerd met Psono’s versleutelde geheime opslag, autorisatiemodel, Gateway-clusters en web- en mobiele clients, om een speciaal op Psono-omgevingen afgestemde startprocedure te leveren.

Belangrijkste Functies

• SSH, RDP en VNC in de browser: Verbind met Linux-servers, Windows-systemen en VNC-desktops zonder dat er een aparte protocolclient op het apparaat van de gebruiker geïnstalleerd hoeft te worden.
• Flexibele authenticatie: Gebruik referenties die direct in een verbindingsvermelding zijn opgeslagen, verwijs naar een Applicatiewachtwoord, of gebruik een SSH-sleutel met een persoonlijke gebruikersnaam.
• Versleutelde startoverdracht: De client versleutelt de verbindingsinstellingen met een nieuwe start-sleutel. De Psono-server autoriseert en routeert het verzoek zonder de doelreferenties te ontsleutelen.
• Kortdurende, eenmalige sessies: Elke sessie start met een tijdelijke startcode die éénmalig en atomair wordt geconsumeerd en niet opnieuw kan worden gebruikt.
• Continue autorisatie: Psono controleert de toegang wanneer de sessie start en valideert actieve sessies regelmatig opnieuw. Ontnomen gebruikers, sessies, geheime rechten of Gateway-toegang kunnen hierdoor een verbinding ongeldig maken.
• Granulaire Gateway-toegang: Beheerders kunnen een Gateway-cluster beschikbaar maken voor iedereen of juist beperken tot geselecteerde gebruikers en groepen.
• Hoge beschikbaarheid: Meerdere Gateway-instanties kunnen onderdeel zijn van een cluster. Psono selecteert een actieve instantie voor elk nieuw startverzoek en gebruikers kunnen kiezen tussen clusters als er meer dan één beschikbaar is.
• Flexibele implementatie: De container bevat de Gateway-webapplicatie en een ingebouwde guacd-daemon voor SSH, RDP en VNC. Een externe guacd kan worden gebruikt wanneer sterkere proces- of netwerkisolatie gewenst is.

Hoe Werkt Het

1. Een gebruiker start een opgeslagen SSH-, RDP- of VNC-verbinding vanuit Psono. De client achterhaalt de ingestelde authenticatiebron voor de verbinding en versleutelt de minimaal benodigde verbindingsgegevens met een nieuwe sleutel.
2. De Psono Enterprise Server verifieert het token van de gebruiker, leesrechten op de verbindingsvermelding en de permissie om het geselecteerde Gateway-cluster te gebruiken. Vervolgens kiest het een actieve Gateway-instantie en retourneert een kortlevende eenmalige startcode.
3. De browser van de gebruiker maakt rechtstreeks verbinding met de geselecteerde Gateway via HTTPS. De Gateway wisselt de startcode atomair uit en ontsleutelt de verbindingsgegevens in het geheugen.
4. De ingebouwde of externe guacd-daemon opent de SSH-, RDP- of VNC-verbinding van het netwerk van de Gateway naar het doelsysteem. De Psono-server initieert nooit een verbinding met de Gateway of het doel.
5. Zolang de sessie actief is, controleert de Gateway regelmatig bij de Psono-server of de sessie nog is toegestaan. Time-outs voor inactiviteit en maximale sessieduur zorgen voor extra grenzen.

Deze scheiding maakt het mogelijk dat organisaties de Gateway dicht bij beschermde systemen plaatsen, terwijl gebruikers slechts HTTPS-toegang tot Psono en de Gateway nodig hebben. Firewallregels kunnen SSH-, RDP- en VNC-diensten afschermen en alleen de Gateway toestaan om de bedoelde doelnetwerken te bereiken.

Ontworpen voor Gecontroleerde Enterprise-toegang

Gateway-clusters kunnen verschillende locaties, beveiligingszones of omgevingen vertegenwoordigen. Beheerders kunnen gebruikers en groepen aan de juiste clusters toewijzen, geregistreerde Gateway-instanties monitoren in het Admin Portal, en meerdere instanties draaien voor beschikbaarheid. Wanneer gebruikers toegang hebben tot meerdere clusters, kunnen zij de juiste route kiezen en die keuze desgewenst onthouden voor een verbinding.

Direct aanmelden bij Psono Gateway is bewust niet mogelijk. Elke sessie moet starten vanuit een geautoriseerde Psono-verbindingsvermelding. Referenties worden uitsluitend door de geselecteerde Gateway voor de start ontsleuteld en alleen in het geheugen bewaard voor de externe sessie—ze worden dus niet door de Psono-server vrijgegeven.

Aan de Slag

Om Psono Gateway te implementeren, activeert u de Gateway API op uw Psono Enterprise Server, maakt u een cluster aan in Gateway Management, configureert u de toegang voor gebruikers of groepen, en start u een of meer Gateway-containers op locaties waar ze de bedoelde doelsystemen kunnen bereiken. Gebruikers kunnen dan SSH-, RDP- of VNC-verbindingsvermeldingen aanmaken en deze vanuit Psono starten.

De volledige installatiehandleiding, instructies voor reverse proxies, firewalls, hoge beschikbaarheid, en updates zijn te vinden in de Psono Gateway documentatie.