选择哪种远程访问
导言
你们公司是通过位于公司网络外部的IT专业人员来获得远程支持的吗？你们公司为用户提供互联网远程访问吗？你评估过这些远程访问带来的安全问题吗？IT专业人员的部分工作就是使用基于网络访问或者屏幕共享的远程支持工具来快速有效的帮助其他员工，现在市面上有很多不同的工具，但我们应该如何确保使用这些工具的安全可靠性呢？本文将探讨几种可以用于支持内部和外部使用的远程访问解决方案，并将重点讨论这些解决方案的实际用途以及如何选择适合公司要求和安全政策的远程访问解决方案。
选择哪种远程访问?
在过去，向客户提供的支持的时间花费基本上是这样：
46%通过电话指导客户
20%通过标准调制解调器从终端进行远程支持
33%亲自上门为客户服务
拨号调制解调器的安全性主要依赖于证书、电话号码过滤和回拨到用户名的特定电话号码。
近年来，远程支持发生了不少变化，从以前的拨号调制解调器到现在大多数企业用于远程支持的互联网连接，可以说现在花费在客户支持的时间大概是这样分配的：
23%通过电话指导客户
5%通过标准调制解调器从计算机进行远程支持
52%通过互联网从计算机进行远程支持
20%亲自上门为客户服务
现在最重要的问题并不是用于远程支持的时间已经增加，而是对客户系统的访问权也可能被“坏人”所利用，如果安全没有得到很好的配置和维护的话。
在图1中，让我们看卡不同类型的支持工具，注意这些工具也可以合并使用以提高安全性。
图1：不同类型的远程访问解决方案
对于拨号调制解调器和VPN连接，如果你需要连接到Windows计算机和服务器的话，你需要额外的远程屏幕共享程序。而Microsoft Remote Desktop就是这种访问的很好的选择，但是不能允许用户按照你在屏幕上的操作来操作。如果只需要到设备的网络通信连接，那么可以选择这种解决方案(见图2)。
需要考虑的问题
我们需要考虑什么问题?
要选择一个远程访问支持解决方案，你需要知道企业对远程访问的具体需求。这是选择解决方案之前必须要考虑的几件事情：
内部/外部使用
建立Microsoft Office Outlook.Ink安全
连接连接
部署成本
内部/外部使用
你想要向最终用户、外部用户提供远程访问支持吗?还是你需要获得外部安全顾问的支持?界定用户范围是很重要的，如果连接需要通过公共网络(如互联网)来实现，则必须提高安全性。
如果外部安全顾问需要访问企业系统，你需要事先计划好他们能够访问的范围。如果你想要提供或者控制访问点，那么解决方案的灵活性将是及其重要的问题。
对于需要帮助的内部用户，应该考虑访问其系统的容易度，以及是否每次要求用户输入。如果你支持员工从其他公司或者员工家里访问系统，那么就不能建立直接连接，将可以考虑在线会话。
安全问题
我们需要考虑的主要问题当然还是安全问题。不管你是不是自己提供和管理远程访问解决方案，你都将需要对分配给外部支持人员的访问级别进行评估。在接受外部顾问的远程支持之前，请评估以下相关问题：
安全验证 远程用户必须按照公司的要求进行验证，在建立连接时推荐使用智能卡或者使用密码的证书验证对用户进行身份验证，如果使用的是一般的证书验证，请确保部署良好的密码政策或者使用双因素验证。
安全连接
是否对连接进行了安全加密，这样其他人就无法获取连接信息?
访问级别
远程方是否能够访问其他不必要的资源?需要网络访问吗?使用的IP地址或者端口范围是什么?
文件传输
是否能够通过连接向公司网络传输或者发送文件?
连续访问
当前支持会话结束时，远程方是否还可以再次建立连接?
在涉及网络访问、文件传输和对远程本地驱动器访问的解决方案，你需要注意蠕虫和病毒有可能会感染你的计算机和服务器。屏幕共享可以为内部用户和外部用户包括基础设施，你需要告诉远程方他们需要遵守的安全规则。
建立连接
另一件事情就是检查IT支持人员连接到目的计算机/网络的情况，在内部计算机上你可能想要连接到计算机或者服务器(有或者没有用户交互的情况下)。对于外部顾问访问，你就需要这种交互、控制和记录对网络基础设施的连接等。如果存在偶尔出现的支持人员，那么建立使用一次性密码来进行在线会话屏幕共享。
部署成本
这些远程访问类型中有些需要更高配置和维护，你需要检查这些解决方案最初需要的部署时间和资金。
一些细节
综合使用不同的远程访问解决方案。
以下是关于这些解决方案的一些细节：
拨号调制解调器
当网络流量发送时就需要建立点对点连接，电话号码可以过滤来电，并且有时候预先定义的号码可以用于回拨。拨号服务器通常能够根据访问规则过滤流量，这种方法已经使用很多年，且为低带宽。
VPN
VPN(虚拟专用网)做的工作就是，通过网络连接为流量创建安全通道。VPN主要用于远程访问，但是有时候要求在IT顾问的计算机上安装客户端软件。有时候多个VPN客户不能同时安装，如果通过防火墙使用的话，它有不同的IP协议/NAT要求，这也可能造成连接问题。通过安全通道的流量是由VPN设备/防火墙控制的，并且可以包括子网、单一IP地址和定义的端口。VPN可以用来确保内部和外部网络流量的安全。
本地远程屏幕共享
这种类型的计算机方案需要在目标计算机/服务器上安装程序(如果不是使用Microsoft Remote Demote Desktop Services的话)，这样IT人员就可以在运行这个程序时进行连接，通常情况下，当IT顾问使用的是拨号调制解调器或者VPN时就是用这个解决方案。
基于web的终端服务/Citrix
如果远程用户需要连接到公司资源，但是对网络基础设施的直接访问是不允许的，那么就可以使用Microsoft Terminal Services、Citrix或者类似的解决方案。你可以控制对本地和远程资源的访问，尽量减少受到病毒或者蠕虫感染的危险。
在线会话屏幕共享
对于这些类型的远程支持解决方案，他们的共同点是类似的连接方式，用户需要支持访问网页或者启动程序来发起会话ID/密码，这将由IT顾问提供并且将启动屏幕共享会话。
对于这种解决方案，最终用户能够看到正在进行的连接以及能够在任何环境中运行。有些解决方案提供更多的功能密保卡无需用户交互的连接等。因此你需要确保你或者外部IT支持人员提供的屏幕共享程序是可信的，需要检查在线服务供应商是否符合公司安全政策要求的水平。如果文件传输和网络访问被禁用，就能够减少来自病毒和蠕虫的威胁。
图2： 各种类型远程访问解决方案提供的功能
结语
选择正确的远程支持访问解决，能够保证企业资源的安全。
