Տեղական SSH փոխանցում, թե ամբողջական VPN մեկ Mac-ի էկրանի համար։

Դուք պետք է տեսնեք մեկ Mac-ի էկրանը ձեր սեփական մեքենայից, Mac-ը գտնվում է հոսթի հետևում, որին դուք արդեն կարող եք SSH-ով միանալ, և հարցն այն է՝ արժե՞ այդ ամենը VPN։ Սովորաբար ոչ։ Մեկ տեղական փոխանցումը մեկ TCP պորտ է տանում ձեր արդեն ունեցած SSH սեսիայով, և մեկ հոսթի վրա մեկ էկրանի համար սա ավելի փոքր ու ավելի ստուգելի կարգավորում է, քան ամբողջ ցանցի երթուղումը։

Դա որոշում են երեք պայման, և դրանցից ցանկացածը կարող է ձեզ մղել դեպի կառավարվող VPN-ը։

Դա որոշում են երեք պայման

Առաջինը ծավալն է՝ մեկ ծառայություն մեկ հոսթի վրա, թե մի քանի հոսթ և մի քանի պորտ։ Երկրորդը՝ արդյո՞ք բաստիոնի և թիրախի միջև ամեն ցատկ արդեն վստահելի է, քանի որ SSH-ը պաշտպանում է միայն այն հատվածը, որը ինքն է ավարտում։ Երրորդը՝ ո՞ւմ պետք է աջակցի այս կարգավորմանը այն բանից հետո, երբ դուք կառուցեք այն, քանի որ ձեռքով պատրաստված թունելը սովորաբար ապրում է ավելի երկար, քան այն հասկացող մարդը։ Անվանեք այդ մարդուն նախքան սկսելը և գրեք հրամանը մի տեղ, որտեղ նա կկարողանա գտնել այն։ Չփաստաթղթավորված փոխանցումը ապագա միջադեպ է՝ հետաձգված մեկնարկի ամսաթվով։

Եթե պատասխաններն են «մեկ», «այո» և «ես, առայժմ», ապա փոխանցումը ճիշտ գործիքն է։ Եթե որևէ պատասխան փոխվի, ապա աջակցվող հեռահար մուտքի ձևավորումը մեկ տարվա ընթացքում ավելի էժան է, քան չփաստաթղթավորված թունելին հաջորդող միջադեպի վերանայումը։

Փոխանցեք մեկ պորտ, ոչ թե ցանցը

Տեղական փոխանցումը բացում է ունկնդիր ձեր մեքենայի վրա և յուրաքանչյուր կապ ուղարկում է SSH սերվերի միջով դեպի մի նպատակակետ, որին այդ սերվերը կարող է հասնել։ Mac-ի համար, որի էկրանի համօգտագործման ծառայությունը լսում է TCP 5900-ում, և բաստիոնի համար, որը կարող է լուծել mac.corp.example-ը, հրամանը կարճ է և դիտավորյալ նեղ։ Դրանում ամեն տարբերակ գոյություն ունի կարգավորումը փոքր պահելու համար՝ առանց shell-ի, առանց ունկնդրի բոլոր ինտերֆեյսներում, առանց դեմոնի։ Կարդացեք այն որպես ծավալի հայտարարություն, ոչ թե բաղադրատոմս։

ssh -N -o ExitOnForwardFailure=yes -L 127.0.0.1:15900:mac.corp.example:5900 [email protected]

Ունկնդիրը 127.0.0.1-ին կապելը հեռու է պահում այն մյուս բոլոր ինտերֆեյսներից։ Սա ձևականություն չէ, քանի որ բոլոր ինտերֆեյսներին կապված փոխանցումը ձեր նոութբուքը դարձնում է բաց ռելե դեպի կորպորատիվ ցանց նույն սրճարանի Wi-Fi-ում գտնվող ցանկացածի համար։ Եթե պորտն արդեն օգտագործվում է, ընտրեք մեկ այլ բարձր պորտ և թարմացրեք դիտիչը, մի՛ կանգնեցրեք անկապ ծառայություն, որպեսզի օրինակը տեղավորվի։

Բաստիոնի հաշիվը նույնպես թույլտվություն է պահանջում այդ նպատակակետ փոխանցելու համար։ Որոշ կարծրացված SSH կոնֆիգուրացիաներ ամբողջությամբ անջատում են պորտերի փոխանցումը, իսկ որոշները սահմանափակում են այն permit-listen կամ permit-open հրահանգով։ Կարդացեք սերվերի քաղաքականությունը նախքան ենթադրելը, որ մերժված ալիքը նշանակում է՝ գաղտնաբառը սխալ էր։

Ինչ է գաղտնագրում SSH-ը և որտեղ է կանգ առնում

SSH սեսիան պաշտպանում է երթևեկությունը ձեր Mac-ից մինչև բաստիոն, իսկ փոխանցումը VNC արձանագրությունը տանում է այդ սեսիայի ներսում՝ առանց այն հասկանալու։ Հենց կապը թողնում է բաստիոնը դեպի թիրախ, այն այլևս ձեր SSH սեսիայի ներսում չէ։ Ինչ պաշտպանություն էլ լինի այդ վերջին ցատկին, այն պատկանում է թիրախի արձանագրությանը և մասնավոր ցանցի սեփական վերահսկիչներին։

Այդ պատճառով պարզ վերջին VNC ցատկը չպետք է նկարագրվի որպես ծայրից ծայր գաղտնագրված միայն այն պատճառով, որ առաջին ցատկը օգտագործել է SSH։ Նկարագրեք հատվածները ազնվորեն՝ ուժեղ հաճախորդից մինչև բաստիոն, և հետո այն, ինչ թիրախը աջակցում է։ Եթե պահանջը այն է, որ ամբողջ ուղին գաղտնագրվի մեկ մեխանիզմով, ապա փոխանցումը դա չի բավարարում։

Թիրախում նույնականացումը կրկին առանձին հարց է։ SSH հաշիվը macOS մուտք չի տալիս, և էկրանի համօգտագործման ծառայությունը դեռ պահանջում է իր սեփական հավատարմագրերը և դեռ կիրառում է իր սեփական մուտքի ցանկը։ Կապ ընդունող տեղական ունկնդիրը ոչինչ չի ապացուցում այն մասին, թե արդյոք հեռավոր ծառայությունը կընդունի սեսիան։

Երբ ամբողջական VPN-ն է ճիշտ ընտրությունը

Ընտրեք VPN-ը, երբ առաջադրանքը պահանջում է ավելի քան մեկ պորտ՝ Apple Remote Desktop-ի կառավարման և հաշվետվության գործառույթները օգտագործում են լրացուցիչ TCP և UDP երթևեկություն, որը մեկ TCP փոխանցումը չի տանի։ Փոխանցումը ամբողջ արտադրանքի մասնակի ներդրում չէ, այն այլ՝ ավելի փոքր գործիք է։

Ընտրեք այն, երբ մի քանի ադմինիստրատորներ միանում են փոփոխվող վայրերից, որովհետև կառավարվող պրոֆիլը բաժանում է երթուղիներ, հավատարմագրեր և քաղաքականություն առանց այն բանի, որ յուրաքանչյուրը հրամանի տող հորինի։ Ընտրեք այն, երբ աուդիտի հետքը պետք է ցույց տա, թե ով ինչին է միացել, քանի որ օգտվողական SSH սեսիան և ընդհանուր տեղական փոխանցումը թողնում են շատ տարբեր գրառումներ։

Ընտրեք այն, վերջապես, երբ թիրախ ցանցը բացարձակապես չպետք է հասանելի լինի նոութբուքից առանց կազմակերպության սեփական դարպասի։ Անձնական փոխանցումը նախագծմամբ շրջանցում է այդ դարպասը, և հենց այդ պատճառով այն պատկանում է փոփոխությունների գրանցամատյանին, այլ ոչ shell-ի պատմությանը։

Թող փոխանցումը բարձր ձայնով ձախողվի

Օգտագործեք ExitOnForwardFailure=yes, որպեսզի ձախողված կապակցումը կանգնեցնի սեսիան՝ փոխարենը թողնելով shell, որը միացած է թվում և ոչինչ չի փոխանցում։ Թողեք հոսթի բանալու ստուգումը միացված, և նախընտրեք բանալին կամ գործակալը գաղտնաբառից։ Ապա փորձարկեք այն ճշգրիտ URL-ը, որը կօգտագործի դիտիչը, քանի որ աշխատող SSH սեսիան և աշխատող էկրանի կապը երկու տարբեր արդյունք են։

macOS-ում հայրենի հաճախորդի համար դիտիչին հասնում են տեղական URL-ով՝ open "vnc://127.0.0.1:15900"։ Եթե պատուհանը բացվում է, և հեռավոր հոսթը մերժում է նույնականացումը, թունելը լավն է, և խնդիրը թիրախում է։ Եթե պատուհանը երբեք չի բացվում, խնդիրը ունկնդրի կամ պորտի մեջ է։

Կանգնեցրեք սեսիան, երբ ավարտեք, և գրի առեք պորտը, բաստիոնը, թիրախը և հաշվի քաղաքականությունը։ Փոխանցումը, որը ոչ ոք չի փաստաթղթավորել, վեց ամիս անց չի տարբերվում հետևի դռնից, և սա է ամենաուժեղ փաստարկը այն փոքր, անվանված և ժամանակավոր պահելու օգտին։