Агентный удаленный доступ: архитектура, преимущества, ограничения и альтернативы на основе браузера

Безагентный удаленный доступ может снизить трение на конечных устройствах, особенно когда пользователи подключаются с неуправляемых ноутбуков, планшетов, устройств подрядчиков или заблокированных рабочих станций. Тем не менее, командам ИТ все еще необходимо понимать, где работает шлюз, что может и не может делать браузерный доступ, а также когда VPN, RD Gateway, ZTNA или VDI подходят лучше.

Для ИТ-администраторов SMB, MSP и системных администраторов цель заключается не просто в том, чтобы избежать установок. Задача состоит в том, чтобы предоставить безопасный, управляемый и экономически эффективный удаленный доступ без создания скрытого операционного риска.

Что такое безагентский удаленный доступ?

Определение:

Безагентный удаленный доступ — это модель удаленного подключения, при которой пользователю или управляемой конечной точке не требуется добавлять постоянный программный агент для каждой сессии доступа. На практике этот термин используется различными способами поставщиками, поэтому ИТ-команды должны уточнить, к чему именно относится безагентный доступ, прежде чем выбирать платформу.

Агент без агента:

• Некоторые продукты используют "безагентный" для обозначения того, что устройству конечного пользователя нужен только браузер.
• Другие используют это, чтобы обозначить, что целевой сервер или рабочая станция не нуждаются в локально установленном агенте.
• Третья категория относится к инструментам мониторинга или обнаружения, которые запрашивают системы через стандартные протоколы, а не через установленные сборщики.

Удаленный доступ к рабочим столам и приложениям:

Для удаленного рабочего стола и доставки приложений наиболее полезное определение - практическое:

агентное удаленное программное обеспечение снижает или устраняет установку на стороне клиента, централизуя стек доступа на шлюзе, портале или сервере.

Безагентный, безклиентский, основанный на браузере: ключевые различия

Это связано, но не идентично.

Агентный удаленный доступ:

Безагентный удаленный доступ обычно означает, что на одной стороне соединения не требуется постоянный агент.

Безклиентский удаленный доступ:

Безклиентский удаленный доступ означает, что пользователю не нужен родной клиент, плагин или расширение.

Удаленный доступ через браузер:

Доступ к удаленному рабочему столу на основе браузера означает, что сеанс предоставляется через веб-браузер, часто используя HTML5 .

Пример:

Веб-шлюз удаленного рабочего стола на основе браузера является распространенным примером. Пользователь открывает защищенный URL, проходит аутентификацию, выбирает приложение или рабочий стол и начинает сеанс внутри браузера. Шлюз обрабатывает перевод протоколов, поток аутентификации и маршрутизацию сеансов за кулисами.

Почему этот термин важен для IT-руководителей?

Терминология имеет значение, потому что «без установки» не означает «без инфраструктуры». Сервис удаленного доступа на основе браузера все равно требует аутентификации, шифрования, сопоставления идентичности, брокерства сессий, политик доступа, ведения журналов и обслуживания на стороне сервера.

Это различие особенно важно для администрирования систем или для малых и средних предприятий (SMB) и поставщиков управляемых услуг (MSP). Инструмент, который выглядит простым для одного пользователя, может стать сложным для обеспечения безопасности в больших масштабах, если ему не хватает доступа на основе групп, конфигурации сеансов, многофакторной аутентификации, ограничений по IP, журналов аудита, мониторинга серверов...

Лучший вопрос, следовательно, не "Является ли это безагентным?". Лучше спросить: "Где находится контроль доступа и как ИТ будет его защищать, контролировать и поддерживать?"

Как работает безагентский удаленный доступ?

Безагентский удаленный доступ обычно полагается на центральную точку доступа между пользователем и внутренним ресурсом. Эта точка доступа может быть веб-порталом, HTML5 шлюзом удаленного рабочего стола, шлюзом RD, брокером ZTNA, концентратором VPN или реле удаленной поддержки.

• Пользователь аутентифицируется на уровне доступа.
• Слой доступа проверяет личность, политику и разрешения на ресурсы.
• Затем он подключает пользователя к удаленному приложению, полному рабочему столу, консоли сервера или сеансу поддержки.

Этот дизайн снижает зависимость от конфигурации устройства пользователя, но увеличивает важность укрепления шлюза и безопасности сервера. Если шлюз открыт для Интернета, его необходимо рассматривать как критически важный компонент производства.

Удаленный доступ через браузер

Доступ к удаленному рабочему столу на основе браузера является одной из самых распространенных форм доступа без агента для конечных пользователей. Браузер становится пользовательским интерфейсом, в то время как шлюз взаимодействует с удаленными хостами, используя такие протоколы, как протокол удаленного рабочего стола (RDP), виртуальная сеть (VNC) или защищенная оболочка (SSH).

Майкрософт Веб-клиент удаленного рабочего стола позволяет пользователям получать доступ к удаленным приложениям и рабочим столам, опубликованным администратором, из совместимого браузера. Microsoft также отмечает, что пользователям нужен поддерживаемый браузер и URL, предоставленный администратором.

Другой пример - это как Apache Guacamole описывает себя как безклиентский шлюз удаленного рабочего стола, который поддерживает стандартные протоколы, такие как RDP, VNC и SSH, без необходимости в плагинах или клиентском программном обеспечении после установки шлюза.

Для ИТ-команд архитектурный шаблон ясен: браузер является только фронтэндом. Стек удаленного доступа по-прежнему работает на серверах, шлюзах и системах идентификации.

RDP, RD Gateway и VPN в контексте

RDP

Протокол удаленного рабочего стола обычно используется для доставки рабочих столов и приложений Windows. В безопасной архитектуре RDP не следует напрямую выставлять в Интернет. Вместо этого ИТ-команды должны разместить контролируемый уровень доступа перед внутренними ресурсами.

RD Gateway

RD Gateway является ролью шлюза Microsoft для маршрутизации RDP-трафика от внешних пользователей к внутренним ресурсам Windows. Он позволяет удаленным пользователям подключаться через HTTPS, а не открывать прямой доступ RDP к каждому хосту.

VPN

Виртуальная частная сеть, или VPN, использует туннелирование и шифрование для расширения доступа к частной сети через публичную сеть. VPN остаются полезными для доступа на уровне сети, но они часто предоставляют более широкую связь, чем пользователю необходимо для одного приложения или рабочего стола.

Инструменты для цели

Безагентный доступ и доступ через VPN, таким образом, решают разные задачи: публикация конкретных ресурсов против расширения охвата сети. RD Gateway безопасно управляет RDP. Инструменты ZTNA обеспечивают доступ на уровне приложений на основе идентичности и контекста.

Где находится шлюз

В модели на основе браузера шлюз должен находиться между внешними пользователями и внутренними хостами сеансов. Внешние пользователи подключаются к шлюзу через HTTPS. Затем шлюз подключается к внутренним рабочим столам, приложениям или серверам через одобренные внутренние протоколы.

Это размещение помогает уменьшить прямое воздействие удаленных хостов . Это также дает ИТ одно место для обеспечения аутентификации, политики сертификатов, правил доступа и ведения журнала.

Однако шлюз становится объектом высокого риска. ИТ-команды должны защищать его с помощью надежной аутентификации, сертификатов TLS, управления обновлениями, ограниченного административного доступа, геоблокировки, где это уместно, и мониторинга.

Каковы основные преимущества безагентского удаленного доступа?

Безагентный удаленный доступ привлекателен, потому что он снижает трение для пользователей и ИТ-администраторов. Преимущества наиболее выражены, когда сценарий доступа четко определен, например, опубликованные бизнес-приложения, доступ подрядчиков, случайная удаленная работа или рабочие процессы поддержки.

Меньше трения на уровне конечных точек

Наиболее заметным преимуществом является упрощенное внедрение. Пользователям не нужно устанавливать полный клиент удаленного рабочего стола, клиент VPN или пользовательский загрузчик перед подключением. Это полезно для подрядчиков, внешних бухгалтеров, временного персонала, студентов, работников на местах и пользователей BYOD.

Для ИТ-команд меньшее количество зависимостей от конечных устройств должно означать меньшее количество запросов на поддержку. Доступ через браузер также помогает, когда пользователи работают с устройствами, на которых они не могут установить программное обеспечение, такими как заблокированные корпоративные ноутбуки или общие рабочие станции.

Это не устраняет все риски конечных точек. Браузер, состояние устройства и идентичность пользователя по-прежнему имеют значение. Однако это может снизить операционную нагрузку по поддержанию множества клиентских конфигураций.

Быстрый доступ для подрядчиков и пользователей BYOD

Безагентский удаленный доступ особенно полезен для доступа третьих лиц.

Доступ на основе необходимости и использования

Внешние пользователи часто нуждаются в ограниченном доступе к конкретному приложению, серверу или сеансу поддержки. По умолчанию им не следует предоставлять широкий доступ к сети. Для менеджеров гибридной работы та же логика применяется к сотрудникам, которым нужен периодический доступ к централизованным приложениям Windows.

Добро пожаловать, адаптивность

Портал браузера может публиковать только ресурсы, необходимые для роли пользователя.

Доступ может быть отозван централизованно, когда контракт заканчивается или случай поддержки закрывается.

Наконец, a веб-браузерный опыт может быть проще в поддержке, чем полное развертывание VPN и клиентского приложения.

Централизованный контроль доступа

Безагентное удаленное программное обеспечение может упростить контроль доступа, когда оно разработано вокруг центрального портала. ИТ-команды могут назначать приложения, рабочие столы и разрешения по пользователю или группе. Они также могут применять политики для аутентификации, рабочего времени, IP-адресов или стран.

Централизация важна для MSP, управляющих несколькими клиентскими средами. Последовательный шаблон доступа снижает вариативность и упрощает документацию.

Это также поддерживает более тщательные проверки безопасности. Вместо аудита множества конечных клиентов ИТ может сосредоточиться на конфигурации шлюза, опубликованных ресурсах, разрешениях учетных записей и журналах сеансов.

Какие ограничения должны понимать ИТ-команды?

Безагентский удаленный доступ полезен, но, как и в случае с любым другим решением, он не всегда является идеальной моделью. Лица, принимающие решения, должны понимать его ограничения, прежде чем заменять VPN, нативные RDP-клиенты, агенты удаленной поддержки или платформы VDI.

Ограничения браузера

Комплексный доступ и маневренность

Сессия браузера может не соответствовать полному опыту нативного клиента. Поддержка нескольких мониторов, расширенная печать, перенаправление USB, передача файлов, поведение буфера обмена, качество звука и сочетания клавиш могут различаться в зависимости от продукта и браузера.

Мощное программное обеспечение или медиа нужды и тому подобное

Некоторым пользователям нужны высокопроизводительные графические средства, CAD-инструменты, медиа-потоки или ввод с низкой задержкой. Эти пользователи могут получить большее удовлетворение от нативного клиента удаленного рабочего стола, специализированного протокола потоковой передачи или полной платформы VDI.

Портативные устройства, такие как смартфоны и планшеты

Мобильный доступ также требует внимания. Решение может работать в мобильном браузере, но это не означает, что пользовательский опыт подходит для повседневной работы. Маленькие экраны, сенсорный ввод и поведение внешней клавиатуры могут повлиять на продуктивность.

Мифы о безопасности

Безагентный не означает автоматически безопасный. Плохо настроенный веб-портал рискует подвергнуть атакам страницы аутентификации, брокеры сессий или внутренние приложения.

Все компоненты технологий удаленной работы, удаленного доступа и BYOD должен быть защищен от ожидаемых угроз Это включает в себя клиентские устройства, шлюзы, внутренние хосты и контроль политик.

Для удаленного доступа безопасность должна включать многофакторную аутентификацию, TLS, принцип наименьших привилегий, блокировку учетной записи, фильтрацию IP, защиту от грубой силы, ведение журналов и обновление. Команды ИТ также должны избегать прямого открытия порта 3389 в Интернет.

Компромиссы между производительностью и пользовательским опытом

Доступ к удаленному рабочему столу на основе браузера зависит от браузера, шлюза, сетевого пути, хоста сеанса и нагрузки приложения. Медленный сеанс может возникнуть из любого из этих уровней.

Проблемы с производительностью часто проявляются в виде задержки отображения, медленной печати, задержки операций с файлами или проблем с аудио. Эти проблемы не всегда вызваны самим продуктом удаленного доступа. Они могут отражать емкость сервера, пропускную способность, задержку, DNS, проверки сертификатов или перегруженные хосты сеансов.

Вот почему мониторинг важен. Если ИТ-команды не могут видеть использование ЦП, памяти, диска, количество сессий и активность пользователей, устранение неполадок становится игрой в угадайку.

Чек-лист для принятия решения о безагентском удаленном доступе

Перед выбором архитектуры удаленного доступа без агента ИТ-команды должны определить сценарий использования, уровень риска и необходимый пользовательский опыт.

Вопрос	Выберите доступ без агента или на основе браузера, когда	Рассмотрите другую модель, когда
Кто подключается?	Подрядчики, пользователи BYOD, случайные пользователи или внешние партнеры	Пользователям с высокими требованиями нужна полная интеграция рабочих станций
Что им нужно?	Одно приложение, один рабочий стол или ограниченный набор ресурсов	Необходим широкий доступ к сети
Какой контроль конечных точек существует?	Устройства не управляются или заблокированы	Корпоративные управляемые устройства могут запускать нативные клиенты
Какой уровень безопасности требуется?	MFA, HTTPS, доступ на основе групп и ведение журнала достаточно	Требуется состояние устройства, расширенный условный доступ или полная изоляция.
Какой уровень производительности необходим?	Офисные приложения, ERP, CRM или устаревшие приложения Windows	CAD, видео, графика или рабочие процессы с очень низкой задержкой
Как это будет поддерживать ИТ?	Центральный портал и мониторинг доступны	ИТ нуждается в постоянном неконтролируемом управлении конечными точками

Этот контрольный список помогает отделить удобство от архитектуры. Доступ без агента наиболее эффективен, когда ИТ хочет предоставить контролируемые ресурсы пользователям без широкого сетевого воздействия.

Как насчет альтернатив программного обеспечения для удаленного доступа без агента на основе браузера?

Безагентный удаленный доступ не является отдельной категорией продуктов. Он пересекается с несколькими технологиями, каждая из которых имеет свои сильные стороны.

HTML5 RDP шлюзы

HTML5 RDP шлюзы доставлять рабочие столы Windows или приложения через браузер. Они полезны для централизованной доставки приложений Windows, публикации устаревших приложений и доступа подрядчиков.

Основное преимущество заключается в простоте для пользователя, в то время как основная проблема заключается в обеспечении безопасности шлюза, его мониторинга и способности поддерживать ожидаемые нагрузки.

Эта модель часто хорошо подходит для малых и средних предприятий, которым необходимо публиковать приложения без сложности уровня Citrix.

VPN, ZTNA и VDI

VPNы расширить доступ к сети. Они остаются полезными для администраторов, соединения между сайтами и случаев, когда пользователям необходимо несколько внутренних сервисов. Однако VPN могут предоставить больше доступа, чем необходимо, если политики не четко определены.

Доступ к сети с нулевым доверием или ZTNA, сосредотачивается на доступе, основанном на идентичности, к конкретным приложениям, а не к сегментам сети. ZTNA может быть эффективным для доступа третьих лиц и частных веб-приложений, но он может не заменить полный удаленный рабочий стол или доставку приложений Windows.

Виртуальная инфраструктура рабочего стола или VDI централизует полные рабочие столы. VDI мощен для стандартизированных корпоративных рабочих столов, но он может быть дорогим и сложным для малых и средних предприятий, которым нужно только опубликовать несколько приложений Windows.

Инструменты удаленной поддержки

Инструменты удаленной поддержки и технической помощи решают другую проблему. Они позволяют агентам поддержки просматривать или контролировать устройство конечного пользователя для устранения неполадок, обучения или обслуживания.

Некоторые рабочие процессы удаленной поддержки инициируются через браузер, но для обслуживания без присмотра может потребоваться установленный компонент или постоянная конфигурация. Вместо слабости это просто отражает другой случай использования.

IT-команды должны отделять доступ к приложениям от доступа к поддержке. Сотрудникам нужен контролируемый доступ к бизнес-приложениям. Агентам поддержки нужны безопасные инструменты для помощи пользователям и обслуживания устройств.

Как TSplus удовлетворяет потребности в безагентском удаленном доступе

TSplus находит практическое среднее решение для SMB и MSP: безопасный удаленный доступ и доставка приложений без затрат и сложности крупных платформ VDI.

TSplus Remote Access: для приложений и настольной публикации

TSplus Remote Access позволяет ИТ-командам публиковать полные удаленные рабочие столы или отдельные приложения Windows через безопасный веб-портал. Пользователи могут либо получать доступ к централизованным инструментам из браузера через клиент HTML5, либо использовать альтернативные режимы подключения, где опыт, похожий на нативный, более уместен.

Эта гибкость важна, потому что не каждому пользователю нужен один и тот же метод доступа. Подрядчики могут нуждаться только в доступе к одному приложению через браузер. Внутренний персонал может предпочесть опыт в стиле RemoteApp. Мощные пользователи могут нуждаться в полном рабочем столе.

TSplus Remote Access помогает ИТ-командам веб-активировать устаревшие приложения Windows без их переписывания. Для малых и средних предприятий это часто самый прямой путь к современному удаленному доступу: централизовать приложение, безопасно его опубликовать и контролировать, кто может подключаться.

Устранение неполадок RDP или публикация приложений для удаленных пользователей? Получите демонстрацию с руководством TSplus Remote Access.

TSplus Advanced Security и MFA: для безопасных серверов приложений и доступа

Доступ к удаленному управлению без агента всегда должен сочетаться с надежными мерами безопасности.

360° Безопасность, сделанная простой

TSplus Advanced Security помогает защитить публичные удаленные доступы с такими функциями, как защита от грубой силы, фильтрация IP и политики защиты конечных точек.

Дополнение MFA для дополнительной безопасности входа

Дополнение TSplus MFA усиливает безопасность идентификации требуя дополнительный фактор аутентификации. Это особенно важно, когда пользователи подключаются с неуправляемых устройств или внешних сетей.

Совместно эти меры помогают снизить общие риски удаленного доступа: атаки на учетные данные, несанкционированные географии, повторяющиеся неудачные попытки входа и чрезмерно открытые точки входа.

TSplus Server Monitoring и Remote Support

Простое мониторинг серверов и сетей в реальном времени

TSplus Server Monitoring предоставляет ИТ-командам возможность отслеживать состояние серверов, веб-сайтов, приложений и активность пользователей. Это помогает администраторам обнаруживать перегруженные хосты сеансов, ухудшение производительности и аномальное использование удаленного доступа до того, как пользователи сообщат о широкомасштабных проблемах.

Удаленная поддержка в полной простоте

TSplus Remote Support дополняет удаленный доступ с помощью помощи с участием и без участия. Команды поддержки могут устранять неполадки на устройствах пользователей, помогать удаленным сотрудникам и поддерживать конечные точки, не смешивая рабочие процессы поддержки с публикацией приложений.

Более простая архитектура и гибкость в управлении

Для MSP, системных администраторов и поставщиков SaaS или DaaS эти продукты объединяются, чтобы создать программный пакет без лишних усилий и трения. Публикуйте бизнес-приложения в Интернете, защищайте серверы и уровень доступа, отслеживайте состояние инфраструктуры и позволяйте агентам быстро решать проблемы пользователей из любого места.

Заключение

Доступ без агента может упростить удаленную работу доступ подрядчиков и доставка приложений, но это не должно оцениваться только как функция «без установки». Команды ИТ должны понимать полную архитектуру: браузер, шлюз, идентификация, хост сессии, средства безопасности и мониторинг.

Для многих команд лучший подход — это не тяжелая платформа VDI или широкий VPN. Портал удаленного доступа на основе браузера, защищенный надежной аутентификацией и централизованно контролируемый, может обеспечить правильный баланс удобства, безопасности и контроля затрат.

Помогите вашему ИТ-департаменту достичь этого баланса с TSplus и масштабировать удаленный доступ с лучшей рентабельностью инвестиций. Поговорите со специалистом TSplus.