我有一个 WWW 服务器，我的问题是其内容很敏感，没有适当凭证的人无法访问。
如何才能提高易用性但仍保持以下场景的安全性；
通过“跳线主机”访问服务器，即客户端使用 VPN 连接连接到跳线并使用 RemoteDesktop 访问跳线。从跳线，他再次使用 RemoteDesktop 访问服务器。最后，用户可以使用 WWW 浏览器在服务器上访问内容。
从 VPN 客户端到 WWW 浏览器的整个过程都需要使用智能卡令牌进行身份验证。
我觉得这很安全。内容只会在服务器和跳线之间的 RemoteDesktop 上镜像，无需担心缓存文件。跳线和客户端之间的连接使用 VPN(ssl) 进行保护，因此不会被窃听。
但对于客户端来说，需要开通很多步骤和连接，相当麻烦。:(
那么，如何在不影响安全性的情况下改善用户访问我的服务器的体验？
谢谢。
答案1
我对您的配置的理解
TCP/IP Client---jumper host ------Server
Logically Client-VPN-jumper host -RDP-Server - www - website
上述问题：
1) 跳线主机（又称堡垒主机）实际上充当 VPN 集中器
2) 不清楚您是否仅使用智能卡进行身份验证
3) 这对用户来说很复杂且困难。4
) 您让用户执行的额外工作可能不会显著提高安全性
5) 您没有提到有关网络配置的一般信息、防火墙、IDS、操作系统类型等。
建议：
1) 用 VPN 集中器替换堡垒主机，并配备精简版操作系统。2
) 使用多个身份验证器
3) 锁定上述内容，包括限制可访问主机，并使服务器仅对集中器可访问
4) 分层 VPN 优于 VPN + RDP。IPSEC > SSL。5
) 保护 Web 服务器以限制访问
6) 您可以尝试通过使 VPN 持久化或启动启动连接但不进行身份验证的脚本来自动执行部分操作
7) 您需要考虑智能卡和底层基础设施的安全性，而您的描述中没有提到这一点。安全 PKI 不仅仅是使用智能卡身份验证器！
答案2
这里有很多变量，所以我只能给你一些可能更容易的一般做法。但是，如果没有从最终用户到服务器的完全安全链，很难真正确保最终网站的安全。让用户访问网站，即使通过受 SmartCard 保护的 VPN，仍然会打开一些漏洞，允许外部方查看远程安全网站上的内容。
例如，想象一下，如果最终用户坐在一台安装了间谍软件的 PC 前，并且能够截屏？您制定的所有“安全措施”都会被这个简单的程序绕过。
但是，这并没有回答您的问题。我能想到的唯一可能让您的最终用户更轻松的方法就是使用基于 Web 的远程桌面服务器访问。您可以通过现成的服务（例如 LogMeIn 或 GoToMyPC）来执行此操作。可能还有一些 Citrix 自定义安装，允许客户端访问远程 PC，而无需经历安装 VPN 客户端和使用远程桌面客户端的繁琐程序。