RDP — sesiones remotas y el equipo de salto

Muchas empresas obligan a que toda administración por escritorio remoto pase por un único equipo de salto, vigilado y con registro. No es por comodidad: es para que el camino normal sea estrecho. Si todas las sesiones legítimas salen de un mismo origen, cualquier sesión que salga de otro origen destaca sin tener que buscarla. La regla convierte una pregunta difícil («¿esta sesión es normal?») en una fácil («¿salió del salto?»).

Mira regla_rdp antes de leer las sesiones: sin la regla, el registro es una lista.

Abre SELECT * FROM rdp_log. Casi todo sale del equipo de salto, con la cuenta de TI y a servidores. Hay una sesión exitosa hacia el servidor ERP que sale de otro origen: una estación de trabajo que la regla no permite. No es la sesión que falló muchas veces: es la que funcionó.

La duración separa un vistazo de una jornada. Una sesión de dos segundos es un intento que no pasó de la pantalla de inicio; una de una hora es alguien trabajando dentro del servidor. El registro da la duración en segundos: para el informe conviene decirla en minutos, que es como la entiende quien lee.

«NLA» (autenticación a nivel de red) obliga al cliente a demostrar quién es antes de que el servidor le muestre la pantalla de inicio de sesión. Sin NLA, el servidor abre una sesión gráfica para cualquiera que se conecte, y gasta recursos y expone más superficie antes de saber quién llama. En el registro, la columna nla lo dice: las sesiones de TI van con NLA; las que fallaron en ráfaga, no.

A las 13:30 hay cuatro sesiones de dos segundos cada una, a pocos segundos de diferencia, desde una estación hacia el servidor de documentos, con la misma cuenta y sin NLA. Dos segundos es lo que tarda en rechazarse un intento de autenticación: nadie llegó a trabajar. Lo que cuenta es qué cuenta se probó, porque dice qué nombre conocía quien intentaba.