העברת SSH מקומית או VPN מלא עבור מסך Mac אחד?

אתה צריך לראות את המסך של Mac אחד מהמכונה שלך, ה-Mac נמצא מאחורי מארח שאליו אתה כבר יכול להתחבר ב-SSH, והשאלה היא אם זה מצדיק VPN. בדרך כלל לא. העברה מקומית אחת נושאת פורט TCP אחד דרך הפעלת ה-SSH שכבר יש לך, ועבור מסך אחד על מארח אחד זה סידור קטן יותר וניתן לביקורת יותר מאשר ניתוב של רשת שלמה.

שלושה תנאים מכריעים בכך, וכל אחד מהם יכול לדחוף אותך לעבר ה-VPN המנוהל במקום.

שלושה תנאים מכריעים בכך

הראשון הוא היקף: שירות אחד על מארח אחד, או כמה מארחים וכמה פורטים. השני הוא אם כל קפיצה בין הבסטיון ליעד כבר מהימנה, כי SSH מגן רק על הקטע שהוא מסיים. השלישי הוא מי חייב לתמוך בסידור אחרי שתבנה אותו, כי מנהרה שנבנתה ביד נוטה לשרוד את האדם שהבין אותה. נקוב בשם אותו אדם לפני שתתחיל, וכתוב את הפקודה במקום שבו הוא יוכל למצוא אותה. העברה ללא תיעוד היא תקרית עתידית עם תאריך התחלה נדחה.

אם התשובות הן «אחד», «כן» ו«אני, לעת עתה», ההעברה היא הכלי הנכון. אם תשובה כלשהי משתנה, עיצוב גישה מרחוק נתמך זול יותר לאורך שנה מאשר סקירת התקרית שבאה אחרי מנהרה ללא תיעוד.

העבר פורט אחד, לא את הרשת

העברה מקומית פותחת מאזין במכונה שלך ומעבירה כל חיבור דרך שרת ה-SSH ליעד שהשרת הזה יכול להגיע אליו. עבור Mac ששירות שיתוף המסך שלו מאזין ב-TCP 5900, ובסטיון שיכול לפתור את mac.corp.example, הפקודה קצרה וצרה במכוון. כל אפשרות בה קיימת כדי לשמור על הסידור קטן: בלי מעטפת, בלי מאזין בכל הממשקים, בלי דמון. קרא אותה כהצהרת היקף ולא כמתכון.

ssh -N -o ExitOnForwardFailure=yes -L 127.0.0.1:15900:mac.corp.example:5900 [email protected]

קשירת המאזין אל 127.0.0.1 מרחיקה אותו מכל ממשק אחר. זו אינה פורמליות: העברה הקשורה לכל הממשקים הופכת את המחשב הנייד שלך לממסר פתוח אל הרשת הארגונית עבור כל מי שנמצא באותו Wi-Fi בבית הקפה. אם הפורט כבר בשימוש, בחר פורט גבוה אחר ועדכן את הצופה; אל תעצור שירות לא קשור כדי שהדוגמה תתאים.

החשבון על הבסטיון זקוק גם הוא להרשאה להעביר ליעד הזה. כמה תצורות SSH מוקשחות מכבות העברת פורטים לגמרי, ואחרות מגבילות אותה בהוראת permit-listen או permit-open. קרא את מדיניות השרת לפני שתניח שערוץ שנדחה פירושו שהסיסמה הייתה שגויה.

מה SSH מצפין, ואיפה זה נעצר

הפעלת ה-SSH מגנה על התעבורה מה-Mac שלך אל הבסטיון, וההעברה נושאת את פרוטוקול VNC בתוך אותה הפעלה בלי להבין אותו. ברגע שהחיבור עוזב את הבסטיון לעבר היעד, הוא כבר לא בתוך הפעלת ה-SSH שלך. כל הגנה שקיימת בקפיצה האחרונה הזו שייכת לפרוטוקול היעד ולבקרות של הרשת הפרטית עצמה.

זו הסיבה שאין לתאר קפיצת VNC פשוטה אחרונה כמוצפנת מקצה לקצה רק מפני שהקפיצה הראשונה השתמשה ב-SSH. תאר את הקטעים ביושר: חזק מהלקוח אל הבסטיון, ואחר כך מה שהיעד תומך בו. אם הדרישה היא שכל הנתיב יוצפן במנגנון אחד, ההעברה אינה עומדת בה.

אימות ביעד הוא שוב עניין נפרד. חשבון ה-SSH אינו מעניק התחברות ל-macOS, ואילו שירות שיתוף המסך עדיין מבקש את האישורים שלו עצמו ועדיין מיישם את רשימת הגישה שלו. מאזין מקומי שמקבל חיבור אינו מוכיח דבר בשאלה אם השירות המרוחק יקבל את ההפעלה.

מתי ה-VPN המלא הוא הבחירה הנכונה

בחר ב-VPN כאשר המשימה דורשת יותר מפורט אחד: פונקציות הניהול והדיווח של Apple Remote Desktop משתמשות בתעבורת TCP ו-UDP נוספת שהעברה אחת של TCP לא תישא. העברה אינה יישום חלקי של המוצר כולו; היא כלי אחר, קטן יותר.

בחר בו כאשר כמה מנהלים מתחברים ממיקומים משתנים, כי פרופיל מנוהל מפיץ מסלולים, אישורים ומדיניות בלי שכל אדם ימציא שורת פקודה. בחר בו כאשר נתיב הביקורת חייב להראות מי התחבר למה, כי הפעלת SSH לכל משתמש והעברה מקומית משותפת משאירות רשומות שונות מאוד.

בחר בו, לבסוף, כאשר אסור שהרשת המיועדת תהיה נגישה מהמחשב הנייד בכלל בלי השער של הארגון עצמו. העברה אישית עוקפת את השער הזה מעצם התכנון, וזו בדיוק הסיבה שהיא שייכת לרישום שינויים ולא להיסטוריית מעטפת.

גרום להעברה להיכשל בקול רם

השתמש ב-ExitOnForwardFailure=yes כדי שקישור שנכשל יעצור את ההפעלה במקום להשאיר מעטפת שנראית מחוברת ואינה מעבירה דבר. השאר את אימות מפתח המארח דלוק, והעדף מפתח או סוכן על פני סיסמה. לאחר מכן בדוק את כתובת ה-URL המדויקת שבה ישתמש הצופה, כי הפעלת SSH עובדת וחיבור מסך עובד הם שני תוצאות שונות.

עבור הלקוח הנייטיבי ב-macOS, מגיעים אל הצופה דרך כתובת URL מקומית: open "vnc://127.0.0.1:15900". אם החלון נפתח והמארח המרוחק דוחה את האימות, המנהרה תקינה והבעיה ביעד. אם החלון לא נפתח לעולם, הבעיה במאזין או בפורט.

עצור את ההפעלה כשסיימת, ורשום את הפורט, הבסטיון, היעד ומדיניות החשבון. העברה שאיש לא תיעד אינה ניתנת להבחנה מדלת אחורית כעבור שישה חודשים, וזו הטענה החזקה ביותר להשאיר אותה קטנה, בעלת שם וזמנית.