Бир Mac экраны үчүн жергиликтүү SSH багыттоо же толук VPN?

Сиз өз машинаңыздан бир Mac экранын көрүшүңүз керек, Mac сиз мурунтан SSH аркылуу туташа алган хосттун артында турат, жана маселе — бул VPNге татыктуубу. Адатта жок. Бир жергиликтүү багыттоо сизде бар SSH сессиясы аркылуу бир TCP портун өткөрөт, ал эми бир хосттогу бир экран үчүн бул бүт тармакты маршруттоодон кичирээк жана текшерүүгө жеңилүүрөөк түзүлүш.

Муну үч шарт чечет, жана алардын кайсынысы болбосун сизди башкарылуучу VPNге түртүшү мүмкүн.

Муну үч шарт чечет

Биринчиси — көлөм: бир хосттогу бир кызмат же бир нече хост жана бир нече порт. Экинчиси — бастион менен максаттын ортосундагы ар бир секирик мурунтан ишенимдүүбү, анткени SSH өзү аяктаган сегментти гана коргойт. Үчүнчүсү — сиз аны кургандан кийин бул түзүлүштү ким колдошу керек, анткени кол менен жасалган туннель аны түшүнгөн адамдан узак жашайт. Баштоодон мурун ошол адамдын атын атаңыз жана буйрукту ал таба турган жерге жазыңыз. Документтелбеген багыттоо — башталуу күнү кийинкиге калтырылган келечектеги окуя.

Жооптор «бир», «ооба» жана «мен, азырынча» болсо, багыттоо туура курал. Кандайдыр бир жооп өзгөрсө, колдоого ээ алыскы кирүү долбоору бир жыл ичинде документтелбеген туннелден кийинки окуяны кароодон арзаныраак.

Бир портту багыттаңыз, тармакты эмес

Жергиликтүү багыттоо машинаңызда угуучу ачат жана ар бир байланышты SSH сервери аркылуу ошол сервер жете алган максатка жөнөтөт. Экранды бөлүшүү кызматы TCP 5900дө уккан Mac үчүн жана mac.corp.example дарегин чече алган бастион үчүн буйрук кыска жана атайын тар. Андагы ар бир опция түзүлүштү кичине кармоо үчүн бар: кабык жок, бардык интерфейсте угуучу жок, демон жок. Аны рецепт катары эмес, көлөм тууралуу билдирүү катары окуңуз.

ssh -N -o ExitOnForwardFailure=yes -L 127.0.0.1:15900:mac.corp.example:5900 [email protected]

Угуучуну 127.0.0.1 адресине байлоо аны бардык башка интерфейстерден алыс кармайт. Бул формалдуулук эмес: бардык интерфейстерге байланган багыттоо ноутбукуңузду ошол кафедги Wi-Fiдагы ар ким үчүн корпоративдик тармакка ачык релеге айландырат. Эгер порт мурунтан колдонулуп жатса, башка бийик портту тандап, көрүүчүнү жаңыртыңыз; мисал туура келиши үчүн байланышсыз кызматты токтотпоңуз.

Бастиондук эсепке да ошол максатка багыттоого уруксат керек. Айрым катуу SSH конфигурациялары порт багыттоосун толугу менен өчүрөт, ал эми айрымдары аны permit-listen же permit-open көрсөтмөсү менен чектейт. Четке кагылган каналды сырсөз туура эмес деп эсептөөдөн мурун сервердин саясатын окуңуз.

SSH эмнени шифрлайт жана кайда токтойт

SSH сессиясы Macиңизден бастионго чейинки трафикти коргойт, ал эми багыттоо VNC протоколун түшүнбөстөн ошол сессиянын ичинде ташыйт. Байланыш бастиондон максатты көздөй чыккандан кийин, ал мындан ары сиздин SSH сессияңыздын ичинде эмес. Ошол акыркы секирикте кандай коргоо болбосун, ал максат протоколуна жана жеке тармактын өз көзөмөлдөрүнө таандык.

Ошондуктан жөнөкөй акыркы VNC секиригин биринчи секирик SSH колдонду деп эле учтан учка шифрленген деп сүрөттөөгө болбойт. Сегменттерди ак ниеттүүлүк менен сүрөттөңүз: кардардан бастионго чейин күчтүү, андан кийин максат колдогону. Эгер талап бүт жолдун бир механизм менен шифрлениши болсо, багыттоо аны аткарбайт.

Максаттагы аутентификация дагы өзүнчө маселе. SSH эсеби macOSке кирүү бербейт, жана экранды бөлүшүү кызматы дагы эле өзүнүн маалыматтарын сурайт жана дагы эле өзүнүн кирүү тизмесин колдонот. Байланышты кабыл алган жергиликтүү угуучу алыскы кызмат сессияны кабыл алабы — аны далилдебейт.

Толук VPN качан туура тандоо болот

Тапшырма бир порттон көбүрөөк талап кылса, VPN тандаңыз: Apple Remote Desktopтин башкаруу жана отчет берүү функциялары бир TCP багыттоо ташый албаган кошумча TCP жана UDP трафигин колдонот. Багыттоо бүт өнүмдүн жарым-жартылай ишке ашырылышы эмес; ал башка, кичирээк курал.

Аны бир нече администратор өзгөрүп турган жерлерден туташканда тандаңыз, анткени башкарылуучу профиль ар бир адам буйрук сабын ойлоп таппастан эле маршруттарды, маалыматтарды жана саясатты таратат. Аны аудит изи ким эмнеге туташканын көрсөтүшү керек болгондо тандаңыз, анткени колдонуучуга жараша SSH сессиясы жана жалпы жергиликтүү багыттоо абдан башка жазууларды калтырат.

Аны, акырында, максат тармакка ноутбуктан уюмдун өз дарбазасысыз такыр жетүүгө болбошу керек болгондо тандаңыз. Жеке багыттоо ошол дарбазаны долбоору боюнча айланып өтөт, ошондуктан ал кабык тарыхына эмес, өзгөртүү жазуусуна таандык.

Багыттоону катуу үн менен ийгиликсиз кылдырыңыз

Ийгиликсиз байлоо сессияны токтотушу үчүн, туташкандай көрүнгөн жана эч нерсе өткөрбөгөн кабык калтырбаш үчүн ExitOnForwardFailure=yes колдонуңуз. Хост ачкычын текшерүүнү күйүк кармаңыз жана сырсөздөн ачкычты же агентти артык көрүңүз. Андан кийин көрүүчү колдоно турган так URLди сынаңыз, анткени иштеген SSH сессиясы жана иштеген экран байланышы эки башка натыйжа.

macOSтеги жергиликтүү кардар үчүн көрүүчүгө жергиликтүү URL аркылуу жетүүгө болот: open "vnc://127.0.0.1:15900". Терезе ачылып, алыскы хост аутентификацияны четке какса, туннель жакшы жана маселе максатта. Терезе эч качан ачылбаса, маселе угуучуда же портто.

Ишти бүткөндө сессияны токтотуңуз жана портту, бастионду, максатты жана эсеп саясатын жазып коюңуз. Эч ким документтебеген багыттоону алты айдан кийин арткы эшиктен ажыратуу мүмкүн эмес, жана бул аны кичине, аталган жана убактылуу кармоонун эң күчтүү далили.