એક Mac સ્ક્રીન માટે સ્થાનિક SSH ફોર્વર્ડિંગ કે સંપૂર્ણ VPN?

તમારે તમારા પોતાના મશીનથી એક Mac ની સ્ક્રીન જોવાની જરૂર છે, Mac એ હોસ્ટ પાછળ છે જેમાં તમે પહેલેથી SSH કરી શકો છો, અને પ્રશ્ન એ છે કે શું તે VPN ને લાયક છે. સામાન્ય રીતે નહીં. એક સ્થાનિક ફોર્વર્ડિંગ તમારી પાસે પહેલેથી હાજર SSH સેશન દ્વારા એક TCP પોર્ટ વહન કરે છે, અને એક હોસ્ટ પર એક સ્ક્રીન માટે આ આખું નેટવર્ક રૂટ કરવા કરતાં નાની અને વધુ ઓડિટપાત્ર ગોઠવણ છે.

ત્રણ શરતો આ નક્કી કરે છે, અને તેમાંથી કોઈપણ એક તમને સંચાલિત VPN તરફ ધકેલી શકે છે.

ત્રણ શરતો આ નક્કી કરે છે

પ્રથમ વ્યાપ્તિ છે: એક હોસ્ટ પર એક સેવા, અથવા ઘણા હોસ્ટ અને ઘણા પોર્ટ. બીજું એ છે કે બાસ્ટિયન અને લક્ષ્ય વચ્ચેનું દરેક પગલું પહેલેથી વિશ્વાસપાત્ર છે કે નહીં, કારણ કે SSH ફક્ત તે સેગમેન્ટનું રક્ષણ કરે છે જે તે સમાપ્ત કરે છે. ત્રીજું એ છે કે તમે તેને બનાવ્યા પછી કોણે આ ગોઠવણને ટેકો આપવો જોઈએ, કારણ કે હાથે બનાવેલી ટનલ સામાન્ય રીતે તેને સમજનાર વ્યક્તિ કરતાં વધુ જીવે છે. શરૂ કરતા પહેલા તે વ્યક્તિનું નામ લો, અને આદેશ એવી જગ્યાએ લખો જ્યાં તેને મળી શકે. દસ્તાવેજ વગરનું ફોર્વર્ડિંગ એ મોડી શરૂઆતની તારીખ ધરાવતી ભવિષ્યની ઘટના છે.

જો જવાબ «એક», «હા» અને «હું, હાલ માટે» હોય, તો ફોર્વર્ડિંગ યોગ્ય સાધન છે. જો કોઈપણ જવાબ બદલાય, તો ટેકો ધરાવતી દૂરસ્થ પ્રવેશ રચના વર્ષ દરમિયાન દસ્તાવેજ વગરની ટનલ પછી આવતી ઘટના સમીક્ષા કરતાં સસ્તી છે.

એક પોર્ટ ફોર્વર્ડ કરો, નેટવર્ક નહીં

સ્થાનિક ફોર્વર્ડિંગ તમારા મશીન પર એક શ્રોતા ખોલે છે અને દરેક જોડાણને SSH સર્વર દ્વારા એવા લક્ષ્ય સુધી મોકલે છે જ્યાં તે સર્વર પહોંચી શકે. જેની સ્ક્રીન-શેરિંગ સેવા TCP 5900 પર સાંભળે છે તેવા Mac માટે, અને mac.corp.example ઉકેલી શકે તેવા બાસ્ટિયન માટે, આદેશ ટૂંકો અને જાણી જોઈને સાંકડો છે. તેમાંનો દરેક વિકલ્પ ગોઠવણને નાની રાખવા માટે છે: કોઈ શેલ નહીં, બધા ઇન્ટરફેસ પર શ્રોતા નહીં, કોઈ ડેમન નહીં. તેને રેસિપી નહીં, પરંતુ વ્યાપ્તિના નિવેદન તરીકે વાંચો.

ssh -N -o ExitOnForwardFailure=yes -L 127.0.0.1:15900:mac.corp.example:5900 [email protected]

શ્રોતાને 127.0.0.1 સાથે બાંધવાથી તે અન્ય દરેક ઇન્ટરફેસથી દૂર રહે છે. આ ઔપચારિકતા નથી: બધા ઇન્ટરફેસ સાથે બંધાયેલું ફોર્વર્ડિંગ તમારા લેપટોપને એ જ કાફે Wi-Fi પરના કોઈપણ માટે કોર્પોરેટ નેટવર્કમાં ખુલ્લું રિલે બનાવે છે. જો પોર્ટ પહેલેથી વપરાયેલો હોય, તો બીજો ઊંચો પોર્ટ પસંદ કરો અને વ્યુઅર અપડેટ કરો; ઉદાહરણ ફિટ થાય તે માટે અસંબંધિત સેવા બંધ ન કરો.

બાસ્ટિયન પરના ખાતાને પણ તે લક્ષ્ય તરફ ફોર્વર્ડ કરવાની પરવાનગી જોઈએ. કેટલાક કઠોર SSH કન્ફિગરેશન પોર્ટ ફોર્વર્ડિંગ સંપૂર્ણપણે બંધ કરે છે, અને કેટલાક તેને permit-listen અથવા permit-open નિર્દેશ સાથે મર્યાદિત કરે છે. નકારેલી ચેનલનો અર્થ પાસવર્ડ ખોટો હતો એમ ધારવા પહેલા સર્વર નીતિ વાંચો.

SSH શું એન્ક્રિપ્ટ કરે છે, અને ક્યાં થંભે છે

SSH સેશન તમારા Mac થી બાસ્ટિયન સુધીનું ટ્રાફિક સુરક્ષિત કરે છે, અને ફોર્વર્ડિંગ VNC પ્રોટોકોલને સમજ્યા વગર તે સેશનની અંદર વહન કરે છે. જોડાણ બાસ્ટિયન છોડીને લક્ષ્ય તરફ જાય કે તરત જ તે તમારા SSH સેશનની અંદર રહેતું નથી. તે છેલ્લા પગલા પર જે પણ રક્ષણ હોય, તે લક્ષ્ય પ્રોટોકોલ અને ખાનગી નેટવર્કના પોતાના નિયંત્રણોનું છે.

તેથી જ સાદું છેલ્લું VNC પગલું ફક્ત એટલા માટે એન્ડ-ટુ-એન્ડ એન્ક્રિપ્ટેડ ગણાવવું ન જોઈએ કે પહેલા પગલાએ SSH વાપર્યું. સેગમેન્ટનું પ્રામાણિકપણે વર્ણન કરો: ક્લાયંટથી બાસ્ટિયન સુધી મજબૂત, અને તે પછી લક્ષ્ય જે ટેકો આપે તે. જો જરૂરિયાત એ છે કે આખો માર્ગ એક જ મિકેનિઝમ દ્વારા એન્ક્રિપ્ટ થાય, તો ફોર્વર્ડિંગ તેને પૂરું કરતું નથી.

લક્ષ્ય પર પ્રમાણીકરણ ફરી અલગ બાબત છે. SSH ખાતું macOS લોગિન આપતું નથી, અને સ્ક્રીન-શેરિંગ સેવા હજી પણ પોતાના ઓળખપત્રો માંગે છે અને હજી પણ પોતાની પ્રવેશ યાદી લાગુ કરે છે. જોડાણ સ્વીકારતો સ્થાનિક શ્રોતા એ વિશે કંઈ સાબિત કરતો નથી કે દૂરસ્થ સેવા સેશન સ્વીકારશે કે નહીં.

ક્યારે સંપૂર્ણ VPN યોગ્ય નિર્ણય છે

જ્યારે કાર્યને એક કરતાં વધુ પોર્ટની જરૂર હોય ત્યારે VPN પસંદ કરો: Apple Remote Desktop ના સંચાલન અને રિપોર્ટિંગ કાર્યો વધારાનું TCP અને UDP ટ્રાફિક વાપરે છે જે એક TCP ફોર્વર્ડિંગ વહન કરી શકશે નહીં. ફોર્વર્ડિંગ આખા ઉત્પાદનનું આંશિક અમલીકરણ નથી; તે અલગ, નાનું સાધન છે.

જ્યારે ઘણા સંચાલકો બદલાતા સ્થળોએથી જોડાય ત્યારે તેને પસંદ કરો, કારણ કે સંચાલિત પ્રોફાઇલ દરેક વ્યક્તિએ કમાન્ડ લાઇન શોધ્યા વગર રૂટ, ઓળખપત્રો અને નીતિ વિતરિત કરે છે. જ્યારે ઓડિટ ટ્રેલે બતાવવું પડે કે કોણ શું સાથે જોડાયું, ત્યારે તેને પસંદ કરો, કારણ કે પ્રતિ-વપરાશકર્તા SSH સેશન અને વહેંચાયેલ સ્થાનિક ફોર્વર્ડિંગ ઘણાં જુદા રેકોર્ડ છોડે છે.

છેલ્લે, જ્યારે લક્ષ્ય નેટવર્ક સંસ્થાના પોતાના દ્વાર વગર લેપટોપથી જરાય પહોંચી શકાય તેવું ન હોવું જોઈએ ત્યારે તેને પસંદ કરો. વ્યક્તિગત ફોર્વર્ડિંગ રચના અનુસાર તે દ્વારને ટાળે છે, અને તેથી જ તે શેલ ઇતિહાસમાં નહીં, પરંતુ ફેરફાર રેકોર્ડમાં આવે છે.

ફોર્વર્ડિંગને મોટેથી નિષ્ફળ થવા દો

ExitOnForwardFailure=yes વાપરો જેથી નિષ્ફળ બાંધણી સેશનને રોકે, બદલે એવું શેલ છોડે જે જોડાયેલું દેખાય અને કંઈ ફોર્વર્ડ ન કરે. હોસ્ટ-કી ચકાસણી ચાલુ રાખો, અને પાસવર્ડ કરતાં કી કે એજન્ટને પસંદ કરો. પછી વ્યુઅર જે ચોક્કસ URL વાપરશે તેની પરીક્ષા કરો, કારણ કે કાર્યરત SSH સેશન અને કાર્યરત સ્ક્રીન જોડાણ બે જુદા પરિણામ છે.

macOS પરના મૂળ ક્લાયંટ માટે, વ્યુઅર સુધી સ્થાનિક URL દ્વારા પહોંચાય છે: open "vnc://127.0.0.1:15900". જો વિન્ડો ખૂલે અને દૂરસ્થ હોસ્ટ પ્રમાણીકરણ નકારે, તો ટનલ ઠીક છે અને સમસ્યા લક્ષ્ય પર છે. જો વિન્ડો ક્યારેય ખૂલે નહીં, તો સમસ્યા શ્રોતા કે પોર્ટમાં છે.

કામ પૂરું થાય ત્યારે સેશન બંધ કરો, અને પોર્ટ, બાસ્ટિયન, લક્ષ્ય અને ખાતા નીતિ લખો. કોઈએ દસ્તાવેજ ન કરેલું ફોર્વર્ડિંગ છ મહિના પછી પાછળના દરવાજાથી અલગ પડી શકતું નથી, અને તેને નાનું, નામવાળું અને કામચલાઉ રાખવાની આ સૌથી મજબૂત દલીલ છે.