Anfon SSH lleol neu VPN llawn ar gyfer un sgrin Mac?

Mae angen i chi weld sgrin un Mac o’ch peiriant eich hun, mae’r Mac y tu ôl i westeiwr y gallwch chi eisoes SSH iddo, a’r cwestiwn yw a yw hynny’n haeddu VPN. Fel arfer nag ydyw. Mae un anfoniad lleol yn cario un porth TCP trwy’r sesiwn SSH sydd gennych chi’n barod, ac ar gyfer un sgrin ar un gwesteiwr mae’n drefniant llai ac yn fwy archwiladwy na llwybro rhwydwaith gyfan.

Mae tri amod yn penderfynu hyn, a gall unrhyw un ohonynt eich gwthio tuag at y VPN a reolir.

Mae tri amod yn penderfynu hyn

Y cyntaf yw cwmpas: un gwasanaeth ar un gwesteiwr, neu sawl gwesteiwr a sawl porth. Yr ail yw a yw pob cam rhwng y bastiwn a’r targed eisoes yn cael ei ymddiried, oherwydd dim ond y rhan y mae’n ei therfynu y mae SSH yn ei diogelu. Y trydydd yw pwy sy’n rhaid cynnal y trefniant ar ôl i chi ei adeiladu, gan fod twnnel a wneir â llaw yn tueddu i oroesi’r person a’i deallodd. Enwch y person hwnnw cyn i chi ddechrau, ac ysgrifennwch y gorchymyn mewn lle y gall ei ganfod. Mae anfoniad heb ei ddogfennu yn ddigwyddiad yn y dyfodol â dyddiad dechrau wedi’i ohirio.

Os yr atebion yw «un», «ie» a «mi, am y tro», yr anfoniad yw’r offeryn cywir. Os bydd unrhyw ateb yn newid, mae dyluniad mynediad o bell â chefnogaeth yn rhatach dros flwyddyn na’r adolygiad digwyddiad sy’n dilyn twnnel heb ei ddogfennu.

Anfonwch un porth, nid y rhwydwaith

Mae anfoniad lleol yn agor gwrandäwr ar eich peiriant ac yn anfon pob cysylltiad trwy’r gweinydd SSH i gyrchfan y gall y gweinydd hwnnw gyrraedd. Ar gyfer Mac y mae ei wasanaeth rhannu sgrin yn gwrando ar TCP 5900, a bastiwn sy’n gallu datrys mac.corp.example, mae’r gorchymyn yn fyr ac yn fwriadol gul. Mae pob opsiwn ynddo yn bodoli i gadw’r trefniant yn fach: dim cragen, dim gwrandäwr ar bob rhyngwyneb, dim daemon. Darllenwch ef fel datganiad cwmpas yn hytrach na rysáit.

ssh -N -o ExitOnForwardFailure=yes -L 127.0.0.1:15900:mac.corp.example:5900 [email protected]

Mae clymu’r gwrandäwr i 127.0.0.1 yn ei gadw oddi ar bob rhyngwyneb arall. Nid ffurfioldeb yw hyn: mae anfoniad wedi’i glymu i bob rhyngwyneb yn troi eich gliniadur yn relái agored i mewn i’r rhwydwaith corfforaethol i unrhyw un ar yr un Wi-Fi yn y caffi. Os yw’r porth eisoes yn cael ei ddefnyddio, dewiswch borth uchel arall a diweddarwch y gwyliwr; peidiwch â stopio gwasanaeth diberthyn i wneud i’r enghraifft gyd-fynd.

Mae angen caniatâd hefyd ar y cyfrif ar y bastiwn i anfon i’r gyrchfan honno. Mae rhai cyfluniadau SSH caled yn analluogi anfon pyrth yn gyfan gwbl, ac mae rhai yn ei gyfyngu â gorchymyn permit-listen neu permit-open. Darllenwch bolisi’r gweinydd cyn tybio bod sianel wedi’i gwrthod yn golygu bod y cyfrinair yn anghywir.

Beth mae SSH yn ei amgryptio, a ble mae’n stopio

Mae’r sesiwn SSH yn diogelu traffig o’ch Mac i’r bastiwn, ac mae’r anfoniad yn cario protocol VNC y tu mewn i’r sesiwn honno heb ei ddeall. Unwaith y bydd y cysylltiad yn gadael y bastiwn tuag at y targed, nid yw mwyach y tu mewn i’ch sesiwn SSH. Pa bynnag amddiffyniad sydd ar y cam olaf hwnnw, mae’n perthyn i brotocol y targed ac i reolaethau’r rhwydwaith preifat ei hun.

Dyna pam na ddylid disgrifio cam olaf VNC plaen fel un wedi’i amgryptio o’r naill ben i’r llall dim ond oherwydd bod y cam cyntaf wedi defnyddio SSH. Disgrifiwch y segmentau’n onest: cryf o’r cleient i’r bastiwn, a’r hyn bynnag y mae’r targed yn ei gefnogi wedyn. Os yw’r gofyniad yn golygu bod y llwybr cyfan yn cael ei amgryptio gan un mecanwaith, nid yw’r anfoniad yn ei fodloni.

Mae dilysu ar y targed ar wahân eto. Nid yw’r cyfrif SSH yn rhoi mewngofnod macOS, ac mae’r gwasanaeth rhannu sgrin yn dal i ofyn am ei gymwysterau ei hun ac yn dal i gymhwyso ei restr mynediad ei hun. Nid yw gwrandäwr lleol sy’n derbyn cysylltiad yn profi dim am a fydd y gwasanaeth o bell yn derbyn y sesiwn.

Pryd yw’r VPN llawn yn benderfyniad cywir

Dewiswch y VPN pan fydd y dasg angen mwy nag un porth: mae swyddogaethau rheoli ac adrodd Apple Remote Desktop yn defnyddio traffig TCP a UDP ychwanegol na fydd un anfoniad TCP yn ei gario. Nid yw anfoniad yn weithrediad rhannol o’r cynnyrch cyfan; offeryn gwahanol, llai yw ef.

Dewiswch ef pan fydd sawl gweinyddwr yn cysylltu o leoliadau sy’n newid, oherwydd mae proffil a reolir yn dosbarthu llwybrau, cymwysterau a pholisi heb i bob person ddyfeisio llinell orchymyn. Dewiswch ef pan fydd yn rhaid i’r trywydd archwilio ddangos pwy gysylltodd â beth, gan fod sesiwn SSH fesul defnyddiwr ac anfoniad lleol a rannir yn gadael cofnodion tra gwahanol.

Dewiswch ef, yn olaf, pan na ddylid gallu cyrraedd y rhwydwaith targed o liniadur o gwbl heb giât yr sefydliad ei hun. Mae anfoniad personol yn osgoi’r giât honno yn ôl ei ddyluniad, a dyna’n union pam y mae’n perthyn i gofnod newid yn hytrach nag i hanes cragen.

Gwnewch i’r anfoniad fethu’n uchel

Defnyddiwch ExitOnForwardFailure=yes fel bod clymu sy’n methu yn stopio’r sesiwn yn lle gadael cragen sy’n edrych yn gysylltiedig ac nad yw’n anfon dim. Cadwch wirio allwedd y gwesteiwr ymlaen, a dewiswch allwedd neu asiant yn hytrach na chyfrinair. Yna profwch yr URL union y bydd y gwyliwr yn ei ddefnyddio, gan fod sesiwn SSH sy’n gweithio a chysylltiad sgrin sy’n gweithio yn ddau ganlyniad gwahanol.

Ar gyfer y cleient brodorol ar macOS, cyrchir y gwyliwr trwy URL lleol: open "vnc://127.0.0.1:15900". Os yw’r ffenestr yn agor ac mae’r gwesteiwr o bell yn gwrthod dilysu, mae’r twnnel yn iawn ac mae’r broblem ar y targed. Os nad yw’r ffenestr byth yn agor, y gwrandäwr neu’r porth yw’r broblem.

Stopiwch y sesiwn pan fyddwch wedi gorffen, ac ysgrifennwch y porth, y bastiwn, y targed a pholisi’r cyfrif. Mae anfoniad na ddogfennodd neb yn amhosibl ei wahaniaethu oddi wrth ddrws cefn chwe mis yn ddiweddarach, a dyna’r ddadl gryfaf dros ei gadw’n fach, wedi’i enwi ac yn dros dro.