Wprowadzenie do Psono Gateway

Z radością ogłaszamy wydanie Psono Gateway – nowego sposobu dla zespołów na uruchamianie bezpiecznych sesji SSH, RDP i VNC przez przeglądarkę, bezpośrednio z wpisów połączeń przechowywanych w Psono. Rozwiązanie to łączy tajne dane i zdalny dostęp w jednym kontrolowanym przepływie pracy, nie wymagając od użytkowników kopiowania poświadczeń ani bezpośredniego wystawiania systemów docelowych na ich urządzenia.

Psono Gateway jest dostępny już dziś wyłącznie dla Psono Enterprise Edition i wymaga ważnej licencji Enterprise Edition. Nie można go używać z serwerem Community Edition.

Zdalny dostęp z menedżera haseł

Administratorzy często potrzebują zarówno poświadczenia, jak i osobnego narzędzia do połączenia się z serwerem, stacją roboczą lub innym chronionym systemem. Tworzy to dodatkowe kroki i może zachęcać do kopiowania poświadczeń do schowka, terminali lub lokalnie zapisanych profili połączeń.

Dzięki Psono Gateway użytkownicy mogą otworzyć wpis połączenia SSH, RDP lub VNC i wybrać Uruchom. Psono rozwiązuje dozwolone poświadczenia, wybiera dostępny Gateway i otwiera sesję w przeglądarce. Ten sam przepływ pracy dostępny jest zarówno z poziomu klienta internetowego Psono, jak i aplikacji Psono.

Psono Gateway oparty jest na Apache Guacamole – sprawdzonym kliencie gateway dla zdalnych pulpitów bez potrzeby instalacji po stronie klienta. Zintegrowaliśmy Guacamole z szyfrowanym zarządzaniem tajnymi danymi w Psono, modelem uprawnień, klastrami Gateway oraz klientami webowymi i mobilnymi, aby zapewnić dedykowany przepływ uruchamiania sesji w środowiskach Psono.

Kluczowe funkcje

• SSH, RDP i VNC w przeglądarce: Połącz się z serwerami linuksowymi, systemami Windows i pulpitami VNC bez instalowania dedykowanego klienta protokołu na urządzeniu użytkownika.
• Elastyczne uwierzytelnianie: Użyj poświadczeń zapisanych bezpośrednio we wpisie połączenia, odwołaj się do Hasła Aplikacji lub użyj Klucza SSH z osobistą nazwą użytkownika.
• Szyfrowane przekazanie uruchomienia: Klient szyfruje deskryptor połączenia nowym kluczem startowym. Serwer Psono autoryzuje i przekazuje żądanie bez odszyfrowywania docelowych poświadczeń.
• Jednorazowe, krótkotrwałe uruchomienia: Każda sesja zaczyna się tymczasowym kodem startowym, który jest zużywany atomowo i nie może być ponownie wykorzystany.
• Ciągła autoryzacja: Psono sprawdza dostęp przy rozpoczęciu sesji i regularnie weryfikuje uruchomione sesje, więc cofnięcie uprawnień użytkowników, sesji, dostępów do tajnych danych lub samego Gateway może unieważnić połączenie.
• Granularny dostęp do Gateway: Administratorzy mogą udostępnić klaster Gateway wszystkim lub ograniczyć go do wybranych użytkowników i grup.
• Wysoka dostępność: Wiele instancji Gateway może wejść do klastra. Psono wybiera aktywną instancję dla każdego nowego uruchomienia, a użytkownicy mogą wybrać odpowiedni klaster, jeśli dostępnych jest kilka.
• Elastyczność wdrożenia: Kontener zawiera aplikację webową Gateway oraz wbudowany demona guacd dla SSH, RDP i VNC. Można użyć zewnętrznego guacd (w przypadku potrzeby silniejszej izolacji procesu lub sieci).

Jak to działa

1. Użytkownik uruchamia zapisane połączenie SSH, RDP lub VNC z Psono. Klient rozwiązuje skonfigurowane dla połączenia źródło uwierzytelniania i szyfruje niezbędne dane połączenia nowym kluczem.
2. Serwer Psono Enterprise weryfikuje token użytkownika, dostęp do odczytu wpisu połączenia oraz uprawnienia do użycia wybranego klastra Gateway. Następnie wybiera aktywną instancję Gateway i zwraca krótko ważny, jednorazowy kod startowy.
3. Przeglądarka użytkownika łączy się bezpośrednio z wybranym Gateway przez HTTPS. Gateway wymienia kod startowy atomowo i odszyfrowuje dane połączenia w pamięci.
4. Wbudowany lub zewnętrzny demon guacd otwiera połączenie SSH, RDP lub VNC z sieci Gateway do docelowego systemu. Serwer Psono nigdy nie inicjuje połączenia ani z Gateway, ani z systemem docelowym.
5. Podczas aktywnej sesji Gateway regularnie pyta serwer Psono, czy uruchomienie pozostaje autoryzowane. Bezczynność oraz całkowity czas połączenia są dodatkowym ograniczeniem sesji.

Takie rozdzielenie pozwala organizacjom umieścić Gateway blisko chronionych systemów, podczas gdy użytkownicy potrzebują jedynie dostępu HTTPS do Psono i Gateway. Zasady zapory sieciowej mogą utrzymać usługi SSH, RDP i VNC jako prywatne oraz pozwalać Gateway na dotarcie wyłącznie do zamierzonych sieci docelowych.

Stworzony do kontrolowanego dostępu w firmach

Klastry Gateway mogą reprezentować różne lokalizacje, strefy bezpieczeństwa lub środowiska. Administratorzy mogą przypisywać użytkowników i grupy do odpowiednich klastrów, monitorować zarejestrowane instancje Gateway w Portalu Administratora i uruchamiać wiele instancji dla zapewnienia dostępności. Jeśli użytkownicy mają dostęp do kilku klastrów, mogą wybrać odpowiednią trasę i opcjonalnie zapamiętać ten wybór dla danego połączenia.

Bezpośrednie logowanie do Psono Gateway jest celowo niedostępne. Każda sesja musi pochodzić z autoryzowanego wpisu połączenia Psono. Poświadczenia odszyfrowuje wyłącznie wybrany Gateway na czas uruchomienia i są one przechowywane w pamięci na czas sesji zdalnej, zamiast być ujawnione przez serwer Psono.

Jak zacząć

Aby wdrożyć Psono Gateway, włącz interfejs Gateway API na swoim Psono Enterprise Server, utwórz klaster w sekcji Zarządzanie Gateway, skonfiguruj dostęp dla użytkowników lub grup oraz uruchom jeden lub więcej kontenerów Gateway tam, gdzie mogą one osiągnąć zamierzone systemy docelowe. Następnie użytkownicy mogą tworzyć wpisy połączeń SSH, RDP lub VNC i uruchamiać je z Psono.

Pełne instrukcje instalacji, reverse proxy, konfiguracji zapory sieciowej, wysokiej dostępności i aktualizacji dostępne są w dokumentacji Psono Gateway.