Lokalno SSH prosljeđivanje ili puni VPN za jedan Mac ekran?

Trebate vidjeti ekran jednog Maca sa svog računara, Mac se nalazi iza hosta kojem već možete pristupiti preko SSH-a, a pitanje je zaslužuje li to VPN. Obično ne. Jedno lokalno prosljeđivanje prenosi jedan TCP port kroz SSH sesiju koju već imate, a za jedan ekran na jednom hostu to je manji i provjerljiviji aranžman od rutiranja cijele mreže.

Tri uslova to odlučuju, a bilo koji od njih može vas gurnuti ka upravljanom VPN-u.

Tri uslova to odlučuju

Prvi je obim: jedna usluga na jednom hostu, ili nekoliko hostova i nekoliko portova. Drugi je da li je svaki skok između bastiona i cilja već pouzdan, jer SSH štiti samo segment koji završava. Treći je ko mora podržavati aranžman nakon što ga napravite, jer ručno napravljen tunel obično nadživi osobu koja ga je razumjela. Imenujte tu osobu prije nego što počnete i zapišite komandu na mjesto gdje je može naći. Nedokumentovano prosljeđivanje je budući incident s odloženim datumom početka.

Ako su odgovori „jedan“, „da“ i „ja, za sada“, prosljeđivanje je pravi alat. Ako se bilo koji odgovor promijeni, podržan dizajn daljinskog pristupa je za godinu dana jeftiniji od pregleda incidenta koji slijedi nakon nedokumentovanog tunela.

Proslijedite jedan port, ne mrežu

Lokalno prosljeđivanje otvara osluškivač na vašem računaru i prenosi svaku vezu kroz SSH server do odredišta do kojeg taj server može doći. Za Mac čija usluga dijeljenja ekrana osluškuje na TCP 5900, i bastion koji može razriješiti mac.corp.example, komanda je kratka i namjerno uska. Svaka opcija u njoj postoji da bi aranžman ostao mali: bez ljuske, bez osluškivača na svim interfejsima, bez demona. Čitajte je kao izjavu o obimu, a ne kao recept.

ssh -N -o ExitOnForwardFailure=yes -L 127.0.0.1:15900:mac.corp.example:5900 [email protected]

Vezivanje osluškivača na 127.0.0.1 drži ga podalje od svih drugih interfejsa. To nije formalnost: prosljeđivanje vezano za sve interfejse pretvara vaš laptop u otvoreni relej u korporativnu mrežu za svakoga na istoj kafićkoj Wi-Fi mreži. Ako je port već zauzet, izaberite drugi visoki port i ažurirajte preglednik; ne zaustavljajte nepovezanu uslugu da bi primjer odgovarao.

Nalog na bastionu takođe treba dozvolu za prosljeđivanje na to odredište. Neke ojačane SSH konfiguracije potpuno isključuju prosljeđivanje portova, a neke ga ograničavaju direktivom permit-listen ili permit-open. Pročitajte politiku servera prije nego pretpostavite da odbijeni kanal znači pogrešnu lozinku.

Šta SSH šifrira i gdje se zaustavlja

SSH sesija štiti saobraćaj od vašeg Maca do bastiona, a prosljeđivanje nosi VNC protokol unutar te sesije bez razumijevanja istog. Kada veza napusti bastion prema cilju, više nije unutar vaše SSH sesije. Kakva god zaštita postoji na tom posljednjem skoku, pripada ciljnom protokolu i vlastitim kontrolama privatne mreže.

Zato običan posljednji VNC skok ne treba opisivati kao end-to-end šifrovan samo zato što je prvi skok koristio SSH. Opišite segmente iskreno: jak od klijenta do bastiona, i ono što cilj podržava nakon toga. Ako je zahtjev da cijela putanja bude šifrovana jednim mehanizmom, prosljeđivanje to ne ispunjava.

Autentifikacija na cilju je opet odvojena. SSH nalog ne daje macOS prijavu, i usluga dijeljenja ekrana i dalje traži vlastite akreditive i i dalje primjenjuje vlastitu listu pristupa. Lokalni osluškivač koji prihvati vezu ništa ne dokazuje o tome hoće li udaljena usluga primiti sesiju.

Kada je puni VPN pravi potez

Izaberite VPN kada zadatak treba više od jednog porta: funkcije upravljanja i izvještavanja Apple Remote Desktopa koriste dodatni TCP i UDP saobraćaj koji jedno TCP prosljeđivanje ne može nositi. Prosljeđivanje nije djelimična implementacija cijelog proizvoda; to je drugačiji, manji alat.

Izaberite ga kada se nekoliko administratora povezuje s promjenljivih lokacija, jer upravljani profil distribuira rute, akreditive i politiku bez toga da svako izmišlja komandnu liniju. Izaberite ga kada revizorski trag mora pokazati ko se na šta povezao, jer SSH sesija po korisniku i zajedničko lokalno prosljeđivanje ostavljaju vrlo različite zapise.

Izaberite ga, konačno, kada ciljna mreža ne treba biti dostupna s laptopa bez vlastitih vrata organizacije. Lično prosljeđivanje zaobilazi ta vrata po dizajnu, i upravo zato pripada u zapis o promjeni, a ne u historiju ljuske.

Natjerajte prosljeđivanje da glasno padne

Koristite ExitOnForwardFailure=yes da neuspjelo vezivanje zaustavi sesiju umjesto da ostavi ljusku koja izgleda povezano i ništa ne prosljeđuje. Držite provjeru ključa hosta uključenom i preferirajte ključ ili agenta umjesto lozinke. Zatim testirajte tačan URL koji će preglednik koristiti, jer funkcionalna SSH sesija i funkcionalna veza s ekranom su dva različita rezultata.

Za izvorni klijent na macOS-u, pregledniku se pristupa preko lokalnog URL-a: open "vnc://127.0.0.1:15900". Ako se prozor otvori i udaljeni host odbije autentifikaciju, tunel je u redu i problem je na cilju. Ako se prozor nikad ne otvori, problem je u osluškivaču ili portu.

Zaustavite sesiju kada završite i zapišite port, bastion, cilj i politiku naloga. Prosljeđivanje koje niko nije dokumentovao šest mjeseci kasnije se ne razlikuje od zadnjih vrata, i to je najjači argument da ga držite malim, imenovanim i privremenim.