SSH tokiko birbidalketa edo VPN osoa Mac pantaila baterako?

Zure makina propiotik Mac baten pantaila ikusi behar duzu, Mac dagoeneko SSH bidez sar zaitekeen host baten atzean dago, eta galdera da horrek VPN bat merezi duen. Normalean ez. Tokiko birbidalketa bakar batek TCP portu bat eramaten du jada duzun SSH saioaren bidez, eta host bakarreko pantaila baterako host oso bat bideratzea baino antolamendu txikiagoa eta ikuskaerrazagoa da.

Hiru baldintzek erabakitzen dute, eta horietako edozeinek VPN kudeaturantz bultza zaitzake.

Hiru baldintzek erabakitzen dute

Lehena esparrua da: zerbitzu bat host bakarrean, edo hainbat host eta hainbat portu. Bigarrena da bastioiaren eta helburuaren arteko jauzi bakoitza jada fidagarria den, SSH-k amaitzen duen segmentua bakarrik babesten baitu. Hirugarrena da nork eutsi behar dion antolamenduari eraiki ondoren, eskuz egindako tunel bat ulertu zuen pertsonari bizirauteko joera baitu. Izenda ezazu pertsona hori hasi aurretik, eta idatzi komandoa aurkitu dezakeen lekuan. Dokumentatu gabeko birbidalketa hasiera-data atzeratua duen etorkizuneko gertaera bat da.

Erantzunak «bat», «bai» eta «ni, oraingoz» badira, birbidalketa da tresna egokia. Erantzunen bat aldatzen bada, urtetik urtera babestutako urrutiko sarbidearen diseinu bat dokumentatu gabeko tunel baten ondorengo gertaeren berrikuspena baino merkeagoa da.

Bidali portu bat, ez sarea

Tokiko birbidalketa batek entzule bat irekitzen du zure makinean, eta konexio bakoitza SSH zerbitzaritik pasatzen du zerbitzari horrek irits dezakeen helmugarantz. TCP 5900-an entzuten duen pantaila partekatzeko zerbitzua duen Mac baterako, eta mac.corp.example ebatzi dezakeen bastioi baterako, komandoa laburra eta nahita estua da. Bere barruko aukera bakoitza antolamendua txikia mantentzeko dago: ez shellik, ez entzulerik interfaze guztietan, ez daemonik. Irakurri esparru-adierazpen gisa, ez errezeta gisa.

ssh -N -o ExitOnForwardFailure=yes -L 127.0.0.1:15900:mac.corp.example:5900 [email protected]

Entzulea 127.0.0.1-era lotzeak beste interfaze guztietatik urrun mantentzen du. Hori ez da formalitate hutsa: interfaze guztietara lotutako birbidalketa batek zure eramangarria enpresa-sarerako errele ireki bihurtzen du kafetegiko Wi-Fi berean dagoen edonorentzat. Portua jada erabilia badago, aukeratu beste portu altu bat eta eguneratu ikustailea; ez gelditu zerikusirik ez duen zerbitzurik adibidea egokitzeagatik.

Bastioiko kontuak ere baimena behar du helmuga horretara birbidaltzeko. SSH konfigurazio gogortu batzuek portu-birbidalketa erabat desgaitzen dute, eta beste batzuek permit-listen edo permit-open direktibarekin mugatzen dute. Irakurri zerbitzariaren politika, kanal ukatuek pasahitza oker zegoela esan nahi duten suposatu aurretik.

Zer zifratzen duen SSH-k, eta non gelditzen den

SSH saioak zure Mac-etik bastioirako trafikoa babesten du, eta birbidalketak VNC protokoloa saio horren barruan eramaten du, ulertu gabe. Konexioak bastioia utzi eta helbururantz abiatzen denean, ez dago jada zure SSH saioaren barruan. Azken jauzi horretan dagoen babes oro helburuaren protokoloari eta sare pribatuaren beraren kontrolari dagokio.

Horregatik, azken VNC jauzi soil bat ez litzateke muturretik muturrera zifratutzat deskribatu behar lehen jauziak SSH erabili zuelako bakarrik. Deskribatu segmentuak zintzotasunez: sendoa bezeroitik bastioira, eta ondoren helburuak onartzen duena. Baldintza bidea osoa mekanismo bakar baten bidez zifratzea bada, birbidalketak ez du betetzen.

Helburuan autentifikazioa berriz ere kontu bereizia da. SSH kontuak ez dio macOS saio-hasierarik ematen, eta pantaila partekatzeko zerbitzuak oraindik bere kredentzialak eskatzen ditu eta oraindik bere sarbide-zerrenda aplikatzen du. Konexio bat onartzen duen tokiko entzule batek ez du ezer frogatzen urrutiko zerbitzuak saioa onartuko duen ala ez.

Noiz den VPN osoa erabaki zuzena

Aukeratu VPN-a zereginak portu bat baino gehiago behar dituenean: Apple Remote Desktop-en kudeaketa eta txosten funtzioek TCP eta UDP trafiko gehigarria erabiltzen dute, TCP birbidalketa bakar batek eramango ez duena. Birbidalketa ez da produktu osoaren inplementazio partziala; beste tresna txikiago bat da.

Aukeratu hura hainbat administratzaile aldatzen diren lekutatik konektatzen direnean, profile kudeatu batek ibilbideak, kredentzialak eta politika banatzen baititu inork komando-lerroa asmatu behar izan gabe. Aukeratu hura auditoria-arrastoak nork zerekin konektatu zuen erakutsi behar duenean, erabiltzaile bakoitzeko SSH saioak eta tokiko birbidalketa partekatuak oso erregistro desberdinak uzten baitituzte.

Aukeratu hura, azkenik, helburuko sarea eramangarri batetik erakundearen ate propiorik gabe irisgarria ez izan behar denean. Birbidalketa pertsonalak ate hori diseinuz saihesten du, eta horrexegatik dagokio aldaketa-erregistro bati eta ez shell historialari.

Egin birbidalketa ozenki huts

Erabili ExitOnForwardFailure=yes lotura huts egindakoan saioa gelditzeko, konektatuta dirudien eta ezer birbidaltzen ez duen shell bat utzi beharrean. Mantendu host gakoaren egiaztapena piztuta, eta hobetsi gako edo agente bat pasahitz baten ordez. Ondoren probatu ikustaileak erabiliko duen URL zehatza, SSH saio funtzional bat eta pantaila konexio funtzional bat bi emaitza desberdinak baitira.

macOS-eko bezero natiborako, ikustailea tokiko URL baten bidez iristen da: open "vnc://127.0.0.1:15900". Leihoa ireki eta urrutiko hostak autentifikazioa ukatzen badu, tunela ondo dago eta arazoa helburuan dago. Leihoa inoiz irekitzen ez bada, arazoa entzulean edo portuan dago.

Gelditu saioa amaitu duzunean, eta idatzi portua, bastioia, helburua eta kontuaren politika. Inork dokumentatu gabeko birbidalketa ezin da atzeko atetik bereizi sei hilabete geroago, eta hori da txikia, izendatua eta behin-behinekoa mantentzeko argudiorik indartsuena.