Staðbundin SSH-framsending eða fullt VPN fyrir einn Mac-skjá?

Þú þarft að sjá skjá eins Mac frá þinni eigin vél, Macinn er bak við hýsil sem þú getur þegar SSH-að í, og spurningin er hvort það eigi skilið VPN. Venjulega ekki. Ein staðbundin framsending ber einn TCP-port í gegnum SSH-lotuna sem þú hefur þegar, og fyrir einn skjá á einum hýsli er það minna og auðveldara að endurskoða fyrirkomulag en að beina heilu neti.

Þrjú skilyrði ráða því, og hvert þeirra getur ýtt þér að stýrða VPN-inu í staðinn.

Þrjú skilyrði ráða því

Það fyrsta er umfang: ein þjónusta á einum hýsli, eða nokkrir hýslar og nokkrir portar. Annað er hvort hvert stökk milli bastions og marks er þegar treyst, því SSH verndar aðeins þann hluta sem það endar. Þriðja er hver verður að styðja fyrirkomulagið eftir að þú byggir það, því handgert göng lifir venjulega lengur en manneskjan sem skildi það. Nefndu þá manneskju áður en þú byrjar, og skrifaðu skipunina á stað þar sem hún getur fundið hana. Óskjalfest framsending er framtíðaratvik með frestaðan upphafsdag.

Ef svörin eru „eitt“, „já“ og „ég, í bili“, er framsendingin rétta tólið. Ef eitthvert svar breytist er studd hönnun fyrir fjartengingu ódýrari á ári en atvikaskoðunin sem fylgir óskjalfestu göngu.

Sendu einn port, ekki netið

Staðbundin framsending opnar hlustanda á vélinni þinni og sendir hverja tengingu í gegnum SSH-þjóninn á áfangastað sem sá þjónn kemst á. Fyrir Mac þar sem skjásamnýtingarþjónustan hlustar á TCP 5900, og bastion sem getur leyst mac.corp.example, er skipunin stutt og viljandi þröng. Sérhver valkostur í henni er til að halda fyrirkomulaginu litlu: ekkert skel, enginn hlustandi á öllum tengi, enginn djöfull. Lestu hana sem umfangsyfirlýsingu, ekki uppskrift.

ssh -N -o ExitOnForwardFailure=yes -L 127.0.0.1:15900:mac.corp.example:5900 [email protected]

Að binda hlustandann við 127.0.0.1 heldur honum frá öllum öðrum tengi. Það er ekki formsatriði: framsending bundin við öll tengi gerir fartölvuna þína að opnu endurvarpi inn í fyrirtækjanetið fyrir hvern sem er á sama kaffihúsWi-Fi. Ef portið er þegar í notkun skaltu velja annað hátt port og uppfæra skoðarann; stöðvaðu ekki ótengda þjónustu til að láta dæmið passa.

Reikningurinn á bastionnum þarf líka leyfi til að senda á þann áfangastað. Sumar hertar SSH-stillingar slökkva alveg á portaframsendingu, og sumar takmarka hana með permit-listen eða permit-open tilskipun. Lestu stefnu þjónsins áður en þú gerir ráð fyrir að hafnað rás þýði rangt lykilorð.

Hvað SSH dulkóðar, og hvar það stöðvast

SSH-lotan verndar umferð frá Macnum þínum til bastionsins, og framsendingin ber VNC-samskiptareglurnar inni í þeirri lotu án þess að skilja þær. Þegar tengingin yfirgefur bastionið í átt að markinu er hún ekki lengur inni í SSH-lotunni þinni. Hver sú vernd sem er á því síðasta stökki tilheyrir marksamskiptareglunum og eigin stýringum einkanetsins.

Þess vegna ætti ekki að lýsa einföldu síðasta VNC-stökki sem dulkóðuðu enda-í-enda bara af því að fyrsta stökkið notaði SSH. Lýstu hlutunum heiðarlega: sterkt frá biðlara að bastioni, og síðan því sem markið styður. Ef krafan er að öll leiðin sé dulkóðuð með einni aðferð, uppfyllir framsendingin það ekki.

Auðkenning á markinu er aftur sérstakt mál. SSH-reikningurinn veitir ekki macOS-innskráningu, og skjásamnýtingarþjónustan biður enn um eigin skilríki og beitir enn eigin aðgangslista. Staðbundinn hlustandi sem tekur við tengingu sannar ekkert um hvort þjónustan í fjarska muni hleypa lotunni inn.

Hvenær fullt VPN er rétta valið

Veldu VPN þegar verkefnið þarf meira en eitt port: stjórnun og skýrslugerð Apple Remote Desktop nota viðbótar TCP og UDP umferð sem ein TCP framsending ber ekki. Framsending er ekki hlutaútfærsla á öllu vörunni; hún er annað, minna tól.

Veldu hana þegar nokkrir stjórnendur tengjast frá breytilegum stöðum, því stýrt prófíll dreifir leiðum, skilríkjum og stefnu án þess að hver og einn finni upp skipanalínu. Veldu hana þegar endurskoðunarslóðin verður að sýna hver tengdist hverju, því SSH-lota á hvern notanda og sameiginleg staðbundin framsending skilja eftir mjög ólíkar færslur.

Veldu hana, að lokum, þegar ekki á að vera hægt að ná marknetinu frá fartölvu yfirleitt án eigin hliðs stofnunarinnar. Eigin framsending fer fram hjá því hliði að hönnun, og þess vegna á hún heima í breytingaskrá en ekki í skeljasögu.

Láttu framsendinguna mistakast hávært

Notaðu ExitOnForwardFailure=yes svo misheppnuð binding stöðvi lotuna í stað þess að skilja eftir skel sem lítur út fyrir að vera tengd og sendir ekkert. Hafðu sannprófun hýsillykils kveikt, og veldu lykil eða umboðsmann fram yfir lykilorð. Prófaðu síðan nákvæmlega það URL sem skoðarinn mun nota, því virk SSH-lota og virk skjátenging eru tvær ólíkar niðurstöður.

Fyrir innfædda biðlarann á macOS er skoðarinn náð í gegnum staðbundið URL: open "vnc://127.0.0.1:15900". Ef glugginn opnast og hýsillinn í fjarska hafnar auðkenningu er göngin í lagi og vandamálið á markinu. Ef glugginn opnast aldrei er vandamálið í hlustandanum eða portinu.

Stöðvaðu lotuna þegar þú ert búinn, og skrifaðu niður portið, bastionið, markið og reikningsstefnuna. Framsending sem enginn skjalfesti er ógreinanleg frá bakdyr sex mánuðum síðar, og það er sterkasta röksemdin fyrir því að halda henni lítilli, nefndri og tímabundinni.