Лакальнае перанакіраванне SSH ці поўны VPN для аднаго экрана Mac?

Вам трэба бачыць экран аднаго Mac са сваёй машыны, Mac знаходзіцца за хастам, да якога вы ўжо можаце падключыцца праз SSH, і пытанне ў тым, ці варта гэта VPN. Звычайна не варта. Адно лакальнае перанакіраванне праводзіць адзін TCP-порт праз сесію SSH, якая ў вас ужо ёсць, і для аднаго экрана на адным хасте гэта драбнейшая і больш кантралявальная схема, чым маршрутызацыя ўсёй сеткі.

Гэта вырашаюць тры ўмовы, і любая з іх можа штурхнуць вас да кіраванага VPN.

Гэта вырашаюць тры ўмовы

Першая — абсяг: адна служба на адным хасте ці некалькі хастаў і некалькі партоў. Другая — ці кожны пераход паміж бастыёнам і мэтай ужо давераны, бо SSH абараняе толькі той участак, які ён завяршае. Трэцяя — хто павінен падтрымліваць схему пасля таго, як вы яе зробіце, бо самаробны тунель звычайна перажывае чалавека, які яго разумеў. Назавіце гэтага чалавека да пачатку і запішыце каманду ў месца, дзе ён зможа яе знайсці. Недакументаванае перанакіраванне — гэта будучы інцыдэнт з адкладзенай датай пачатку.

Калі адказы — «адзін», «так» і «я, пакуль што», перанакіраванне — правільны інструмент. Калі любы адказ змяніўся, падтрыманая схема аддаленага доступу за год каштуе танней за разбор інцыдэнту, які ідзе за недакументаваным тунэлем.

Перанакіруйце адзін порт, а не сетку

Лакальнае перанакіраванне адкрывае слухач на вашай машыне і перадае кожнае злучэнне праз сервер SSH да пункту прызначэння, да якога гэты сервер можа дабрацца. Для Mac, чыя служба абагульвання экрана слухае TCP 5900, і бастыёна, які можа развязаць mac.corp.example, каманда кароткая і наўмысна вузкая. Кожная опцыя ў ёй існуе, каб трымаць схему малой: ні абалонкі, ні слухача на ўсіх інтэрфейсах, ні дэмана. Чытайце гэта як заяву аб абсягу, а не як рэцэпт.

ssh -N -o ExitOnForwardFailure=yes -L 127.0.0.1:15900:mac.corp.example:5900 [email protected]

Прывязка слухача да 127.0.0.1 трымае яго па-за ўсімі іншымі інтэрфейсамі. Гэта не фармальнасць: перанакіраванне, прывязанае да ўсіх інтэрфейсаў, ператварае ваш ноўтбук у адкрыты рэтранслятар у карпаратыўную сетку для любога ў той жа кавярні Wi-Fi. Калі порт ужо заняты, выберыце іншы высокі порт і абнавіце праглядальнік; не спыняйце староннюю службу, каб прыклад падыходзіў.

Уліковы запіс на бастыёне таксама патрэбен дазвол на перанакіраванне да гэтага пункту прызначэння. Некаторыя ўзмоцненыя канфігурацыі SSH цалкам адключаюць перанакіраванне партоў, а некаторыя абмяжоўваюць яго дырэктывай permit-listen або permit-open. Прачытайце палітыку сервера, перш чым лічыць, што адхілены канал азначае няправільны пароль.

Што шыфруе SSH і дзе гэта спыняецца

Сесія SSH абараняе трафік ад вашага Mac да бастыёна, а перанакіраванне нясе пратакол VNC унутры гэтай сесіі, не разумеючы яго. Як толькі злучэнне пакідае бастыён у бок мэты, яно ўжо не ўнутры вашай сесіі SSH. Любая абарона на гэтым апошнім пераходзе належыць пратаколу мэты і ўласным сродкам прыватнай сеткі.

Вось чаму звычайны апошні пераход VNC нельга апісваць як шыфраваны ад канца да канца толькі таму, што першы пераход выкарыстаў SSH. Апісвайце ўчасткі сумленна: моцна ад кліента да бастыёна, а далей — што падтрымлівае мэта. Калі патрабаванне ў тым, каб увесь шлях шыфраваўся адным механізмам, перанакіраванне гэтаму не адпавядае.

Аўтэнтыфікацыя на мэце зноў асобная. Уліковы запіс SSH не дае ўваходу ў macOS, і служба абагульвання экрана ўсё яшчэ патрабуе ўласныя ўліковыя даныя і ўсё яшчэ прымяняе ўласны спіс доступу. Лакальны слухач, які прымае злучэнне, нічога не даказвае пра тое, ці пусціць аддаленая служба сесію.

Калі поўны VPN — правільнае рашэнне

Выбірайце VPN, калі задача патрабуе больш за адзін порт: функцыі кіравання і справаздачнасці Apple Remote Desktop выкарыстоўваюць дадатковы трафік TCP і UDP, які адно перанакіраванне TCP не панясе. Перанакіраванне — не частковая рэалізацыя ўсяго прадукту; гэта іншы, драбнейшы інструмент.

Выбірайце яго, калі некалькі адміністратараў падключаюцца з розных месцаў, бо кіраваны профіль раздае маршруты, уліковыя даныя і палітыку без таго, каб кожны вынаходзіў камандны радок. Выбірайце яго, калі журнал аўдыту павінен паказваць, хто да чаго падключаўся, бо сесія SSH на карыстальніка і агульнае лакальнае перанакіраванне пакідаюць вельмі розныя запісы.

Выбірайце яго, нарэшце, калі сетка мэты наогул не павінна быць дасяжнай з ноўтбука без уласнай брамы арганізацыі. Асабістае перанакіраванне абыходзіць гэтую браму па задуме, і менавіта таму яно належыць у запіс змен, а не ў гісторыю абалонкі.

Прымусьце перанакіраванне гучна падаць

Выкарыстоўвайце ExitOnForwardFailure=yes, каб няўдалая прывязка спыняла сесію, а не пакідала абалонку, якая выглядае падключанай і нічога не перанакіроўвае. Трымайце праверку ключа хаста ўключанай і аддавайце перавагу ключу або агенту перад паролем. Затым праверце дакладны URL, які будзе выкарыстоўваць праглядальнік, бо працоўная сесія SSH і працоўнае злучэнне з экранам — два розныя вынікі.

Для натыўнага кліента ў macOS праглядальнік дасягаецца праз лакальны URL: open "vnc://127.0.0.1:15900". Калі акно адкрываецца, а аддалены хост адхіляе аўтэнтыфікацыю, тунель у парадку, і праблема на мэце. Калі акно ніколі не адкрываецца, праблема ў слухачы або порце.

Спыніце сесію, калі скончыце, і запішыце порт, бастыён, мэту і палітыку ўліковага запісу. Перанакіраванне, якое ніхто не дакументаваў, праз шэсць месяцаў не адрозніць ад чорнага ходу, і гэта наймацнейшы аргумент трымаць яго малым, названым і часовым.