Τοπική προώθηση SSH ή πλήρες VPN για μία οθόνη Mac;

Πρέπει να δείτε την οθόνη ενός Mac από το δικό σας μηχάνημα, ο Mac βρίσκεται πίσω από έναν κεντρικό υπολογιστή στον οποίο μπορείτε ήδη να συνδεθείτε με SSH, και το ερώτημα είναι αν αυτό δικαιολογεί ένα VPN. Συνήθως όχι. Μία τοπική προώθηση μεταφέρει μία θύρα TCP μέσα από τη συνεδρία SSH που έχετε ήδη, και για μία οθόνη σε έναν κεντρικό υπολογιστή αυτή είναι μια μικρότερη και πιο ελέγξιμη ρύθμιση από τη δρομολόγηση ολόκληρου δικτύου.

Τρεις συνθήκες το κρίνουν, και οποιαδήποτε από αυτές μπορεί να σας σπρώξει προς το διαχειριζόμενο VPN.

Τρεις συνθήκες το κρίνουν

Η πρώτη είναι το εύρος: μία υπηρεσία σε έναν κεντρικό υπολογιστή ή πολλοί κεντρικοί υπολογιστές και πολλές θύρες. Η δεύτερη είναι αν κάθε άλμα μεταξύ του προμαχώνα και του στόχου είναι ήδη αξιόπιστο, επειδή το SSH προστατεύει μόνο το τμήμα που τερματίζει. Η τρίτη είναι ποιος πρέπει να υποστηρίξει τη ρύθμιση αφού την φτιάξετε, καθώς ένα χειροποίητο τούνελ τείνει να επιβιώνει του ατόμου που το καταλάβαινε. Ονομάστε αυτό το άτομο πριν ξεκινήσετε, και γράψτε την εντολή σε ένα σημείο όπου μπορεί να τη βρει. Μια ακαταχώριστη προώθηση είναι ένα μελλοντικό περιστατικό με αναβαλλόμενη ημερομηνία έναρξης.

Αν οι απαντήσεις είναι «μία», «ναι» και «εγώ, προς το παρόν», η προώθηση είναι το σωστό εργαλείο. Αν αλλάξει οποιαδήποτε απάντηση, ένα υποστηριζόμενο σχέδιο απομακρυσμένης πρόσβασης είναι φθηνότερο σε ένα έτος από την ανασκόπηση περιστατικού που ακολουθεί ένα ακαταχώριστο τούνελ.

Προωθήστε μία θύρα, όχι το δίκτυο

Μια τοπική προώθηση ανοίγει έναν ακροατή στο μηχάνημά σας και δρομολογεί κάθε σύνδεση μέσω του διακομιστή SSH προς έναν προορισμό που ο διακομιστής μπορεί να φτάσει. Για ένα Mac του οποίου η υπηρεσία κοινής χρήσης οθόνης ακούει στη θύρα TCP 5900, και έναν προμαχώνα που μπορεί να επιλύσει το mac.corp.example, η εντολή είναι σύντομη και σκόπιμα στενή. Κάθε επιλογή μέσα της υπάρχει για να μένει η ρύθμιση μικρή: χωρίς κέλυφος, χωρίς ακροατή σε όλες τις διεπαφές, χωρίς δαίμονα. Διαβάστε την ως δήλωση εύρους και όχι ως συνταγή.

ssh -N -o ExitOnForwardFailure=yes -L 127.0.0.1:15900:mac.corp.example:5900 [email protected]

Η δέσμευση του ακροατή στο 127.0.0.1 τον κρατά μακριά από κάθε άλλη διεπαφή. Αυτό δεν είναι τυπικότητα: μια προώθηση δεσμευμένη σε όλες τις διεπαφές μετατρέπει το φορητό σας σε ανοιχτό αναμεταδότη προς το εταιρικό δίκτυο για οποιονδήποτε στο ίδιο Wi-Fi του καφέ. Αν η θύρα χρησιμοποιείται ήδη, επιλέξτε άλλη υψηλή θύρα και ενημερώστε τον προβολέα· μην σταματήσετε μια άσχετη υπηρεσία για να ταιριάξει το παράδειγμα.

Ο λογαριασμός στον προμαχώνα χρειάζεται επίσης άδεια για προώθηση προς αυτόν τον προορισμό. Ορισμένες σκληρυμένες ρυθμίσεις SSH απενεργοποιούν εντελώς την προώθηση θυρών, και ορισμένες την περιορίζουν με οδηγία permit-listen ή permit-open. Διαβάστε την πολιτική του διακομιστή πριν υποθέσετε ότι ένα απορριφθέν κανάλι σημαίνει λάθος κωδικό.

Τι κρυπτογραφεί το SSH και πού σταματά

Η συνεδρία SSH προστατεύει την κίνηση από το Mac σας προς τον προμαχώνα, και η προώθηση μεταφέρει το πρωτόκολλο VNC μέσα σε αυτή τη συνεδρία χωρίς να το κατανοεί. Μόλις η σύνδεση εγκαταλείψει τον προμαχώνα προς τον στόχο, δεν βρίσκεται πια μέσα στη συνεδρία SSH σας. Όποια προστασία υπάρχει σε αυτό το τελευταίο άλμα ανήκει στο πρωτόκολλο του στόχου και στους δικούς του ελέγχους του ιδιωτικού δικτύου.

Γι' αυτό ένα απλό τελευταίο άλμα VNC δεν πρέπει να περιγράφεται ως κρυπτογραφημένο από άκρη σε άκρη μόνο επειδή το πρώτο άλμα χρησιμοποίησε SSH. Περιγράψτε τα τμήματα ειλικρινά: ισχυρό από τον πελάτη έως τον προμαχώνα, και ό,τι υποστηρίζει ο στόχος μετά. Αν η απαίτηση είναι να κρυπτογραφείται ολόκληρη η διαδρομή από έναν μηχανισμό, η προώθηση δεν την καλύπτει.

Η πιστοποίηση στον στόχο είναι και πάλι ξεχωριστή. Ο λογαριασμός SSH δεν παρέχει σύνδεση στο macOS, και η υπηρεσία κοινής χρήσης οθόνης ζητά ακόμη τα δικά της διαπιστευτήρια και εφαρμόζει ακόμη τη δική της λίστα πρόσβασης. Ένας τοπικός ακροατής που δέχεται μια σύνδεση δεν αποδεικνύει τίποτα για το αν η απομακρυσμένη υπηρεσία θα δεχθεί τη συνεδρία.

Πότε το πλήρες VPN είναι η σωστή επιλογή

Επιλέξτε το VPN όταν η εργασία χρειάζεται περισσότερες από μία θύρες: οι λειτουργίες διαχείρισης και αναφορών του Apple Remote Desktop χρησιμοποιούν πρόσθετη κίνηση TCP και UDP που μία προώθηση TCP δεν μπορεί να μεταφέρει. Η προώθηση δεν είναι μερική υλοποίηση ολόκληρου του προϊόντος· είναι ένα διαφορετικό, μικρότερο εργαλείο.

Επιλέξτε το όταν πολλοί διαχειριστές συνδέονται από μεταβαλλόμενες τοποθεσίες, επειδή ένα διαχειριζόμενο προφίλ διανέμει διαδρομές, διαπιστευτήρια και πολιτική χωρίς κάθε άτομο να εφευρίσκει μια γραμμή εντολών. Επιλέξτε το όταν το ίχνος ελέγχου πρέπει να δείχνει ποιος συνδέθηκε με τι, καθώς μια συνεδρία SSH ανά χρήστη και μια κοινή τοπική προώθηση αφήνουν πολύ διαφορετικά αρχεία.

Επιλέξτε το, τέλος, όταν το δίκτυο στόχος δεν πρέπει να είναι προσβάσιμο από φορητό χωρίς την ίδια την πύλη του οργανισμού. Μια προσωπική προώθηση παρακάμπτει αυτή την πύλη εξ ορισμού, και γι' αυτό ακριβώς ανήκει σε ένα αρχείο αλλαγών και όχι σε ένα ιστορικό κελύφους.

Κάντε την προώθηση να αποτυγχάνει ηχηρά

Χρησιμοποιήστε το ExitOnForwardFailure=yes ώστε μια αποτυχημένη δέσμευση να σταματά τη συνεδρία αντί να αφήνει ένα κέλυφος που φαίνεται συνδεδεμένο και δεν προωθεί τίποτα. Κρατήστε ενεργή την επαλήθευση κλειδιού κεντρικού υπολογιστή, και προτιμήστε κλειδί ή πράκτορα αντί για κωδικό. Στη συνέχεια δοκιμάστε το ακριβές URL που θα χρησιμοποιήσει ο προβολέας, επειδή μια λειτουργική συνεδρία SSH και μια λειτουργική σύνδεση οθόνης είναι δύο διαφορετικά αποτελέσματα.

Για τον εγγενή πελάτη στο macOS, ο προβολέας προσεγγίζεται μέσω τοπικού URL: open "vnc://127.0.0.1:15900". Αν το παράθυρο ανοίξει και ο απομακρυσμένος κεντρικός υπολογιστής απορρίψει την πιστοποίηση, το τούνελ είναι εντάξει και το πρόβλημα είναι στον στόχο. Αν το παράθυρο δεν ανοίξει ποτέ, το πρόβλημα είναι ο ακροατής ή η θύρα.

Σταματήστε τη συνεδρία όταν τελειώσετε, και σημειώστε τη θύρα, τον προμαχώνα, τον στόχο και την πολιτική λογαριασμού. Μια προώθηση που δεν τεκμηρίωσε κανείς δεν διακρίνεται από μια πίσω πόρτα έξι μήνες αργότερα, και αυτό είναι το ισχυρότερο επιχείρημα για να την κρατάτε μικρή, ονομασμένη και προσωρινή.