Erhöhen Sie die Sicherheit für Remotedesktopcomputer-Verwenden Sie 2FA und / oder beschränken Sie sich nur auf die LAN-Verbindung?

Basierend auf den aktuellen Informationen sind meine Empfehlungen:

• Wenn Sie einen SSH-Tunnel einrichten, erhalten Sie eine zusätzliche Authentifizierungsebene, auf der Sie einen anderen Benutzernamen/ein Passwort oder verwenden können Authentifizierung mit öffentlichem Schlüssel um sich anzumelden. Sie können auch aktivieren Verschleierung , mit einem völlig anderen Passwort, wie Sie wollten. Auf diese Weise machen Sie es auch schwieriger für jemanden, der den Datenverkehr überwacht, sogar zu sehen, dass es SSH ist - und sich zu verbinden, sie beide benötigen Sie das Passwort und was auch immer SSH Login Sie einrichten. Hinzu kommt, dass es RDP-Verkehr tunnelt, der auch verschlüsselt ist.
  
  Auf dem Windows Rechner können Sie installieren Bitvise SSH Server und auf den Macs können Sie der eingebauten OpenSSH Verschleierungsunterstützung mit einigen Patches von ZingLau hinzufügen.
• 2FA könnte möglich sein, aber es wird nicht einfach oder frei sein. Die integrierte Smartcard-Anmeldung erfordert ein Windows Active Directory-Domäne, es gibt jedoch Lösungen von Drittanbietern für eigenständige Computer. EIDAuthenticate unterstützt RDP und ist in einer [[4]}kostenlosen [[5]} Open-Source-Version verfügbar, jedoch nur für Home-Editionen (dennoch denken sie über ein "Heimnutzungsprogramm" nach, also könnte die Kontaktaufnahme mit ihnen dieses Denken beschleunigen). Aber in Ihrem Fall ist es vielleicht nicht genug, da es nur für Windows ist, und Sie verbindet sich von einem Mac.
• Begrenzung eingehender Verbindungen zu LAN, kann leicht in Windows Firewall getan werden.
• Allgemeine Dinge wie sichere Passwörter und Aktualisierung alle Computer werden natürlich getan werden. Ich empfehle auch, separate Benutzer-und Administratorkonten zu haben, und erlaubt nur den (nicht privilegierten) Benutzerkonten, sich über RDP anzumelden, sodass sich das Administratorkonto lokal anmelden muss.
• Das nächste, was ich mir ansehen würde, wäre die Sicherheit auf den Clients, die sich verbindet, weil wenn sie kompromittiert sind, helfen all die anderen Dinge, die Sie eingerichtet haben nicht viel. Aber ich spreche über allgemeine Sicherheitsprinzipien, also werde ich nicht auf Details eingehen.

Dieses Szenario ist mit WebADM von RCDevs möglich, das sogar für bis zu 40 Benutzer kostenlos ist.

1. Ein Passwort, das sich von dem Benutzernamen unterscheidet, mit dem sich der Computer physisch anmeldet.

Ja, WebADM verwendet LDAP, ActiveDirectory... Sie können also einen anderen Benutzernamen/ein anderes Passwort verwenden.

1. Zwei-Faktor-Authentifizierung.

Ja, sie können TOTP, HOTP mit Hardware/Software Token, e-mail und sms.

1. Begrenzen Sie alle eingehenden Verbindungen zu Maschinen nur im selben LAN.

Ja, Sie können die Clientrichtlinie definieren.

1. Es wird 3 Computer geben, die eine Verbindung zum Host herstellen, hauptsächlich Macs.

Ja, Sie können das Credential Provider Plugin für Windows oder OSX mit Offline-Authentifizierung installieren.