Categoria: Xarxes i VPN
Apache Guacamole gestionat: escriptori remot des del navegador
Una pàgina web amb l'inici de sessió de l'empresa des de la qual cada persona obri l'escriptori del seu PC de l'oficina o d'un servidor, sense instal·lar VPN ni programes i sense deixar l'escriptori remot obert a internet.
- On es munta
- Al vostre compte, a nom vostre
- Còpies
- Amb restauració provada
- Actualitzacions
- Planificades i documentades
- Llicència
- Open source, Apache License 2.0
En resum
Apache Guacamole és una passarel·la d'escriptori remot de codi obert: s'hi entra des del navegador i connecta per RDP, VNC o SSH amb els equips de dins, sense instal·lar res en l'ordinador de cada persona. El muntem en el vostre servidor, li posem doble factor o el vostre inici de sessió únic, donem a cada persona només els seus equips, gravem les sessions si cal, copiem la configuració i el mantenim al dia.
O telefoneu-nos al 644 00 76 20
Què ens encarreguem de mantindre?
Arrancar Guacamole amb Docker porta una estona. El que cal cuidar és el que hi ha al voltant: que la pàgina d’accés tinga doble factor, que cada persona arribe només als seus equips, que les baixes s’apliquen i que la passarel·la estiga al dia, perquè és la porta d’entrada a l’oficina. Això és el que deixem sota control:
Passarel·la
Guacamole i guacd en contenidors, amb HTTPS, un nom de domini fix i la configuració en un repositori.
Inici de sessió
Doble factor amb TOTP o Duo, o el compte de l’empresa per OpenID Connect, SAML o LDAP.
Permisos
Cada persona i cada grup, només amb els seus equips; altes i baixes el mateix dia.
Connexions
RDP a Windows, VNC a altres escriptoris i SSH a servidors, amb les credencials ben guardades.
Registre i gravació
Qui va entrar a quin equip i quan i, on calga, la sessió gravada.
Vigilància
Passarel·la caiguda, certificats a punt de caducar, intents d’accés fallits i versions endarrerides.
Com funciona?
Guacamole té dues peces: una aplicació web, que és la pàgina on s’inicia sessió, i guacd, que parla RDP, VNC o SSH amb els equips de dins i envia la imatge al navegador. Des d’internet només es veu la pàgina HTTPS; l’escriptori remot dels equips només accepta connexions des de la passarel·la.
| Manera d’accés | Què cal instal·lar | Quan ho proposem |
|---|---|---|
| Guacamole per navegador | Res: n’hi ha prou amb un navegador | Gent que entra des d’equips variats o que no voleu que instal·le res |
| VPN amb WireGuard o OpenVPN | El client VPN i el d’escriptori remot | Poques persones, cadascuna amb el seu portàtil de l’empresa |
| Xarxa privada amb NetBird o Tailscale | El client en cada dispositiu | Equips repartits, servidors en diversos núvols i regles per persona |
Les tres opcions complixen el més important: l’escriptori remot no queda obert a internet. Les diferències, la seguretat i les llicències de Windows les expliquem en la guia d’escriptori remot per a teletreballar.
Quins problemes trobem més sovint?
- La pàgina d’accés sense doble factor, amb usuari i contrasenya com a única protecció de tota l’oficina.
- Un usuari administrador per defecte que ningú no va canviar després de la instal·lació.
- Connexions guardades amb un compte compartit, de manera que no se sap qui va entrar de veritat.
- L’escriptori remot dels equips encara obert cap a internet a més de la passarel·la.
- Una passarel·la sense actualitzar durant anys, quan és justament la peça que està publicada a internet.
- Base de dades sense còpia: si es trenca el servidor, cal tornar a donar d’alta a mà cada usuari i cada connexió.
Com fem les còpies, les actualitzacions i la restauració?
Usuaris, grups, permisos i connexions viuen en una base de dades (PostgreSQL o MySQL) que copiem xifrada fora del servidor, juntament amb la configuració dels contenidors i del proxy, guardada en un repositori. De tant en tant restaurem en una altra màquina i comprovem que s’hi pot entrar i obrir els escriptoris. Si graveu sessions, decidim amb vosaltres on es guarden i quant de temps, i les incloem en la còpia.
Abans d’actualitzar Guacamole llegim les notes de la versió, fem còpia i provem la nova versió a banda quan el canvi és gran, perquè les extensions d’inici de sessió han d’anar en la mateixa versió que l’aplicació. El sistema i el proxy s’actualitzen amb pegats de seguretat programats en una finestra avisada.
Per a qui té sentit?
- Una gestoria o un despatx amb teletreball que vol que cada persona obriga des de casa el seu PC de l’oficina o el servidor d’escriptoris sense instal·lar res, amb doble factor i amb la baixa d’algú tallant el seu accés en el moment.
- Una empresa amb personal extern o col·laboradors que necessiten entrar a un o dos equips concrets sense donar-los una VPN a tota la xarxa.
- Un equip tècnic amb servidors Linux i Windows que vol entrar per SSH i escriptori remot des d’un sol lloc, amb inici de sessió únic i les sessions registrades.
Com protegim la passarel·la?
La passarel·la és la porta d’entrada a l’oficina, així que només exposa HTTPS, amb un proxy davant, l’usuari administrador per defecte eliminat i doble factor o inici de sessió únic per a tothom, siga amb Microsoft, Google o un Keycloak propi. Els equips de dins només accepten escriptori remot, VNC o SSH des de la passarel·la, i cada persona veu únicament les seues connexions. Els intents d’accés fallits i les connexions van a Wazuh si teniu un SIEM, i la passarel·la i els seus certificats els vigilem des de la monitorització amb Grafana i Prometheus.
- NavegadorQualsevol equip, sense instal·lar res
- KeycloakInici de sessió i doble factor
- GuacamolePassarel·la web i guacd
- Escriptoris i servidorsRDP, VNC o SSH, només des de la passarel·la
On ho muntem?
Al vostre compte, al proveïdor que ja feu servir o al que encaixe millor. Si les dades s'han de quedar a la UE, Hetzner i OVHcloud són les opcions europees.
Proveïdors on ho muntem
- Hetzner
- AWS
- Google Cloud
- Azure
- DigitalOcean
- OVH
- Servidor propi
| Proveïdor | Com ho muntem | A tindre en compte |
|---|---|---|
| Hetzner | Un servidor cloud xicotet amb Guacamole en contenidors i un túnel o xarxa privada cap a l'oficina, amb el firewall de Hetzner obert només al 443. | Sol ser l'opció més senzilla per a una passarel·la que no depenga de la connexió de l'oficina. |
| AWS | Una instància EC2 o un contenidor en la vostra VPC, darrere d'un balancejador amb el certificat, per a arribar a escriptoris i servidors privats. | |
| Google Cloud | Una màquina de Compute Engine en la vostra xarxa de VPC, amb regles de firewall que només deixen arribar als equips des de la passarel·la. | |
| Azure | Una màquina virtual en la xarxa virtual dels vostres servidors Windows, amb inici de sessió de Microsoft Entra ID per OpenID Connect o SAML. | Encaixa si l'empresa ja treballa amb Microsoft 365. |
| DigitalOcean | Un Droplet dins de la vostra VPC amb Cloud Firewall davant. | |
| OVH | Una instància de Public Cloud o un servidor dedicat amb xarxa privada (vRack) cap als vostres servidors. | |
| Servidor propi | Guacamole en una màquina xicoteta de l'oficina o en el servidor de virtualització, publicat per HTTPS a través del router. | Si se'n va la llum o la connexió de l'oficina, ningú no entra des de fora; per a moltes persones, millor la passarel·la al núvol. |
Què inclou
- Apache Guacamole en contenidors (l'aplicació web i guacd) en el vostre servidor o en el vostre compte de núvol, amb HTTPS i un nom de domini propi.
- Inici de sessió amb doble factor (TOTP o Duo) o amb el compte de l'empresa: Microsoft, Google o Keycloak per OpenID Connect o SAML, o el vostre Active Directory per LDAP.
- Connexions per RDP als PC i servidors Windows, per VNC a altres escriptoris i per SSH a servidors Linux, cada persona només a les seues.
- Escriptori remot, VNC i SSH tancats a internet: només la passarel·la arriba als equips de dins.
- Altes i baixes el mateix dia: qui deixa l'empresa perd l'accés a tots els equips alhora.
- Gravació de sessions on calga, amb reproducció en el navegador i registre de qui va entrar a quin equip i quan.
- Còpies de la base de dades d'usuaris i connexions, i de la configuració, amb restauració provada.
- Actualitzacions de Guacamole, del sistema i del proxy, i vigilància de la passarel·la i dels intents d'accés.
Preguntes freqüents
Guacamole o una VPN?
Amb una VPN cada persona instal·la un programa i, una vegada dins, obri l'escriptori remot amb el client de sempre. Amb Guacamole no s'instal·la res: s'hi entra des del navegador i només s'arriba als equips que té assignats. Si la gent treballa des del seu portàtil de l'empresa, una VPN és el més senzill; si entra des d'equips variats o no voleu instal·lar res, Guacamole encaixa millor. De vegades muntem les dues.
Cal pagar llicències?
Guacamole és de codi obert, amb llicència Apache 2.0, i no té llicència per usuari. El que no canvia són les llicències de Windows: si diverses persones treballen alhora en un servidor Windows, continuen calent les llicències d'accés de Windows Server i d'Escriptori remot (RDS CAL), s'hi entre per Guacamole o per un altre camí.
Es pot posar doble factor o el nostre inici de sessió únic?
Sí. Guacamole té extensions per a doble factor amb TOTP, l'aplicació de codis del mòbil, o amb Duo, i per a iniciar sessió amb OpenID Connect o SAML, com Microsoft Entra ID, Google o un Keycloak propi. També pot validar els usuaris contra el vostre Active Directory per LDAP.
Funciona amb els programes de sempre, com la comptabilitat o LexNET?
Sí, perquè el que es veu en el navegador és l'escriptori de l'oficina, amb els seus programes instal·lats. El que va pitjor que amb el programa d'Escriptori remot és usar en la sessió un lector de targetes o un certificat en targeta, treballar amb diverses pantalles o imprimir. Si signeu amb targeta, ho provem abans amb vosaltres i, si no encaixa, proposem una altra manera d'entrar.
Què passa si la passarel·la cau?
Ningú no pot entrar des de fora fins que torne, encara que els equips de l'oficina continuen funcionant. Per això la vigilem, copiem la seua base de dades i la seua configuració fora del servidor i tenim assajat com alçar-la en una altra màquina. Si l'accés és crític, es pot deixar una VPN com a segona entrada.
Expliqueu-nos el vostre cas
Telefoneu-nos o escriviu-nos i us direm on esteu i per on començar. Gratis i sense compromís.
O telefoneu-nos al 644 00 76 20
Documentació oficial consultada
Les dades tècniques d'aquesta pàgina es basen en:
Revisat el