Prístup na diaľku bez inštalácie softvéru: Prístup k Windows cez prehliadač

Úvod

Remote access bez inštalácie softvéru je praktickým cieľom pre hybridnú prácu, dodávateľov a používateľov BYOD. Kľúčom nie je odstránenie všetkého softvéru z architektúry; ide o odstránenie nasadenia klienta z koncového bodu. S HTML5 portálom pre vzdialený prístup otvárajú používatelia zabezpečenú reláciu prehliadača, aby sa dostali k publikovaným aplikáciám Windows alebo desktopom.

Čo znamená Remote Access bez inštalácie softvéru?

Remote prístup bez inštalácie softvéru neznamená, že nie je žiadny softvér nikde. Remote prístup stále vyžaduje sprostredkovanie relácií, autentifikáciu, prenos zobrazenia, šifrovanie a kontrolu prístupu. Skutočná otázka je, kde tento softvér beží.

V tradičnom Protokol vzdialeného plochy (RDP) nasadenie, každý koncový bod môže potrebovať natívneho RDP klienta, VPN klienta, nástroj na vzdialenú podporu alebo vlastný spúšťač. Tento model vytvára trenie, keď sa používatelia pripájajú z neadministratívnych prenosných počítačov, osobných zariadení, tabletov alebo uzamknutých strojov.

V modely založenom na prehliadači je zásobník vzdialeného prístupu centralizovaný. Používateľ otvorí zabezpečenú URL adresu, prihlási sa a spustí aplikáciu Windows alebo pracovnú plochu v prehliadači. Microsoft Learn popisuje Webový klient pre vzdialenú plochu ako spôsob prístupu k vzdialeným aplikáciám a desktopom publikovaným administrátorom prostredníctvom kompatibilného prehliadača.

Pre IT tímy je praktická definícia jasná: na používateľskom koncovom zariadení nie je nasadený žiadny klient vzdialeného prístupu.

Prečo si IT tímy vyberajú bezklientský vzdialený prístup?

Bezklientský vzdialený prístup rieši viac než len problém s pohodlím používateľa. Znižuje závislosť od koncových bodov, zjednodušuje zavádzanie a poskytuje administrátorom kontrolovanejší spôsob publikovania zdrojov Windows.

Prvou výhodou je flexibilita zariadení. Používatelia sa môžu pripojiť z Windows, macOS, Linux, ChromeOS alebo tabletov, keď sú podporované prehliadač a prístupová politika. To je užitočné pre dodávateľov, externých partnerov, dočasný personál a prostredia s vlastnými zariadeniami.

Druhou výhodou je nižšia podpora. Nativní klienti zavádzajú odchýlky vo verziách, problémy s kompatibilitou operačného systému, lokálne problémy s firewallom, zlyhané aktualizácie a chyby v konfigurácii. Prehliadačový portál poskytuje používateľom jednu predvídateľnú cestu prístupu.

Tretím prínosom je návrh zabezpečenia. Namiesto umiestnenia neadministratívnych koncových bodov na internú sieť prostredníctvom širokého prístupu VPN môžu IT tímy publikovať iba aplikácie alebo pracovné plochy, ktoré používatelia potrebujú. NIST SP 800-46 Rev. 2 rámce vzdialeného prístupu, telepráce a BYOD ako oblasti citlivé na bezpečnosť, ktoré vyžadujú definované politiky a technické kontroly.

Hlavné spôsoby, ako získať prístup k systému Windows na diaľku bez inštalácie klienta

Niekoľko technológií môže znížiť prácu s miestnou inštaláciou, ale nevyriešia ten istý problém. Správna voľba závisí od toho, či organizácia potrebuje administráciu, podporu helpdesku alebo opakovaný prístup k obchodným aplikáciám.

Metóda	Najlepšie pre	Inštalácia koncového používateľa	Hlavné obmedzenie
Nativné pripojenie k vzdialenej pracovnej ploche	Admin prístup z riadených Windows PC	Zvyčajne žiadne na Windows	Nie je ideálne pre neadministratívne koncové body alebo publikovanie aplikácií
Webový klient pre vzdialenú plochu	Prístup k aplikáciám a desktopom RDS cez prehliadač	Žiadny miestny RDP klient	Vyžaduje plánovanie a infraštruktúru RDS
Rýchla pomoc	Ad hoc podporné relácie	Môže vyžadovať inštaláciu z Microsoft Store	Nie je určené na dennú dodávku aplikácií
Nástroje pre rozšírenie prehliadača	Osobné alebo ľahké vzdialené ovládanie	Často vyžaduje rozšírenie alebo hostiteľského agenta	Slabé prispôsobenie pre centralizovanú kontrolu IT
HTML5 portál vzdialeného prístupu	Prístup k aplikáciám a desktopom Windows pre podniky	Žiadne nasadenie klienta na koncových zariadeniach	Vyžaduje nastavenie brány na strane servera

Tento porovnanie ukazuje, prečo „žiadne sťahovanie“ nestačí. IT tímy by mali posúdiť architektúru, nielen metódu prístupu pre používateľov.

Nativné pripojenie k vzdialenej pracovnej ploche

Windows obsahuje natívneho klienta pre pripojenie k vzdialenej pracovnej ploche, bežne známeho ako mstsc.exe. Naďalej je užitočný pre administrátorov, interné podporné tímy a kontrolované prostredia Windows.

Avšak natívny RDP úplne nerieši problém bezklientského prístupu. Externý prístup často vyžaduje VPN, RD Gateway alebo plánovanie firewallu. Publikovanie jednotlivých aplikácií je tiež zložitejšie ako poskytnúť používateľom plnú pracovnú plochu.

Nativný RDP je platný administračný nástroj, ale nie je to to isté ako stratégia dodávania aplikácií založená na prehliadači. Najlepšie funguje, keď sú zariadenia, siete a používatelia už spravovaní IT.

Webový klient pre vzdialenú plochu

The Webový klient pre vzdialenú plochu presúva prístupovú skúsenosť do prehliadača. Používatelia môžu otvoriť portál a spustiť vzdialené aplikácie alebo pracovné plochy, ktoré administrátor zverejnil. Dokumentácia spoločnosti Microsoft uvádza, že po nastavení potrebujú používatelia URL klienta, svoje prihlasovacie údaje a podporovaný prehliadač.

Tento model je bližšie k tomu, čo mnohé podniky potrebujú. Aplikácia Windows alebo desktop stále beží na centrálnej infraštruktúre, zatiaľ čo prehliadač sa stáva prístupovou vrstvou.

Obchodná výhoda spočíva v zložitosti infraštruktúry. Nasadenia služieb Microsoft Remote Desktop si stále vyžadujú starostlivú prácu okolo certifikátov, RD Gateway, RD Web Access, RD Connection Broker, licencovania, autentifikácie, kompatibility prehliadača a kapacity hostiteľa relácií.

Rýchla asistencia a nástroje vzdialenej podpory

Quick Assist je navrhnutý na podporu, nie na dodávanie aplikácií. Microsoft popisuje Quick Assist ako spôsob, ako môžu podporní pracovníci zobraziť obrazovku používateľa, anotovať ju alebo požiadať o plnú kontrolu počas relácie riešenia problémov.

Ten prípad použitia sa líši od denného prístupu k hosteným aplikáciám Windows. Rýchla pomoc závisí od pomocníka, používateľa a interaktívnej podpory. Nie je to centralizovaný portál na publikovanie obchodných aplikácií pre mnohých používateľov.

Dokumentácia podpory Microsoftu tiež vysvetľuje, že Quick Assist môže byť potrebné nainštalovať z Microsoft Store a spravované zariadenia môžu túto inštaláciu zablokovať na základe politiky.

Rozšírenie prehliadača a nástroje na vzdialenú kontrolu spotrebiteľov

Niektoré produkty vzdialeného ovládania inzerujú prístup bez sťahovania, ale mnohé stále závisia od rozšírení prehliadača, pomocných aplikácií, hostiteľských agentov alebo služieb relé založených na účtoch. To môže byť prijateľné pre osobné použitie alebo občasné riešenie problémov.

Pre obchodné použitie potrebujú IT tímy silnejšie odpovede. Správcovia by mali overiť, či môže byť prístup centrálne odobratý, či sú k dispozícii protokoly, či môže byť vynútená viacfaktorová autentifikácia a či môžu byť používatelia obmedzení na konkrétne aplikácie namiesto celých strojov.

Rozšírenie prehliadača nie je to isté ako portál pre vzdialený prístup HTML5. Ak je cieľom znížiť nasadenie koncových bodov a zlepšiť kontrolu, základná architektúra je dôležitá.

HTML5 webový portál pre vzdialený prístup

HTML5 webový portál pre vzdialený prístup je zvyčajne najlepšou voľbou pre prístup k obchodným aplikáciám. IT zverejňuje aplikácie Windows alebo celé pracovné plochy z centralizovaných hostiteľov a používatelia sa pripájajú prostredníctvom zabezpečeného prehliadača.

Koncový bod nepotrebuje natívneho RDP klienta. Diaľková relácia je poskytovaná prostredníctvom webových technológií, zatiaľ čo aplikácia zostáva hostená na strane servera.

Tento model je obzvlášť užitočný pre dedičstvo aplikácií Windows ktoré nemožno prepisovať ako aplikácie SaaS. Namiesto inštalácie aplikácie na každý koncový bod ju IT hostí centrálne a dodáva ju prostredníctvom prehliadača.

Prečo HTML5 portál pre vzdialený prístup vyhovuje obchodnému použitiu?

HTML5 vzdialený prístupový portál oddeľuje koncový bod od aplikačného behu. Zariadenie používateľa sa stáva rozhraním pre displej, klávesnicu a myš, zatiaľ čo pracovná záťaž systému Windows zostáva pod kontrolou IT.

Tento prístup poskytuje administrátorom niekoľko praktických výhod:

• Centralizované publikovanie aplikácií
• Prístup cez prehliadač z podporovaných zariadení
• Znížená závislosť na VPN klientoch
• Konzistentný prístup cez jedinú URL
• Jednoduchšie onboardovanie pre dodávateľov a používateľov BYOD
• Centralizovaná autentifikácia a kontrola relácií
• Menej miestneho riešenia problémov na neadministratívnych koncových bodoch

Výsledkom je čistejší prevádzkový model. IT zverejňuje zdroj, nie celú internú sieť.

Bezpečnostné požiadavky pre prístup na diaľku založený na prehliadači

Prístup bez klienta automaticky neznamená bezpečný prístup. Mení sa len miesto, kde je prístup spravovaný. IT tímy stále musia zabezpečiť identitu, prenos, vystavenie relácie a administratívnu kontrolu.

Najprv by mal každý prehliadačový portál používať HTTPS s platnými certifikátmi. Používatelia by nikdy nemali byť školení, aby obchádzali bezpečnostné varovania prehliadača, pretože toto správanie oslabuje model dôvery.

Druhou vecou je, že organizácie by sa mali vyhnúť priamemu vystaveniu surového RDP na internet. CISA varovala, že RDP je bežný vektor infekcie ransomvérom a že viacfaktorová autentifikácia je kľúčová na zníženie rizika zlého prístupu.

Tretie, administrátori by mali aplikovať silnú autentifikáciu. Pre produkčné prostredia by mali byť požiadavky na viacfaktorovú autentifikáciu, politiky uzamknutia účtov a prístup s minimálnymi oprávneniami základnými požiadavkami.

Štvrté, IT tímy by mali zverejniť len to, čo používatelia potrebujú. Mnohí používatelia vyžadujú jednu aplikáciu Windows, nie celý vzdialený desktop. Zverejnenie aplikácií môže znížiť vystavenie a uľahčiť používanie relácie.

Nakoniec by mal centralizovaný prístup generovať užitočné protokoly. Udalosti prihlásenia, aktivita relácie, administratívne zmeny a neúspešné pokusy o autentifikáciu by mali byť viditeľné na audít a vyšetrovanie.

Kedy je prístup na diaľku založený na prehliadači správnou voľbou?

Browser-based vzdialený prístup je silným riešením, keď organizácie potrebujú opakovaný prístup k aplikáciám Windows bez inštalácie softvéru na zariadeniach používateľov.

Typické prípady použitia zahŕňajú:

• Dodávatelia, ktorí potrebujú obmedzený prístup k interným aplikáciám
• Používatelia BYOD, ktorí by nemali inštalovať firemných klientov
• Remote zamestnanci pracujúci na viacerých operačných systémoch
• Externí partneri, ktorí potrebujú prístup k jednej hostenej aplikácii
• Pobočky s tenkými klientmi alebo uzamknutými zariadeniami
• Dedičstvo aplikácií Windows, ktoré potrebujú doručenie cez web
• IT tímy sa snažia znížiť počet podporných tiketov pre VPN a RDP klientov

Tento model je menej vhodný pre každú záťaž. Aplikácie náročné na grafiku, pokročilá USB redirekcia, multimédiá s nízkou latenciou a hlboká integrácia miestnych zariadení môžu stále vyžadovať natívneho klienta alebo špecializovanú virtualizačnú platformu.

Implementačný zoznam pre IT tímy

Pred nasadením vzdialeného prístupu cez prehliadač by mali IT tímy definovať prevádzkový model. Prvé rozhodnutie je, či používatelia potrebujú plné pracovné plochy, jednotlivé aplikácie alebo oboje. Publikovanie aplikácií je často bezpečnejšie a jednoduchšie na podporu ako poskytnutie plnej pracovnej plochy každému používateľovi.

Ďalej definujte identitu a kontrolu prístupu. Potvrďte, či sa používatelia budú autentifikovať pomocou Active Directory, miestnych účtov Windows, single sign-on, viacfaktorovej autentifikácie alebo iného poskytovateľa identity.

Potom skontrolujte vystavenie siete. Rozhodnite, kde bude webový portál umiestnený, ako bude ukončené HTTPS, ktoré porty musia byť vystavené a či je potrebná reverzná proxy alebo bránová vrstva.

Validácia aplikácií je tiež dôležitá. Niektoré aplikácie pre Windows sa správajú inak v multi-užívateľských reláciách, najmä ak boli navrhnuté pre inštaláciu na jednom počítači.

Nakoniec otestujte skutočné koncové body. Overte prístup z Windows, macOS, Linuxu, tabletov a uzamknutých zariadení, ktoré zodpovedajú používateľskému prostrediu.

Bežné chyby, ktorým sa treba vyhnúť

Prvá chyba je predpokladať, že „žiadne sťahovanie“ znamená „žiadnu infraštruktúru“. Prístup na diaľku založený na prehliadači znižuje zložitosti koncových bodov, ale platforma na strane servera stále potrebuje byť zabezpečená, aktualizovaná, monitorovaná a zálohovaná.

Druhá chyba je používanie nástrojov na vzdialenú podporu na dodávanie aplikácií. Nástroj na zdieľanie obrazovky helpdesku nie je publikovacia platforma pre obchodné aplikácie.

Tretia chyba spočíva v tom, že každému používateľovi sa poskytne plná pracovná plocha, keď potrebujú len jednu aplikáciu. Plné pracovné plochy sú niekedy nevyhnutné, ale publikované aplikácie môžu znížiť riziko a zlepšiť použiteľnosť.

Poslednou chybou je ignorovanie používateľskej cesty. Používatelia potrebujú jasnú URL adresu portálu, spoľahlivú autentifikáciu, zrejmé ikony aplikácií a predvídateľné správanie relácie.

Ako pomáha TSplus Remote Access?

TSplus Remote Access je určený pre organizácie, ktoré potrebujú prístup k aplikáciám a desktopom so systémom Windows prostredníctvom prehliadača bez nasadenia plného klienta vzdialenej plochy na každý používateľský koncový bod. Naše riešenie poskytuje prístup k centralizovaným aplikáciám Windows na plnej vzdialenej ploche, s podporou pre klientov kompatibilných s HTML5 a RDP.

S TSplus môžu administrátori publikovať aplikácie a priradiť ich konkrétnym používateľom alebo skupinám. Dokumentácia TSplus popisuje publikovanie aplikácií ako spôsob, ako kontrolovať, ktoré aplikácie môžu používatelia používať a ako sa tieto aplikácie spúšťajú.

Pre SMB, MSP a štíhle IT tímy je hodnotou prevádzková jednoduchosť. Používatelia pristupujú k zabezpečenému webovému portálu, spúšťajú aplikácie, ktoré im boli pridelené, a pracujú z prehliadača, zatiaľ čo IT udržiava centralizované aplikácie Windows.

Záver

Remote access bez inštalácie softvéru sa najlepšie chápe ako žiadne nasadenie klienta na koncových zariadeniach, nie ako infraštruktúra bez softvéru. Pre podnikové prostredia je praktickou cestou HTML5 portál na vzdialený prístup, ktorý umožňuje používateľom pristupovať k publikovaným aplikáciám Windows alebo plným desktopom z prehliadača, zatiaľ čo IT centralizuje autentifikáciu, publikovanie aplikácií, kontrolu relácií a bezpečnostnú politiku.