Представляємо Psono Gateway

Ми раді анонсувати випуск Psono Gateway — нового способу для команд запускати безпечні SSH, RDP та VNC сесії безпосередньо з підключень, які зберігаються у Psono, прямо у браузері. Це поєднує секрети та віддалений доступ в єдиний керований робочий процес, без необхідності копіювати облікові дані чи відкривати цільові системи напряму на пристроях користувачів.

Psono Gateway вже сьогодні доступний виключно для Psono Enterprise Edition та вимагає дійсної ліцензії Enterprise Edition. Його не можна використовувати з сервером Community Edition.

Віддалений доступ із менеджера паролей

Адміністратори часто одночасно потребують і облікові дані, і окремий інструмент для підключення до сервера, робочої станції чи іншої захищеної системи. Це створює зайві кроки та може спонукати копіювати облікові дані у буфер обміну, термінали або локальні профілі з’єднань.

З Psono Gateway користувачі можуть відкрити запис з’єднання SSH, RDP або VNC і вибрати Запустити. Psono визначає дозволені облікові дані, обирає доступний шлюз (Gateway) і відкриває сесію у браузері. Такий самий робочий процес доступний як у вебклієнті Psono, так і у додатку Psono.

Psono Gateway побудовано на базі Apache Guacamole — відомого безклієнтського шлюзу для віддалених робочих столів. Ми інтегрували Guacamole з шифруванням секретів Psono, нашою моделлю авторизації, кластерами Gateway та веб-та мобільними клієнтами, щоб забезпечити спеціалізований процес запуску для середовищ Psono.

Основні можливості

• SSH, RDP та VNC у браузері: Підключення до серверів Linux, систем Windows і VNC-робочих столів без встановлення спеціального клієнта для протоколу на пристрої користувача.
• Гнучка автентифікація: Використання облікових даних, що збережені безпосередньо у записі з’єднання, або посилання на Application Password чи SSH-ключ із персональним іменем користувача.
• Зашифрована передача запуску: Клієнт шифрує опис підключення новим ключем запуску. Сервер Psono авторизує та маршрутизує запит, не розшифровуючи цільові облікові дані.
• Короткоживучі, одноразові запуски: Кожна сесія починається з тимчасового коду запуску, який використовується лише раз і не може бути повторно використаний.
• Безперервна авторизація: Psono перевіряє доступність на початку сесії і регулярно перевіряє активні запуски, тому вилучені користувачі, сесії, права на секрети чи доступ до Gateway можуть моментально призупинити підключення.
• Гнучкий доступ до Gateway: Адміністратори можуть надати доступ до кластера Gateway для всіх або обмежити його для вибраних користувачів та груп.
• Висока доступність: Декілька інстанцій Gateway можуть приєднуватись до кластера. Psono обирає активний екземпляр для кожного нового запуску, а користувачі можуть вибирати кластер, якщо їх декілька.
• Гнучкість розгортання: Контейнер містить вебзастосунок Gateway і вбудований демон guacd для SSH, RDP та VNC. За потреби для кращої ізоляції можна використовувати зовнішній guacd.

Як це працює

1. Користувач запускає збережене SSH, RDP чи VNC-з’єднання із Psono. Клієнт визначає налаштоване джерело автентифікації з’єднання та шифрує мінімально необхідні дані новим ключем.
2. Сервер Psono Enterprise перевіряє токен користувача, право доступу до запису з’єднання й дозвіл на використання вибраного кластера Gateway. Після цього обирається активний екземпляр Gateway і повертається короткочасний одноразовий код запуску.
3. Браузер користувача напряму підключається до вибраного Gateway через HTTPS. Gateway обмінюється кодом запуску атомарно і розшифровує деталі підключення у пам’яті.
4. Вбудований або зовнішній демон guacd відкриває SSH, RDP або VNC-з’єднання з мережі Gateway до цільової системи. Сервер Psono ніколи не ініціює підключення до Gateway або цільового сервера.
5. Поки сесія активна, Gateway регулярно запитує сервер Psono, чи залишився запуск авторизованим. Часові та абсолютні тайм-аути встановлюють додаткові обмеження сесії.

Таке розмежування дозволяє організаціям розташовувати Gateway поруч із захищеними системами, а користувачам потрібен тільки HTTPS-доступ до Psono і Gateway. Брандмауер може залишати SSH, RDP та VNC-служби закритими, надаючи доступ Gateway лише до необхідних цільових мереж.

Створено для контрольованого доступу в організаціях

Кластери Gateway можуть відображати різні локації, зони безпеки чи середовища. Адміністратори можуть призначати користувачам і групам відповідні кластери, моніторити зареєстровані інстанції Gateway у Адмін-порталі, запускати кілька екземплярів для забезпечення доступності. Якщо у користувача доступ до декількох кластерів, він може обрати потрібний маршрут і за бажанням зберегти цей вибір для підключення.

Прямий вхід у Psono Gateway навмисно відсутній. Кожна сесія повинна стартувати з авторизованого запису підключення у Psono. Облікові дані розшифровуються лише обраним Gateway для запуску і зберігаються у пам’яті лише на час віддаленої сесії, а не видаються сервером Psono.

Як почати

Щоб розгорнути Psono Gateway, увімкніть Gateway API на вашому сервері Psono Enterprise, створіть кластер у розділі Gateway Management, налаштуйте права доступу користувачам чи групам і розгорніть одну чи більше контейнерних інстанцій Gateway у мережі, з якої вони мають доступ до цільових систем. Після цього користувачі можуть створювати записи для SSH, RDP чи VNC і запускати їх із Psono.

Повна інформація щодо інсталяції, реверс-проксі, налаштування брандмауеру, сценаріїв високої доступності та оновлень доступна у документації Psono Gateway.