Бір Mac экраны үшін жергілікті SSH бағыттау немесе толық VPN?

Сіз өз машинаңыздан бір Mac экранын көруіңіз керек, Mac сіз бұрыннан SSH арқылы қосыла алатын хосттың артында тұр, және мәселе — бұл VPN-ге лайық па. Әдетте жоқ. Бір жергілікті бағыттау сізде бар SSH сессиясы арқылы бір TCP портын өткізеді, ал бір хосттағы бір экран үшін бұл бүкіл желіні маршруттаудан кішірек және тексеруге оңайырақ құрылым.

Мұны үш шарт шешеді, және олардың кез келгені сізді басқарылатын VPN-ге итеруі мүмкін.

Мұны үш шарт шешеді

Біріншісі — ауқым: бір хосттағы бір қызмет немесе бірнеше хост пен бірнеше порт. Екіншісі — бастион мен мақсат арасындағы әрбір секіріс бұрыннан сенімді ме, өйткені SSH тек өзі аяқтайтын сегментті қорғайды. Үшіншісі — сіз оны салғаннан кейін бұл құрылымды кім қолдауы керек, өйткені қолмен жасалған туннель оны түсінген адамнан ұзағырақ өмір сүреді. Бастамас бұрын сол адамның атын атаңыз және пәрменді ол таба алатын жерге жазыңыз. Құжатталмаған бағыттау — басталу күні кейінге қалдырылған болашақ оқиға.

Жауаптар «бір», «иә» және «мен, әзірге» болса, бағыттау дұрыс құрал. Кез келген жауап өзгерсе, қолдауы бар қашықтан қатынау дизайны бір жыл ішінде құжатталмаған туннельден кейінгі оқиғаны қараудан арзанырақ.

Бір портты бағыттаңыз, желіні емес

Жергілікті бағыттау машинаңызда тыңдаушы ашады және әр қосылымды SSH сервері арқылы сол сервер жете алатын мақсатқа жібереді. Экранды бөлісу қызметі TCP 5900-де тыңдайтын Mac үшін және mac.corp.example мекенжайын шеше алатын бастион үшін пәрмен қысқа және әдейі тар. Ондағы әрбір опция құрылымды кішкентай ұстау үшін бар: қабық жоқ, барлық интерфейсте тыңдаушы жоқ, демон жоқ. Оны рецепт емес, ауқым туралы мәлімдеме ретінде оқыңыз.

ssh -N -o ExitOnForwardFailure=yes -L 127.0.0.1:15900:mac.corp.example:5900 [email protected]

Тыңдаушыны 127.0.0.1-ге байлау оны барлық басқа интерфейстерден алыс ұстайды. Бұл формальдылық емес: барлық интерфейстерге байланған бағыттау ноутбугіңізді сол кафедегі Wi-Fi-дағы кез келген адам үшін корпоративтік желіге ашық релеге айналдырады. Егер порт бұрыннан қолданылып жатса, басқа жоғары порт таңдап, қарауышты жаңартыңыз; мысал сәйкес болуы үшін байланыссыз қызметті тоқтатпаңыз.

Бастиондағы тіркелгіге де сол мақсатқа бағыттауға рұқсат керек. Кейбір қатайтылған SSH конфигурациялары порт бағыттауын толығымен өшіреді, ал кейбіреулері оны permit-listen немесе permit-open нұсқаулығымен шектейді. Қабылданбаған арнаны құпиясөз қате деп есептемес бұрын сервер саясатын оқыңыз.

SSH нені шифрлайды және қайда тоқтайды

SSH сессиясы Mac-іңізден бастионға дейінгі трафикті қорғайды, ал бағыттау VNC протоколын түсінбей-ақ сол сессияның ішінде тасымалдайды. Қосылым бастионнан мақсатқа қарай шыққан соң, ол енді сіздің SSH сессияңыздың ішінде емес. Сол соңғы секірісте қандай қорғаныс болса да, ол мақсат протоколына және жеке желінің өз бақылауларына тиесілі.

Сондықтан қарапайым соңғы VNC секірісін тек бірінші секіріс SSH қолданды деп ұштан ұшқа шифрланған деп сипаттауға болмайды. Сегменттерді адал сипаттаңыз: клиенттен бастионға дейін күшті, содан кейін мақсат қолдайтыны. Егер талап бүкіл жолдың бір механизммен шифрлануы болса, бағыттау оны қанағаттандырмайды.

Мақсаттағы аутентификация тағы бөлек мәселе. SSH тіркелгісі macOS-ке кіруді бермейді, және экранды бөлісу қызметі әлі де өз деректерін сұрайды және әлі де өз рұқсат тізімін қолданады. Қосылымды қабылдайтын жергілікті тыңдаушы қашықтағы қызмет сессияны қабылдай ма, жоқ па — оны дәлелдемейді.

Толық VPN қашан дұрыс таңдау болады

Тапсырма бір порттан көбін қажет етсе, VPN таңдаңыз: Apple Remote Desktop-тың басқару және есеп беру функциялары бір TCP бағыттауы тасымалдай алмайтын қосымша TCP және UDP трафигін пайдаланады. Бағыттау тұтас өнімнің ішінара іске асырылуы емес; ол басқа, кішірек құрал.

Оны бірнеше әкімші өзгеретін жерлерден қосылғанда таңдаңыз, өйткені басқарылатын профиль әр адам пәрмен жолын ойлап таппай-ақ маршруттарды, деректерді және саясатты таратады. Оны аудит ізі кімнің неге қосылғанын көрсетуі керек болғанда таңдаңыз, өйткені пайдаланушыға шаққандағы SSH сессиясы мен ортақ жергілікті бағыттау өте басқа жазбалар қалдырады.

Оны, ақырында, мақсат желіге ноутбуктен ұйымның өз қақпасынсыз мүлде қол жеткізуге болмайтын болса таңдаңыз. Жеке бағыттау сол қақпаны дизайны бойынша айналып өтеді, сондықтан ол қабық тарихына емес, өзгеріс жазбасына тиесілі.

Бағыттауды қатты дыбыспен сәтсіз етіңіз

Сәтсіз байлау сессияны тоқтатуы үшін, қосылған болып көрінетін және ештеңе өткізбейтін қабық қалдырмас үшін ExitOnForwardFailure=yes қолданыңыз. Хост кілтін тексеруді қосулы ұстаңыз және құпиясөзден кілтті немесе агентті артық көріңіз. Содан кейін қарауыш қолданатын нақты URL-ді сынаңыз, өйткені жұмыс істейтін SSH сессиясы мен жұмыс істейтін экран қосылымы — екі түрлі нәтиже.

macOS-тегі жергілікті клиент үшін қарауышқа жергілікті URL арқылы жетеді: open "vnc://127.0.0.1:15900". Терезе ашылып, қашықтағы хост аутентификацияны қабылдамаса, туннель дұрыс және мәселе мақсатта. Терезе ешқашан ашылмаса, мәселе тыңдаушыда немесе портта.

Жұмысты бітіргенде сессияны тоқтатыңыз және порт, бастион, мақсат және тіркелгі саясатын жазып қойыңыз. Ешкім құжаттамаған бағыттауды алты айдан кейін артқы есіктен ажырату мүмкін емес, және бұл оны кішкентай, аталған және уақытша ұстаудың ең күшті дәлелі.