Lokale SSH-trochferwizing of folsleine VPN foar ien Mac-skerm?

Jo moatte it skerm fan ien Mac fan jo eigen masine ôf sjen, de Mac stiet efter in host wêr’t jo al fia SSH by kinne, en de fraach is oft dat in VPN fertsjinnet. Meastentiids net. Ien lokale trochferwizing draacht ien TCP-poarte troch de SSH-sesje dy’t jo al hawwe, en foar ien skerm op ien host is dat in lytsere en better kontrolearbere regeling as it rûtesjen fan in hiel netwurk.

Trije betingsten beslisse it, en elk fan har kin jo ynstee nei de beheardef VPN triuwe.

Trije betingsten beslisse it

De earste is berik: ien tsjinst op ien host, of ferskate hosts en ferskate poarten. De twadde is oft elke sprong tusken de bastion en it doel al fertrouwe is, om’t SSH allinnich it segmint beskermet dat it einiget. De tredde is wa’t de regeling stypje moat neidat jo it boud hawwe, om’t in mei de hân makke tunnel meastentiids langer libbet as de persoan dy’t him begriep. Neam dy persoan foardat jo begjinne, en skriuw it kommando op in plak dêr’t hy it fine kin. In net dokumintearre trochferwizing is in takomstich ynsidint mei in útstelde begjindatum.

As de antwurden «ien», «ja» en «ik, foarearst» binne, is de trochferwizing it goede helpmiddel. As ien antwurd feroaret, is in stipe ûntwerp foar tagong op ôfstân oer in jier goedkeaper as de ynsidintresinsje dy’t op in net dokumintearre tunnel folget.

Trochferwize ien poarte, net it netwurk

In lokale trochferwizing iepenet in harker op jo masine en ferstjoert elke ferbining fia de SSH-tsjinner nei in bestimming dy’t dy tsjinner berikke kin. Foar in Mac waans skermdieltsjinst op TCP 5900 harket, en in bastion dat mac.corp.example oplosse kin, is it kommando koart en mei opset smel. Elke opsje deryn bestiet om de regeling lyts te hâlden: gjin shell, gjin harker op alle ynterfaces, gjin daemon. Lês it as in berikferklearring, net as in resept.

ssh -N -o ExitOnForwardFailure=yes -L 127.0.0.1:15900:mac.corp.example:5900 [email protected]

It binen fan de harker oan 127.0.0.1 hâldt him fuort fan alle oare ynterfaces. Dat is gjin formaliteit: in trochferwizing bûn oan alle ynterfaces makket jo laptop ta in iepen relais yn it bedriuwsnetwurk foar elkenien op deselde kafee-Wi-Fi. As de poarte al yn gebrûk is, kies dan in oare hege poarte en fernij de besjenner; stop gjin net besibbe tsjinst om it foarbyld te litten passe.

It akkount op de bastion hat ek tastimming nedich om nei dy bestimming troch te ferwizen. Guon ferhurde SSH-konfiguraasjes skeakelje poartetrochferwizing hielendal út, en guon beheine it mei in permit-listen- of permit-open-rigel. Lês it tsjinnerbelied foardat jo oannimme dat in wegere kanaal betsjut dat it wachtwurd ferkeard wie.

Wat SSH fersiferet, en wêr’t it ophâldt

De SSH-sesje beskermet ferkear fan jo Mac nei de bastion, en de trochferwizing draacht it VNC-protokoll binnen dy sesje sûnder it te begripen. Sadree’t de ferbining de bastion ferlit rjochting it doel, is it net mear binnen jo SSH-sesje. Hokker beskerming dan ek op dy lêste sprong bestiet, heart by it doelprotokoll en by de eigen kontrôles fan it partikuliere netwurk.

Dêrom moat in gewoane lêste VNC-sprong net as end-to-end fersifere beskreaun wurde allinnich om’t de earste sprong SSH brûkte. Beskriuw de segminten earlik: sterk fan klant nei bastion, en wat it doel dêrnei stipet. As de eask is dat it hiele paad troch ien meganisme fersifere wurdt, foldocht de trochferwizing dêroan net.

Autentikaasje by it doel is wer in apart gefal. It SSH-akkount jout gjin macOS-oanmelding, en de skermdieltsjinst freget noch altyd om har eigen bewiisstikken en past noch altyd har eigen tagongslist ta. In lokale harker dy’t in ferbining akseptearret, bewiist neat oer de fraach oft de tsjinst op ôfstân de sesje talitte sil.

Wannear’t de folsleine VPN de juste kar is

Kies de VPN as de taak mear as ien poarte nedich hat: de behear- en rapportfunksjes fan Apple Remote Desktop brûke ekstra TCP- en UDP-ferkear dat ien TCP-trochferwizing net drage kin. In trochferwizing is gjin foar in part ymplemintaasje fan it hiele produkt; it is in oar, lytser helpmiddel.

Kies him as ferskate behearders fan feroarjende plakken ferbine, om’t in beheard profyl rûtes, bewiisstikken en belied ferspriedt sûnder dat elk persoan in kommando-rigel betinke moat. Kies him as it audittraasje sjen moat wa’t wêrmei ferbûn wie, om’t in SSH-sesje per brûker en in dielde lokale trochferwizing hiel ferskillende registraasjes efterlitte.

Kies him, ta slot, as it doelnetwurk hielendal net fan in laptop berikber wêze moat sûnder de eigen poarte fan de organisaasje. In persoanlike trochferwizing giet nei ûntwerp om dy poarte hinne, en dêrom heart er yn in wizigingsregistraasje en net yn in shell-skiednis.

Lit de trochferwizing lûd mislearje

Brûk ExitOnForwardFailure=yes sadat in mislearre bining de sesje stopet ynstee fan in shell efter te litten dy’t ferbûn liket en neat trochferwiist. Hâld de ferifikaasje fan de hostkaai oan, en jou de foarkar oan in kaai of agent boppe in wachtwurd. Test dan de krekte URL dy’t de besjenner brûke sil, om’t in wurkjende SSH-sesje en in wurkjende skermferbining twa ferskillende resultaten binne.

Foar de native klant op macOS wurdt de besjenner berikt fia in lokale URL: open "vnc://127.0.0.1:15900". As it finster iepenet en de host op ôfstân de autentikaasje wegeret, is de tunnel yn oarder en leit it probleem by it doel. As it finster nea iepenet, leit it probleem by de harker of de poarte.

Stop de sesje as jo klear binne, en skriuw de poarte, de bastion, it doel en it akkountbelied op. In trochferwizing dy’t nimmen dokumintearre hat, is seis moannen letter net te ûnderskieden fan in efterdoar, en dat is it sterkste argumint om him lyts, neamd en tydlik te hâlden.