Внешний доступ
Чтобы пользователи могли подключаться к терминальным серверам вне внутренней сети, необходимо задать отдельный (внешний) адрес брокера и настроить SSH или TLS шлюзы. После настроек внешних подключений:
-
внешние пользователи будут проходить через отдельный балансировщик, расположенный в демилитаризованной зоне (DMZ);
-
внешние пользователи будут использовать шлюз, расположенный в DMZ, для подключения к терминальным серверам;
-
прочие пользователи будут проходить через балансировщик во внутренней сети;
-
прочие пользователи смогут подключаться к терминальным серверам напрямую, без шлюза.
На вкладке Внешний доступ можно:
-
Посмотреть общее количество шлюзов.
-
Посмотреть информацию о настройках внешнего доступа, если он включен:
-
Адрес брокера — адрес внешнего доступа
-
Время жизни сертификата (сек.) — время жизни сертификата, который используется для авторизации на шлюзе.
Рекомендуемое значение для времени жизни сертификата — 300 секунд.
-
Тип шлюза — тип шлюзов, используемый в данный момент.
-
-
Обновить список шлюзов, нажав
. -
Настроить видимость столбцов, нажав
.
Настройка внешнего подключения
Чтобы настроить внешнее подключение:
|
После включения настроек, изменения адреса или сертификатов сервисы брокера будут перезагружены, и он будет недоступен в течение не более 5 минут. |
-
На портале администрирования в левом меню выберите раздел Настройки.
-
Перейдите на вкладку Внешний доступ и нажмите Настройки.
-
Чтобы настроить внешнее подключение, активируйте опцию Включить.
-
Заполните блок Настройки внешнего балансировщика:
-
В параметре Общедоступный адрес укажите FQDN брокера. Он должен отличаться от FQDN брокера, который был указан при развертывании брокера или при изменении настроек HTTPS.
-
Загрузите сертификат, выданный для указанного FQDN. Сертификат потребуется только в том случае, если вы включаете эти настройки или меняете внешний адрес брокера. Если меняются только настройки шлюзов, то сертификат не нужен.
-
Загрузите закрытый ключ, выданный для указанного FQDN.
-
-
В блоке Настройки шлюзов удаленного доступа:
-
В параметре Время жизни сертификата (сек.) задайте срок действия временного сертификата.
-
В параметре Тип шлюза выберите шлюз SSH или TLS.
-
-
Нажмите Сохранить.
|
Добавление шлюза
Для добавления нового шлюза удаленного доступа:
-
На портале администрирования в левом меню выберите раздел Настройки.
-
Перейдите на вкладку Внешний доступ и нажмите Новый шлюз.
-
Задайте параметры:
-
(Опционально) Адрес — укажите FQDN-имя шлюза;
-
FQDN-имя, указанное в шлюзе удаленного доступа, должен транслироваться:
-
во внешний (белый) FQDN-имя — при обращении внешних пользователей (через интернет);
-
во внутренний (серый) FQDN-имя — при обращении брокер-серверов из внутренней сети.
-
-
Поле Порт доступно при выборе значения SSH в поле Тип шлюза.
-
Поле Описание доступно при выборе значения TLS в поле Тип шлюза.
-
-
(Опционально) Порт — по умолчанию TCP-порт 22.
-
(Опционально) Описание — добавьте описание TLS шлюза.
-
Тип шлюза — выберите шлюз SSH или TLS.
-
-
Нажмите Сохранить.
Шлюз удаленного доступа появится в списке.
Скачивание корневого сертификата
|
Доступно только для SSH-шлюзов. |
При запуске терминальной сессии брокер создает временный сертификат и закрытый ключ. Когда десктоп-клиент подключается к шлюзу удаленного доступа, он использует сертификат и закрытый ключ, предоставленные брокером. Срок действия временного сертификата можно задать в настройках внешнего подключения.
Аутентификация на SSH-шлюзе выполняется по сертификату, что повышает безопасность системы и снижает вероятность атак злоумышленников.
Чтобы скачать корневой сертификат и установить его на шлюзе:
-
На портале администрирования в разделе Настройки в левом меню выберите раздел Настройки.
-
Перейдите на вкладку Внешний доступ.
-
Нажмите
. -
Нажмите Скачать корневой сертификат.
-
Пропишите корневой сертификат на этапе установки шлюза удаленного доступа.
После успешной настройки шлюза на аутентификацию по сертификату десктоп-клиент подключится к серверу через этот шлюз.
Если сертификат устареет или окажется скомпрометированным, создайте новый:
-
На портале администрирования в разделе Настройки в левом меню выберите раздел Настройки.
-
Перейдите на вкладку Внешний доступ.
-
Нажмите
. -
Нажмите Генерация нового сертификата.
Выключение шлюза
Перед выключением шлюза на нем должны быть завершены все сессии. Выполните следующие действия:
-
На портале администрирования в левом меню выберите раздел Настройки.
-
Перейдите на вкладку Внешний доступ.
-
Наведите курсор на нужный шлюз и нажмите
. -
Нажмите Да.
После выключения шлюза доступ к серверу для всех будет будет неограничен, и его статус изменится на «Выключен».
Перевод шлюза в режим обслуживания
Когда шлюз находится на обслуживании, можно проводить на нем плановые работы. Чтобы перевести шлюз в режим обслуживания:
-
На портале администрирования в левом меню выберите раздел Настройки.
-
Перейдите на вкладку Внешний доступ.
-
Наведите курсор на нужный шлюз и нажмите
. -
Нажмите Да.
Статус шлюза изменится на «На обслуживании». При включении статуса «На обслуживании» шлюз со стороны системы Termit будет недоступен.
Включение шлюза
Чтобы включить шлюз:
-
На портале администрирования в левом меню выберите раздел Настройки.
-
Перейдите на вкладку Внешний доступ.
-
Наведите курсор на нужный источник виртуализации и нажмите
. -
Нажмите Да.
При включении шлюз будет доступен, доступ внешних пользователей будет ограничен, и его статус изменится на «Включен».
Удаление шлюза
Чтобы удалить шлюз:
-
На портале администрирования в левом меню выберите раздел Настройки.
-
Перейдите на вкладку Внешний доступ.
-
Наведите курсор на шлюз и нажмите
. -
Нажмите Удалить.
-
Нажмите Да.
После удаления шлюза внешние пользователи не смогут запустить сессию, но при этом могут подключиться к брокеру и запустить десктоп клиент.