Etäyhteys ilman ohjelmiston asentamista: selainpohjainen Windows-yhteys

Johdanto

Etäyhteys ilman ohjelmiston asentamista on käytännöllinen tavoite hybridityöhön, urakoitsijoille ja BYOD-käyttäjille. Avain ei ole poistaa kaikkia ohjelmistoja arkkitehtuurista; se on asiakaskäytön poistaminen päätepisteeltä. HTML5-etäyhteysportaalin avulla käyttäjät avaavat turvallisen selainistunnon päästäkseen julkaistuihin Windows-sovelluksiin tai työpöytiin.

Mitä etäyhteys ilman ohjelmiston asentamista tarkoittaa?

Etäyhteys ilman ohjelmiston asentamista ei tarkoita, että ohjelmistoa ei olisi missään. Etäyhteys vaatii silti istunnon hallintaa, todennusta, näyttösiirtoa, salausta ja pääsynhallintaa. Todellinen kysymys on, missä tuo ohjelmisto toimii.

Perinteisessä Etätyöpöytäprotokolla (RDP) asennus, jokaisessa päätepisteessä saattaa tarvita natiivin RDP-asiakkaan, VPN-asiakkaan, etätukityökalun tai mukautetun käynnistimen. Tämä malli aiheuttaa kitkaa, kun käyttäjät yhdistävät hallitsemattomista kannettavista tietokoneista, henkilökohtaisista laitteista, tableteista tai lukituista koneista.

Selaimeen perustuvassa mallissa etäyhteyspino on keskitetty. Käyttäjä avaa turvallisen URL-osoitteen, kirjautuu sisään ja käynnistää Windows-sovelluksen tai työpöydän selaimen sisällä. Microsoft Learn kuvaa tämän Etätyöpöytäverkkoklientti tavaksi käyttää järjestelmänvalvojan julkaisemien etäohjelmien ja työpöytien käyttöä yhteensopivalla selaimella.

IT-tiimien käytännön määritelmä on selkeä: käyttäjäpäätepisteelle ei asenneta etäyhteysasiakasta.

Miksi IT-tiimit valitsevat asiakaspalveluvapaan etäyhteyden?

Asiakkaattoman etäyhteyden avulla ratkaistaan enemmän kuin vain käyttäjäystävällisyysongelma. Se vähentää päätelaitteiden riippuvuutta, yksinkertaistaa käyttöönottoa ja antaa järjestelmänvalvojille hallitumman tavan julkaista Windows-resursseja.

Ensimmäinen etu on laitejousto. Käyttäjät voivat yhdistää Windowsista, macOS:stä, Linuxista, ChromeOS:stä tai tableteista, kun selain ja käyttöoikeuspolitiikka ovat tuettuja. Tämä on hyödyllistä urakoitsijoille, ulkoisille kumppaneille, tilapäiselle henkilöstölle ja omien laitteiden käyttöympäristöille.

Toinen etu on alhaisempi tukikuormitus. Natiiviklientit aiheuttavat versioeroja, käyttöjärjestelmän yhteensopivuusongelmia, paikallisia palomuuriongelmia, epäonnistuneita päivityksiä ja konfigurointivirheitä. Selaimen portaali antaa käyttäjille yhden ennakoitavan pääsyn.

Kolmas etu on turvallisuussuunnittelu. Sen sijaan, että hallitsemattomia päätepisteitä sijoitetaan sisäiseen verkkoon laajan VPN-pääsyn kautta, IT-tiimit voivat julkaista vain ne sovellukset tai työpöydät, joita käyttäjät tarvitsevat. NIST SP 800-46 Rev. 2 kehykset etäyhteydelle, etätyölle ja BYOD:lle turvallisuuteen liittyvinä alueina, jotka vaativat määriteltyjä käytäntöjä ja teknisiä hallintakeinoja.

Pääasialliset tavat käyttää Windowsia etänä ilman asiakasohjelmiston asennusta

Useita teknologioita voi vähentää paikallista asennustyötä, mutta ne eivät ratkaise samaa ongelmaa. Oikea vaihtoehto riippuu siitä, tarvitseeko organisaatio hallintoa, tukipalvelua vai toistuvaa pääsyä liiketoimintasovelluksiin.

Menetelmä	Parasta varten	Loppukäyttäjän asennus	Päärajoitus
Natiivi etätyöpöytäyhteys	Hallintapääsy hallinnoiduilta Windows-tietokoneilta	Yleensä ei mitään Windowsissa	Ei ihanteellinen hallitsemattomille päätepisteille tai sovellusten julkaisemiselle
Etätyöpöytäverkkoklientti	Selaimen käyttö RDS-sovelluksiin ja työpöytiin	Ei paikallista RDP-asiakasta	Vaatii RDS-suunnittelua ja infrastruktuuria
Nopea apu	Ad hoc -tukisessiot	Saattaa vaatia Microsoft Store -asennuksen	Ei suunniteltu päivittäiseen sovellusten toimitukseen
Selaimen laajennustyökalut	Henkilökohtainen tai kevyt etäohjaus	Usein vaatii laajennuksen tai isäntäagentin.	Heikko soveltuvuus keskitetylle IT-valvonnalle
HTML5 etäyhteysportti	Liiketoiminnan pääsy Windows-sovelluksiin ja työpöytiin	Ei päätepisteen asiakasasennusta	Vaatii palvelinpuolen portaalin asetuksen

Tämä vertailu osoittaa, miksi "ei latausta" ei riitä. IT-tiimien tulisi arvioida arkkitehtuuri, ei vain käyttäjille näkyvää pääsytapaa.

Natiivi etätyöpöytäyhteys

Windows sisältää natiivin Remote Desktop Connection -asiakasohjelman, jota yleisesti kutsutaan nimellä mstsc.exe. Se on edelleen hyödyllinen järjestelmänvalvojille, sisäisille tukitiimeille ja hallituille Windows-ympäristöille.

Kuitenkin, alkuperäinen RDP ei täysin ratkaise asiakasyhteydettömän pääsyn ongelmaa. Ulkoinen pääsy vaatii usein VPN:n, RD Gatewayn tai palomuurisuunnittelua. Yksittäisten sovellusten julkaiseminen on myös monimutkaisempaa kuin käyttäjille täydellisen työpöydän tarjoaminen.

Natiivi RDP on voimassa oleva hallintatyökalu, mutta se ei ole sama kuin selainpohjainen sovellusten toimitusstrategia. Se toimii parhaiten, kun laitteet, verkot ja käyttäjät ovat jo IT:n hallinnassa.

Etätyöpöytäverkkoklientti

The Etätyöpöytäverkkoklientti siirtää käyttöoikeuskokemuksen selaimeen. Käyttäjät voivat avata portaalin ja käynnistää etäohjelmia tai työpöytiä, jotka ylläpitäjä on julkaissut. Microsoftin asiakirjat toteavat, että asennuksen jälkeen käyttäjät tarvitsevat asiakas-URL-osoitteen, heidän tunnistetietonsa ja tuetun selaimen.

Tämä malli on lähempänä sitä, mitä monet yritykset tarvitsevat. Windows-sovellus tai työpöytä toimii edelleen keskitettyssä infrastruktuurissa, kun taas selain muuttuu pääsylayeriksi.

Kaupan hinta on infrastruktuurin monimutkaisuus. Microsoft Remote Desktop Services -asennukset vaativat edelleen huolellista työtä sertifikaattien, RD Gatewayn, RD Web Accessin, RD Connection Brokerin, lisensoinnin, todennuksen, selainyhteensopivuuden ja istuntoisäntäkapasiteetin ympärillä.

Nopea apu ja etätukityökalut

Quick Assist on rakennettu tukea varten, ei sovellusten toimitusta varten. Microsoft kuvaa Quick Assistia keinona, jolla tukihenkilöstö voi nähdä käyttäjän näytön, merkitä siihen tai pyytää täydellistä hallintaa vianetsintäistunnon aikana.

Se käyttötapaus poikkeaa päivittäisestä pääsystä isännöityihin Windows-sovelluksiin. Quick Assist riippuu avustajasta, käyttäjästä ja interaktiivisesta tukisessiosta. Se ei ole keskitetty portaali liiketoimintasovellusten julkaisemiseen monille käyttäjille.

Microsoftin tukidokumentaatio selittää myös, että Quick Assist saatetaan tarvita asennettavaksi Microsoft Storesta, ja hallitut laitteet saattavat estää tämän asennuksen politiikan vuoksi.

Selaimen laajennus ja kuluttajien etäohjaustyökalut

Jotkut etäohjaustuotteet mainostavat pääsyä ilman latausta, mutta monet nojaavat edelleen selainlaajennuksiin, apuohjelmiin, isäntäagentteihin tai tilipohjaisiin välityspalveluihin. Tämä saattaa olla hyväksyttävää henkilökohtaiseen käyttöön tai satunnaiseen vianetsintään.

Liiketoimintakäyttöön IT-tiimien on saatava vahvempia vastauksia. Järjestelmänvalvojien tulisi varmistaa, voidaanko pääsy peruuttaa keskitetysti, ovatko lokit saatavilla, voidaanko monivaiheista todennusta valvoa ja voidaanko käyttäjiä rajoittaa tiettyihin sovelluksiin täysien koneiden sijaan.

Selaimen laajennus ei ole sama asia kuin HTML5-etäyhteysportti. Jos tavoitteena on vähentää päätelaitteiden käyttöönottoa ja parantaa hallintaa, taustarakenteella on merkitystä.

HTML5 Etäyhteysverkkosivusto

HTML5-etäyhteysverkkosivusto on yleensä paras vaihtoehto liiketoimintasovellusten käyttöön. IT julkaisee Windows-sovelluksia tai koko työpöytiä keskitetystä isännästä, ja käyttäjät yhdistävät turvallisen selainportaalin kautta.

Päätepiste ei tarvitse natiivista RDP-asiakasta. Etäistunto toimitetaan verkkoteknologioiden kautta, kun taas sovellus pysyy isännöitynä palvelinpuolella.

Tämä malli on erityisen hyödyllinen [for] perinteiset Windows-sovellukset jota ei voida kirjoittaa SaaS-sovelluksina. Sen sijaan, että sovellus asennettaisiin jokaiseen päätepisteeseen, IT isännöi sitä keskitetysti ja toimittaa sen selaimen kautta.

Miksi HTML5 Remote Access -portti sopii liiketoimintaan?

HTML5-etäyhteysportti erottaa päätepisteen sovelluksen ajonaikaisesta ympäristöstä. Käyttäjän laite muuttuu näytöksi, näppäimistöksi ja hiiriohjaimeksi, kun taas Windows-työkuorma pysyy IT:n hallinnassa.

Se lähestymistapa antaa järjestelmänvalvojille useita käytännön etuja:

• Keskitetty sovellusten julkaisu
• Selaimeen perustuva pääsy tuetuista laitteista
• Vähentynyt riippuvuus VPN-asiakkaista
• Johdonmukainen pääsy yhden URL-osoitteen kautta
• Helpompi perehdytys urakoitsijoille ja BYOD-käyttäjille
• Keskitetty todennus ja istunnon hallinta
• Vähemmän paikallista vianetsintää hallitsemattomilla päätelaitteilla

Tuloksena on puhtaampi toimintamalli. IT julkaisee resurssin, ei koko sisäistä verkkoa.

Selaimeen perustuvan etäyhteyden turvallisuusvaatimukset

Asiakkaattomalla pääsyllä ei automaattisesti tarkoita turvallista pääsyä. Se vain muuttaa, missä pääsyä hallitaan. IT-tiimien on edelleen varmistettava identiteetti, kuljetus, istunnon altistus ja hallinnollinen valvonta.

Ensinnäkin jokaisen selainportaalin tulisi käyttää HTTPS:ää voimassa olevilla sertifikaateilla. Käyttäjiä ei koskaan tulisi kouluttaa ohittamaan selain turvallisuusvaroituksia, koska tämä käyttäytyminen heikentää luottamuksen mallia.

Toiseksi organisaatioiden tulisi välttää raakamuotoisen RDP:n suoraa altistamista internetille. CISA on varoittanut, että RDP on yleinen ransomware-infektiovektori ja että monivaiheinen todennus on kriittinen haitallisen pääsyn riskin vähentämiseksi.

Kolmanneksi, järjestelmänvalvojien tulisi soveltaa vahvaa todennusta. Tuotantoympäristöissä monivaiheinen todennus, tilin lukituspolitiikat ja vähimmäisoikeudet tulisi olla perusvaatimuksia.

Neljänneksi, IT-tiimien tulisi julkaista vain se, mitä käyttäjät tarvitsevat. Monet käyttäjät tarvitsevat yhden Windows-sovelluksen, eivät koko etätyöpöytää. Sovellusten julkaiseminen voi vähentää altistumista ja tehdä istunnosta helpommin käytettävän.

Lopuksi keskitetyn pääsyn tulisi tuottaa hyödyllisiä lokitietoja. Kirjautumistapahtumat, istuntoaktiivisuus, hallinnolliset muutokset ja epäonnistuneet todennuyritykset tulisi olla näkyvissä tarkastusta ja tutkimusta varten.

Milloin selainpohjainen etäyhteys on oikea valinta?

Selainpohjainen etäkäyttö on vahva vaihtoehto, kun organisaatiot tarvitsevat toistuvaa pääsyä Windows-sovelluksiin ilman ohjelmiston asentamista käyttäjälaitteisiin.

Tyypillisiä käyttötapauksia ovat:

• Rakennusurakoitsijat, jotka tarvitsevat rajoitettua pääsyä sisäisiin sovelluksiin
• BYOD-käyttäjät, jotka eivät saisi asentaa yritysasiakkaita
• Etätyöntekijät, jotka työskentelevät useilla käyttöjärjestelmillä
• Ulkoiset kumppanit, jotka tarvitsevat pääsyn yhteen isännöityyn sovellukseen
• Toimipisteet, joissa on ohut asiakas tai lukitut laitteet
• Perinteiset Windows-sovellukset, jotka tarvitsevat verkkopohjaista toimitusta
• IT-tiimit yrittävät vähentää VPN- ja RDP-asiakastukilippuja

Tämä malli ei ole yhtä sopiva kaikille kuormituksille. Grafiikkaa vaativat sovellukset, edistynyt USB-ohjaus, matalan viiveen multimedia ja syvä paikallisen laitteen integraatio saattavat silti vaatia natiivin asiakasohjelman tai erikoistuneen virtualisointialustan.

IT-tiimien toteutuslista

Ennen selainpohjaisen etäyhteyden käyttöönottoa IT-tiimien tulisi määrittää toimintamalli. Ensimmäinen päätös on, tarvitsevatko käyttäjät täydelliset työpöydät, yksittäiset sovellukset vai molemmat. Sovellusten julkaiseminen on usein turvallisempaa ja helpompaa tukea kuin jokaiselle käyttäjälle täydellisen työpöydän antaminen.

Seuraavaksi määrittele identiteetti ja pääsynhallinta. Vahvista, tulevatko käyttäjät todennukseen Active Directoryn, paikallisten Windows-tilien, kertakirjautumisen, monivaiheisen todennuksen tai jonkin muun identiteettipalveluntarjoajan kautta.

Sitten tarkista verkon altistuminen. Päätä, mihin verkkosivuston portaali sijoitetaan, miten HTTPS päättyy, mitkä portit on avattava ja tarvitaanko käänteistä välityspalvelinta tai portaalikerrosta.

Sovelluksen vahvistaminen on myös tärkeää. Jotkut Windows-sovellukset käyttäytyvät eri tavalla monikäyttäjäistunnoissa, erityisesti jos ne on suunniteltu yksittäiseen työpöytäasennukseen.

Lopuksi, testaa todelliset päätepisteet. Vahvista pääsy Windowsista, macOS:stä, Linuxista, tableteista ja rajoitetuista laitteista, jotka vastaavat käyttäjäympäristöä.

Yleisimmät virheet, joita on syytä välttää

Ensimmäinen virhe on olettaa, että "ei latausta" tarkoittaa "ei infrastruktuuria". Selaimeen perustuva etäyhteys vähentää päätepisteen monimutkaisuutta, mutta palvelinpuolen alustan on silti oltava suojattu, päivitettävä, valvottava ja varmuuskopioitava.

Toinen virhe on käyttää etätukityökaluja sovellusten toimittamiseen. Apupalvelun näyttöjakotyökalu ei ole julkaisualusta liiketoimintasovelluksille.

Kolmas virhe on antaa jokaiselle käyttäjälle täydellinen työpöytä, kun he tarvitsevat vain yhden sovelluksen. Täydelliset työpöydät ovat joskus tarpeen, mutta julkaistut sovellukset voivat vähentää riskiä ja parantaa käytettävyyttä.

Viimeinen virhe on käyttäjämatkan huomioimatta jättäminen. Käyttäjillä on tarve selkeälle portaali-URL:lle, luotettavalle todennukselle, ilmeisille sovelluskuvakkeille ja ennakoitavalle istuntokäyttäytymiselle.

Miten TSplus Remote Access auttaa?

TSplus Etäyhteys on suunniteltu organisaatioille, jotka tarvitsevat selainpohjaista pääsyä Windows-sovelluksiin ja työpöytiin ilman, että täysimittainen etätyöpöytäasiakasohjelma asennetaan jokaiselle käyttäjäpisteelle. Ratkaisumme tarjoaa pääsyn keskitettyihin Windows-sovelluksiin täydellä etätyöpöydällä, ja se tukee HTML5- ja RDP-yhteensopivia asiakkaita.

TSplusin avulla järjestelmänvalvojat voivat julkaista sovelluksia ja määrittää ne tietyille käyttäjille tai ryhmille. TSplusin dokumentaatio kuvaa sovellusten julkaisemista keinona hallita, mihin sovelluksiin käyttäjät voivat päästä ja miten näitä sovelluksia käynnistetään.

PK-yrityksille, MSP:ille ja ketterille IT-tiimeille arvo on toiminnallinen yksinkertaisuus. Käyttäjät pääsevät turvalliseen verkkoportaaliin, käynnistävät heille määritellyt sovellukset ja työskentelevät selaimesta, kun taas IT pitää Windows-sovellukset keskitettyinä.

Päätelmä

Etäyhteys ilman ohjelmiston asentamista ymmärretään parhaiten siten, että ei ole päätepisteen asiakassovelluksen käyttöönottoa, ei ohjelmistovapaata infrastruktuuria. Liiketoimintaympäristöissä käytännöllinen ratkaisu on HTML5-etäyhteysportti, joka mahdollistaa käyttäjien pääsyn julkaistuihin Windows-sovelluksiin tai täydellisiin työpöytiin selaimen kautta, samalla kun IT keskittää todennuksen, sovellusten julkaisemisen, istunnon hallinnan ja turvallisuuspolitiikan.