Lokal SSH-Weiderleedung oder vollt VPN fir een Mac-Bildschierm?

Dir musst den Bildschierm vun engem Mac vun Ärem eege Rechner aus gesinn, de Mac steet hannert engem Host, op deen Dir schonn iwwer SSH kënnt, an d’Fro ass, ob dat e VPN verdéngt. Normalerweis net. Eng eenzeg lokal Weiderleedung dréit een TCP-Port duerch d’SSH-Sessioun, déi Dir schonn hutt, an fir een Bildschierm op engem Host ass dat eng méi kleng a besser iwwerpréifbar Ariichtung wéi en ganzt Netz ze routen.

Dräi Konditiounen entscheeden et, an all eenzel vun hinnen kann Iech amplaz op de geréierte VPN drécken.

Dräi Konditiounen entscheeden et

Déi éischt ass den Ëmfang: ee Service op engem Host, oder verschidde Hosts a verschidde Porten. Déi zweet ass, ob all Sprong tëschent der Bastioun an dem Zil schonn vertraut ass, well SSH nëmmen de Segment schützt, deen et ofschléisst. Déi drëtt ass, wien d’Ariichtung muss ënnerstëtzen, nodeems Dir se gebaut hutt, well en handgemaachen Tunnel meeschtens de Mënsch iwwerlieft, deen en verstanen huet. Nennt där Persoun hirem Numm, ier Dir ufänkt, a schreift de Kommando op eng Plaz, wou si en fanne kann. Eng ondokumentéiert Weiderleedung ass en zukünftegt Evenement mat engem verréckelte Startdatum.

Wann d’Äntwerten «een», «jo» an «ech, fir de Moment» sinn, ass d’Weiderleedung dat richtegt Instrument. Wa jo eng Äntwert ännert, ass eng ënnerstëtzt Design fir Fernzougang iwwer ee Joer méi bëlleg wéi d’Evenementiwwerpréiwung, déi op en ondokumentéierten Tunnel follegt.

Leet een Port weider, net d’Netz

Eng lokal Weiderleedung mécht en Nolauschterer op Ärem Rechner op a leet all Verbindung iwwer den SSH-Server un en Zil weider, dat dee Server erreeche kann. Fir en Mac, deem säi Bildschiermdeelungsservice op TCP 5900 nolauschtert, an eng Bastioun, déi mac.corp.example opléise kann, ass de Kommando kuerz an absichtlech schmuel. All Optioun dran ass do, fir d’Ariichtung kleng ze halen: keng Shell, keen Nolauschterer op allen Interface, keen Daemon. Liest en als Ëmfangserklärung, net als Rezept.

ssh -N -o ExitOnForwardFailure=yes -L 127.0.0.1:15900:mac.corp.example:5900 [email protected]

Den Nolauschterer un 127.0.0.1 ze bannen hält en vun all anerem Interface fort. Dat ass keng Formalitéit: eng Weiderleedung, déi un all Interface gebonnen ass, mécht Ären Laptop fir jiddwereen am selwechte Café-Wi-Fi zu engem oppene Relais an d’Firmennetz. Wann de Port schonn a Gebrauch ass, sprëtzt en aneren héije Port a maacht de Viewer aktuell; stoppt keen onbedeelegte Service, fir datt d’Beispill passt.

D’Konto op der Bastioun brauch och d’Erlabnes, op dat Zil weiderzeleeden. Verschidden haart SSH-Konfiguratiounen deaktivéieren d’Portweiderleedung komplett, an anerer beschränken se mat enger permit-listen- oder permit-open-Direktiv. Liest d’Serverpolitik, ier Dir unhëlt, en ofgeleenten Kanal bedeit e falscht Passwuert.

Wat SSH verschlësselt, a wou et ophält

D’SSH-Sessioun schützt den Trafik vun Ärem Mac bis op d’Bastioun, an d’Weiderleedung dréit de VNC-Protokoll an där Sessioun, ouni en ze verstoen. Soubal d’Verbindung d’Bastioun a Richtung Zil verléisst, ass se net méi an Ärer SSH-Sessioun. Wéi ee Schutz och ëmmer op deem leschte Sprong besteet, gehéiert en zum Zilprotokoll an zu deenen eegene Kontrollen vum privaten Netz.

Dofir soll en einfachen leschte VNC-Sprong net als Enn-zu-Enn-verschlësselt beschriwwe ginn, just well den éischte Sprong SSH benotzt huet. Beschreift d’Segmenter éierlech: staark vum Client bis op d’Bastioun, an duerno wat d’Zil ënnerstëtzt. Wann d’Ufuerderung ass, datt de ganze Wee duerch ee Mechanismus verschlësselt gëtt, erfëllt d’Weiderleedung dat net.

D’Authentifikatioun um Zil ass nees eng aner Saach. D’SSH-Konto gëtt keen macOS-Login, an de Bildschiermdeelungsservice freet nach ëmmer seng eegen Umeldungsinformatiounen a wendt nach ëmmer seng eege Zougangslëscht un. En Nolauschterer um lokale Rechner, deen eng Verbindung unhëlt, beweist näischt doriwwer, ob de Service op Distanz d’Sessioun unhëlt.

Wéini de vollt VPN déi richteg Wiel ass

Wielt de VPN, wann d’Aufgab méi wéi ee Port brauch: d’Verwaltungs- a Rapportsfunktiounen vum Apple Remote Desktop benotzen zousätzlechen TCP- an UDP-Trafik, deen eng eenzeg TCP-Weiderleedung net dréit. Eng Weiderleedung ass keng deelweis Ëmsetzung vum ganze Produkt; et ass en aneren, méi klengen Instrument.

Wielt e wann verschidde Administrateure vu Wiesselen ugeschloss ginn, well e geréierte Profil Route, Umeldungsinformatiounen a Politik verdeelt, ouni datt jiddereen eng Kommandozeil erfinde muss. Wielt e wann d’Auditsspur muss weisen, wien sech mat wat verbonnen huet, well eng SSH-Sessioun pro Benotzer an eng gedeelt lokal Weiderleedung ganz verschidde Opzeechnunge hannerloossen.

Wielt e schlussendlech, wann d’Zilnetz guer net vun engem Laptop aus erreechbar soll sinn, ouni dem Organisatioun hir eege Paart. Eng perséinlech Weiderleedung ëmgeet déi Paart vun Design aus, an dofir gehéiert se an en Ännerungsregister an net an eng Shell-Historik.

Loosst d’Weiderleedung haart scheiteren

Benotzt ExitOnForwardFailure=yes, sou datt eng feelgeschloe Bindung d’Sessioun stoppt, amplaz eng Shell ze hannerloossen, déi verbonne schéngt an näischt weiderleet. Hält d’Hostschlëssel-Überpréiwung an, a gitt engem Schlëssel oder Agent de Viirlaf virun engem Passwuert. Test duerno déi genee URL, déi de Viewer benotze wäert, well eng funktionéierend SSH-Sessioun an eng funktionéierend Bildschiermverbindung zwee verschidde Resultater sinn.

Fir den nativen Client op macOS erreecht een de Viewer iwwer eng lokal URL: open "vnc://127.0.0.1:15900". Wann d’Fënster opgeet an den Host op Distanz d’Authentifikatioun ofleent, ass den Tunnel an der Rei an de Problem läit um Zil. Wann d’Fënster ni opgeet, läit de Problem beim Nolauschterer oder um Port.

Stoppt d’Sessioun, wann Dir fäerdeg sidd, a schreift de Port, d’Bastioun, d’Zil an d’Kontopolitik op. Eng Weiderleedung, déi keen dokumentéiert huet, ass sechs Méint méi spéit net vun enger Hënnendier z’ënnerscheeden, an dat ass dat stäerkst Argument, se kleng, benannt an temporär ze halen.