Vietinis SSH peradresavimas ar visas VPN vienam Mac ekranui?

Jums reikia matyti vieno Mac ekraną iš savo mašinos, Mac yra už hosto, prie kurio jau galite prisijungti SSH, ir klausimas, ar tai vertas VPN. Paprastai ne. Vienas vietinis peradresavimas perduoda vieną TCP portą per jau turimą SSH sesiją, o vienam ekranui viename hoste tai mažesnė ir lengviau audituojama sąranka nei viso tinklo maršrutizavimas.

Tai lemia trys sąlygos, ir bet kuri iš jų gali nukreipti jus prie valdomo VPN.

Tai lemia trys sąlygos

Pirmoji yra aprėptis: viena paslauga viename hoste arba keli hostai ir keli portai. Antroji yra tai, ar kiekvienas šuolis tarp bastiono ir tikslo jau patikimas, nes SSH saugo tik tą segmentą, kurį užbaigia. Trečioji yra tai, kas turės palaikyti šią sąranką po to, kai ją sukursite, nes rankomis sukurtas tunelis paprastai pergyvena jį supratusį žmogų. Įvardykite tą žmogų prieš pradėdami ir užrašykite komandą ten, kur jis galės ją rasti. Nedokumentuotas peradresavimas yra būsimas incidentas su atidėta pradžios data.

Jei atsakymai yra „vienas“, „taip“ ir „aš, kol kas“, peradresavimas yra tinkamas įrankis. Jei bet kuris atsakymas pasikeičia, palaikomas nuotolinės prieigos sprendimas per metus atsieina pigiau nei incidento apžvalga, kuri seka po nedokumentuoto tunelio.

Peradresuokite vieną portą, o ne tinklą

Vietinis peradresavimas atidaro klausytoją jūsų mašinoje ir kiekvieną ryšį perduoda per SSH serverį į paskirties vietą, kurią tas serveris gali pasiekti. Mac kompiuteriui, kurio ekrano bendrinimo paslauga klausosi TCP 5900, ir bastionui, kuris gali išspręsti mac.corp.example, komanda yra trumpa ir tyčia siaura. Kiekviena joje esanti parinktis egzistuoja tam, kad sąranka liktų maža: jokio apvalkalo, jokio klausytojo visuose sąsajuose, jokio demono. Skaitykite ją kaip apimties pareiškimą, o ne receptą.

ssh -N -o ExitOnForwardFailure=yes -L 127.0.0.1:15900:mac.corp.example:5900 [email protected]

Klausytojo susiejimas su 127.0.0.1 laiko jį atokiai nuo visų kitų sąsajų. Tai ne formalumas: prie visų sąsajų susietas peradresavimas paverčia jūsų nešiojamąjį kompiuterį atviru retransliatoriumi į įmonės tinklą bet kam, esančiam tame pačiame kavinės Wi-Fi tinkle. Jei portas jau naudojamas, pasirinkite kitą aukštą portą ir atnaujinkite peržiūros programą; nesustabdykite nesusijusios paslaugos, kad pavyzdys tiktu.

Bastiono paskyrai taip pat reikia leidimo peradresuoti į tą paskirties vietą. Kai kurios užgrūdintos SSH konfigūracijos visiškai išjungia portų peradresavimą, o kitos jį riboja permit-listen arba permit-open direktyva. Perskaitykite serverio politiką prieš manydami, kad atmestas kanalas reiškia neteisingą slaptažodį.

Ką SSH šifruoja ir kur sustoja

SSH sesija saugo srautą nuo jūsų Mac iki bastiono, o peradresavimas neša VNC protokolą tos sesijos viduje jo nesuprasdamas. Kai ryšys palieka bastioną tikslo link, jis nebėra jūsų SSH sesijos viduje. Kokia apsauga bebūtų tame paskutiniame šuolyje, ji priklauso tikslo protokolui ir privataus tinklo paties kontrolėms.

Štai kodėl paprasto paskutinio VNC šuolio nereikėtų apibūdinti kaip šifruoto nuo galo iki galo vien todėl, kad pirmasis šuolis naudojo SSH. Apibūdinkite segmentus sąžiningai: stiprus nuo kliento iki bastiono, o po to tai, ką palaiko tikslas. Jei reikalavimas yra, kad visas kelias būtų šifruojamas vieno mechanizmo, peradresavimas to neatitinka.

Autentifikavimas tiksliniame taške vėl yra atskiras dalykas. SSH paskyra nesuteikia macOS prisijungimo, ir ekrano bendrinimo paslauga vis dar prašo savo duomenų ir vis dar taiko savo prieigos sąrašą. Vietinis klausytojas, priimantis ryšį, nieko neįrodo apie tai, ar nuotolinė tarnyba priims sesiją.

Kada visas VPN yra teisingas pasirinkimas

Rinkitės VPN, kai užduočiai reikia daugiau nei vieno porto: Apple Remote Desktop valdymo ir ataskaitų funkcijos naudoja papildomą TCP ir UDP srautą, kurio vienas TCP peradresavimas neperneš. Peradresavimas nėra dalinė viso produkto įgyvendinimo versija; tai kitas, mažesnis įrankis.

Rinkitės jį, kai keli administratoriai jungiasi iš kintančių vietų, nes valdomas profilis paskirsto maršrutus, prisijungimo duomenis ir politiką nei vienam nereikia išsigalvoti komandinės eilutės. Rinkitės jį, kai audito pėdsakas turi parodyti, kas prie ko prisijungė, nes SSH sesija vienam vartotojui ir bendras vietinis peradresavimas palieka labai skirtingus įrašus.

Galiausiai rinkitės jį, kai tikslinis tinklas neturi būti pasiekiamas iš nešiojamojo kompiuterio be paties organizacijos vartų. Asmeninis peradresavimas pagal projektą apeina tuos vartus, ir būtent todėl jis priklauso pakeitimų įrašui, o ne apvalkalo istorijai.

Leiskite peradresavimui garsiai nepavykti

Naudokite ExitOnForwardFailure=yes, kad nepavykęs susiejimas sustabdytų sesiją, o ne paliktų apvalkalą, kuris atrodo prijungtas ir nieko neperadresuoja. Laikykite įjungtą hosto rakto tikrinimą ir teikite pirmenybę raktui ar agentui, o ne slaptažodžiui. Tada išbandykite tikslų URL, kurį naudos peržiūros programa, nes veikianti SSH sesija ir veikiantis ekrano ryšys yra du skirtingi rezultatai.

macOS vietinei klientų programai peržiūros programa pasiekiama per vietinį URL: open "vnc://127.0.0.1:15900". Jei langas atsidaro ir nuotolinis hostas atmeta autentifikavimą, tunelis yra tvarkingas, o problema yra tiksliniame taške. Jei langas niekada neatsidaro, problema yra klausytoje arba porte.

Baigę sustabdykite sesiją ir užsirašykite portą, bastioną, tikslą ir paskyros politiką. Peradresavimas, kurio niekas nedokumentavo, po šešių mėnesių nesiskiria nuo užpakalinių durų, ir tai yra stipriausias argumentas laikyti jį mažą, įvardytą ir laikiną.