Paikallinen SSH-edelleenohjaus vai täysi VPN yhdelle Mac-näytölle?

Sinun on nähtävä yhden Macin näyttö omalta koneeltasi, Mac sijaitsee isännän takana, johon voit jo yhdistää SSH:lla, ja kysymys on, ansaitseeko se VPN:n. Yleensä ei. Yksi paikallinen edelleenohjaus kuljettaa yhden TCP-portin jo olemassa olevan SSH-istunnon läpi, ja yhdelle näytölle yhdellä isännällä se on pienempi ja paremmin auditoitava järjestely kuin koko verkon reitittäminen.

Kolme ehtoa ratkaisee sen, ja mikä tahansa niistä voi työntää sinut hallittuun VPN:ään sen sijaan.

Kolme ehtoa ratkaisee sen

Ensimmäinen on laajuus: yksi palvelu yhdellä isännällä tai useita isäntiä ja useita portteja. Toinen on se, onko jokainen hyppy bastionin ja kohteen välillä jo luotettu, koska SSH suojaa vain sen segmentin, jonka se päättää. Kolmas on se, kuka tukee järjestelyä sen rakentamisen jälkeen, koska käsin tehty tunneli yleensä elää pidempään kuin henkilö, joka sen ymmärsi. Nimeä tuo henkilö ennen aloittamista ja kirjoita komento paikkaan, josta hän löytää sen. Dokumentoimaton edelleenohjaus on tuleva tapaus, jonka alkamispäivä on siirretty.

Jos vastaukset ovat ”yksi”, ”kyllä” ja ”minä, toistaiseksi”, edelleenohjaus on oikea työkalu. Jos mikä tahansa vastaus muuttuu, tuettu etäkäyttöratkaisu on vuoden aikana halvempi kuin tapauskatsaus, joka seuraa dokumentoimatonta tunnelia.

Ohjaa yksi portti, ei verkkoa

Paikallinen edelleenohjaus avaa kuuntelijan koneellesi ja välittää jokaisen yhteyden SSH-palvelimen kautta kohteeseen, johon palvelin pääsee. Macille, jonka näytönjakopalvelu kuuntelee TCP 5900:ssa, ja bastionille, joka osaa ratkaista mac.corp.example, komento on lyhyt ja tarkoituksella kapea. Jokainen sen valinta on olemassa pitääkseen järjestelyn pienenä: ei kuorta, ei kuuntelijaa kaikilla liittymillä, ei taustaprosessia. Lue se laajuusilmoituksena, älä reseptinä.

ssh -N -o ExitOnForwardFailure=yes -L 127.0.0.1:15900:mac.corp.example:5900 [email protected]

Kuuntelijan sitominen osoitteeseen 127.0.0.1 pitää sen poissa kaikilta muilta liittymiltä. Se ei ole muodollisuus: kaikkiin liittymiin sidottu edelleenohjaus tekee kannettavastasi avoimen välityspisteen yritysverkkoon kaikille samassa kahvilan Wi-Fi-verkossa oleville. Jos portti on jo käytössä, valitse toinen korkea portti ja päivitä katselin; älä pysäytä asiaankuulumatonta palvelua, jotta esimerkki sopisi.

Myös bastionin tili tarvitsee luvan välittää tuohon kohteeseen. Jotkin kovennetut SSH-kokoonpanot poistavat porttien edelleenohjauksen kokonaan käytöstä, ja jotkin rajoittavat sitä permit-listen- tai permit-open-direktiivillä. Lue palvelimen käytäntö ennen kuin oletat hylätyn kanavan tarkoittavan väärää salasanaa.

Mitä SSH salaa ja mihin se pysähtyy

SSH-istunto suojaa liikenteen Maciltasi bastionille, ja edelleenohjaus kuljettaa VNC-protokollaa istunnon sisällä ymmärtämättä sitä. Kun yhteys lähtee bastionilta kohti kohdetta, se ei ole enää SSH-istuntosi sisällä. Mikä tahansa suojaus tuolla viimeisellä hypyllä kuuluu kohdeprotokollalle ja yksityisverkon omille kontrolleille.

Siksi tavallista viimeistä VNC-hyppyä ei pitäisi kuvata päästä päähän salatuksi vain siksi, että ensimmäinen hyppy käytti SSH:ta. Kuvaa segmentit rehellisesti: vahva asiakkaasta bastionille, ja sen jälkeen se, mitä kohde tukee. Jos vaatimus on, että koko polku salataan yhdellä mekanismilla, edelleenohjaus ei täytä sitä.

Todennus kohteessa on jälleen erillinen asia. SSH-tili ei anna macOS-kirjautumista, ja näytönjakopalvelu pyytää edelleen omat tunnistetietonsa ja soveltaa edelleen omaa käyttöluetteloaan. Paikallinen kuuntelija, joka hyväksyy yhteyden, ei todista mitään siitä, hyväksyykö etäpalvelu istunnon.

Milloin täysi VPN on oikea valinta

Valitse VPN, kun tehtävä tarvitsee useamman kuin yhden portin: Apple Remote Desktopin hallinta- ja raportointitoiminnot käyttävät ylimääräistä TCP- ja UDP-liikennettä, jota yksi TCP-edelleenohjaus ei kuljeta. Edelleenohjaus ei ole koko tuotteen osittainen toteutus; se on erilainen, pienempi työkalu.

Valitse se, kun useat ylläpitäjät yhdistävät vaihtuvista paikoista, koska hallittu profiili jakaa reitit, tunnistetiedot ja käytännöt ilman, että jokainen keksii komentorivin. Valitse se, kun auditointijäljen on näytettävä, kuka yhdisti mihin, koska käyttäjäkohtainen SSH-istunto ja jaettu paikallinen edelleenohjaus jättävät hyvin erilaiset tietueet.

Valitse se lopuksi silloin, kun kohdeverkkoon ei pitäisi päästä kannettavalta lainkaan ilman organisaation omaa porttia. Henkilökohtainen edelleenohjaus ohittaa tuon portin suunnittelun mukaisesti, ja juuri siksi se kuuluu muutostietueeseen eikä kuorihistoriaan.

Anna edelleenohjauksen epäonnistua äänekkäästi

Käytä ExitOnForwardFailure=yes-asetusta, jotta epäonnistunut sidonta pysäyttää istunnon sen sijaan, että jäljelle jää kuori, joka näyttää yhdistetyltä eikä välitä mitään. Pidä isäntäavaimen vahvistus päällä ja suosi avainta tai agenttia salasanan sijaan. Testaa sitten tarkka URL, jota katselin käyttää, koska toimiva SSH-istunto ja toimiva näyttöyhteys ovat kaksi eri tulosta.

macOS:n natiiville asiakkaalle katselin saavutetaan paikallisen URL:n kautta: open "vnc://127.0.0.1:15900". Jos ikkuna avautuu ja etäisäntä hylkää todennuksen, tunneli on kunnossa ja ongelma on kohteessa. Jos ikkuna ei koskaan avaudu, ongelma on kuuntelijassa tai portissa.

Pysäytä istunto, kun olet valmis, ja kirjoita muistiin portti, bastion, kohde ja tilin käytäntö. Edelleenohjaus, jota kukaan ei dokumentoinut, on kuusi kuukautta myöhemmin erottamaton takaportista, ja se on vahvin argumentti pitää se pienenä, nimettynä ja tilapäisenä.