Bir Mac ekranı üçün yerli SSH yönləndirməsi, yoxsa tam VPN?

Öz maşınınızdan bir Mac ekranını görməlisiniz, Mac artıq SSH ilə qoşula bildiyiniz hostun arxasındadır və sual budur: buna VPN lazımdırmı? Adətən lazım deyil. Tək bir yerli yönləndirmə artıq malik olduğunuz SSH sessiyası vasitəsilə bir TCP portunu daşıyır və bir hostda bir ekran üçün bu, bütün şəbəkəni marşrutlaşdırmaqdan daha kiçik və daha yoxlana bilən bir quruluşdur.

Üç şərt bunu həll edir və onlardan hər hansı biri sizi idarə olunan VPN-ə doğru itələyə bilər.

Üç şərt bunu həll edir

Birincisi əhatədir: bir hostda bir xidmət, yoxsa bir neçə host və bir neçə port. İkincisi bastion ilə hədəf arasındakı hər keçidin artıq etibarlı olub-olmadığıdır, çünki SSH yalnız sonlandırdığı seqmenti qoruyur. Üçüncüsü quruluşu qurduqdan sonra onu kimin dəstəkləməli olduğudur, çünki əl ilə qurulmuş tunel onu anlayan şəxsdən çox yaşamağa meyllidir. Başlamazdan əvvəl həmin şəxsin adını çəkin və əmri tapa biləcəyi bir yerə yazın. Sənədləşdirilməmiş yönləndirmə, başlama tarixi təxirə salınmış gələcək bir hadisədir.

Əgər cavablar “bir”, “bəli” və “hazırda mən”dirsə, yönləndirmə düzgün vasitədir. Hər hansı cavab dəyişərsə, dəstəklənən uzaqdan giriş dizaynı bir il ərzində sənədləşdirilməmiş tuneldən sonra gələn hadisə araşdırmasından daha ucuzdur.

Bir portu yönləndirin, şəbəkəni yox

Yerli yönləndirmə maşınınızda dinləyici açır və hər qoşulmanı SSH serveri vasitəsilə həmin serverin çata bildiyi təyinat nöqtəsinə ötürür. Ekran paylaşma xidməti TCP 5900-də dinləyən bir Mac və mac.corp.example ünvanını həll edə bilən bir bastion üçün əmr qısa və qəsdən dardır. İçindəki hər seçim quruluşu kiçik saxlamaq üçün mövcuddur: qabıq yox, hər interfeysdə dinləyici yox, demon yox. Bunu resept kimi deyil, əhatə bəyanatı kimi oxuyun.

ssh -N -o ExitOnForwardFailure=yes -L 127.0.0.1:15900:mac.corp.example:5900 [email protected]

Dinləyicini 127.0.0.1 ünvanına bağlamaq onu bütün digər interfeyslərdən kənarda saxlayır. Bu rəsmilik deyil: bütün interfeyslərə bağlanmış yönləndirmə noutbukunuzu eyni kafe Wi-Fi şəbəkəsindəki hər kəs üçün korporativ şəbəkəyə açıq relayə çevirir. Port artıq istifadə olunursa, başqa yüksək port seçin və görüntüləyicini yeniləyin; nümunənin uyğun gəlməsi üçün əlaqəsiz xidməti dayandırmayın.

Bastiondakı hesabın da həmin təyinat nöqtəsinə yönləndirmə üçün icazəyə ehtiyacı var. Bəzi sərtləşdirilmiş SSH konfiqurasiyaları port yönləndirməsini tamamilə söndürür, bəziləri isə onu permit-listen və ya permit-open direktivi ilə məhdudlaşdırır. Rədd edilmiş kanalın parolun səhv olduğunu göstərdiyini düşünməzdən əvvəl server siyasətini oxuyun.

SSH nəyi şifrələyir və harada dayanır

SSH sessiyası Mac-dən bastiona qədər trafiki qoruyur və yönləndirmə VNC protokolunu anlamadan həmin sessiyanın içində daşıyır. Qoşulma bastiondan hədəfə doğru ayrıldıqdan sonra artıq SSH sessiyanızın içində deyil. O son keçiddə hansı qorunma varsa, hədəf protokoluna və şəxsi şəbəkənin öz nəzarətlərinə aiddir.

Buna görə də adi VNC son keçidi yalnız ilk keçid SSH istifadə etdiyi üçün ucdan-uca şifrələnmiş kimi təsvir edilməməlidir. Seqmentləri dürüst təsvir edin: müştəridən bastiona qədər güclü, ondan sonra isə hədəf nəyi dəstəkləyirsə o. Əgər tələb bütün yolun bir mexanizmlə şifrələnməsidirsə, yönləndirmə buna cavab vermir.

Hədəfdə autentifikasiya yenidən ayrı məsələdir. SSH hesabı macOS girişi vermir və ekran paylaşma xidməti hələ də öz etimad məlumatlarını istəyir və hələ də öz giriş siyahısını tətbiq edir. Qoşulmanı qəbul edən yerli dinləyici uzaq xidmətin sessiyanı qəbul edib-etməyəcəyi barədə heç nə sübut etmir.

Tam VPN nə vaxt düzgün seçimdir

Tapşırıq birdən çox port tələb edəndə VPN seçin: Apple Remote Desktop-un idarəetmə və hesabat funksiyaları tək TCP yönləndirməsinin daşıya bilməyəcəyi əlavə TCP və UDP trafiki istifadə edir. Yönləndirmə bütün məhsulun qismən tətbiqi deyil; o, fərqli və daha kiçik bir vasitədir.

Bir neçə administrator dəyişən yerlərdən qoşulanda onu seçin, çünki idarə olunan profil hər kəsin əmr sətri icad etməsini tələb etmədən marşrutları, etimad məlumatlarını və siyasəti paylayır. Audit izi kimin nəyə qoşulduğunu göstərməli olduqda onu seçin, çünki istifadəçi başına SSH sessiyası və ortaq yerli yönləndirmə çox fərqli qeydlər buraxır.

Nəhayət, hədəf şəbəkəyə noutbukdan təşkilatın öz darvazası olmadan heç cür çatmaq mümkün olmamalıdırsa, onu seçin. Şəxsi yönləndirmə dizayn etibarilə həmin darvazanı yan keçir və buna görə də qabıq tarixçəsinə deyil, dəyişiklik qeydinə aiddir.

Yönləndirməni uca səslə uğursuz edin

Uğursuz bağlanmanın qoşulmuş görünən və heç nə ötürməyən qabıq buraxmaq əvəzinə sessiyanı dayandırması üçün ExitOnForwardFailure=yes istifadə edin. Host açarı yoxlamasını işlək saxlayın və paroldan çox açar və ya agentə üstünlük verin. Sonra görüntüləyicinin istifadə edəcəyi dəqiq URL-i sınaqdan keçirin, çünki işlək SSH sessiyası və işlək ekran qoşulması iki fərqli nəticədir.

macOS-də yerli müştəri üçün görüntüləyiciyə yerli URL vasitəsilə çatılır: open "vnc://127.0.0.1:15900". Pəncərə açılır və uzaq host autentifikasiyanı rədd edirsə, tunel qaydasındadır və problem hədəfdədir. Pəncərə heç açılmırsa, problem dinləyici və ya portdadır.

Bitirdikdə sessiyanı dayandırın və portu, bastionu, hədəfi və hesab siyasətini yazın. Heç kimin sənədləşdirmədiyi yönləndirmə altı ay sonra arxa qapıdan ayırd edilə bilməz və bu, onu kiçik, adlı və müvəqqəti saxlamaq üçün ən güclü arqumentdir.