Vietējā SSH pāradresācija vai pilns VPN vienam Mac ekrānam?

Jums jāredz viena Mac ekrāns no savas mašīnas, Mac atrodas aiz saimnieka, kuram jau varat pieslēgties ar SSH, un jautājums ir, vai tas ir VPN cienīgs. Parasti nē. Viena vietējā pāradresācija pārraida vienu TCP portu caur jau esošo SSH sesiju, un vienam ekrānam vienā saimniekā tā ir mazāka un vieglāk auditējama iekārta nekā visa tīkla maršrutēšana.

To nosaka trīs nosacījumi, un jebkurš no tiem var jūs aizvirzīt uz pārvaldīto VPN.

To nosaka trīs nosacījumi

Pirmais ir tvērums: viens pakalpojums vienā saimniekā, vai vairāki saimnieki un vairāki porti. Otrais ir tas, vai katrs lēciens starp bastionu un mērķi jau ir uzticams, jo SSH aizsargā tikai to segmentu, kuru tas pabeidz. Trešais ir tas, kam pēc tam, kad to uzbūvēsiet, būs jāatbalsta šī iekārta, jo ar rokām būvēts tunelis parasti pārdzīvo cilvēku, kurš to saprata. Nosauciet šo cilvēku pirms sākšanas un ierakstiet komandu vietā, kur viņš to varēs atrast. Nedokumentēta pāradresācija ir nākotnes incidents ar atliktu sākuma datumu.

Ja atbildes ir «viens», «jā» un «es, pagaidām», pāradresācija ir pareizais rīks. Ja kāda atbilde mainās, atbalstīts attālinātās piekļuves dizains gada laikā izmaksā lētāk nekā incidenta izskatīšana, kas seko nedokumentētam tunelim.

Pāradresējiet vienu portu, nevis tīklu

Vietējā pāradresācija atver klausītāju jūsu mašīnā un pārsūta katru savienojumu caur SSH serveri uz galamērķi, kuru šis serveris var sasniegt. Mac datoram, kura ekrāna koplietošanas pakalpojums klausās TCP 5900, un bastionam, kas spēj atrisināt mac.corp.example, komanda ir īsa un apzināti šaura. Katra opcija tajā pastāv, lai iekārta paliktu maza: nav čaulas, nav klausītāja visos saskarnēs, nav dēmona. Lasiet to kā apjoma paziņojumu, nevis recepti.

ssh -N -o ExitOnForwardFailure=yes -L 127.0.0.1:15900:mac.corp.example:5900 [email protected]

Klausītāja piesaiste 127.0.0.1 tur to prom no visām citām saskarnēm. Tā nav formalitāte: pāradresācija, kas piesaistīta visām saskarnēm, pārvērš jūsu klēpjdatoru par atvērtu releju uz uzņēmuma tīklu ikvienam tajā pašā kafejnīcas Wi-Fi. Ja ports jau tiek izmantots, izvēlieties citu augstu portu un atjauniniet skatītāju; neapturiet nesaistītu pakalpojumu, lai piemērs derētu.

Bastiona kontam arī vajadzīga atļauja pāradresēt uz šo galamērķi. Dažas norūdītas SSH konfigurācijas pilnībā izslēdz portu pāradresāciju, un dažas to ierobežo ar permit-listen vai permit-open direktīvu. Izlasiet servera politiku, pirms pieņemat, ka atteikts kanāls nozīmē nepareizu paroli.

Ko SSH šifrē un kur tas apstājas

SSH sesija aizsargā satiksmi no jūsu Mac līdz bastionam, un pāradresācija nes VNC protokolu šīs sesijas iekšienē to nesaprotot. Kad savienojums atstāj bastionu mērķa virzienā, tas vairs nav jūsu SSH sesijas iekšienē. Lai kāda aizsardzība būtu šajā pēdējā lēcienā, tā pieder mērķa protokolam un privātā tīkla paša kontrolēm.

Tāpēc vienkāršu pēdējo VNC lēcienu nevajadzētu aprakstīt kā šifrētu no gala līdz galam tikai tāpēc, ka pirmais lēciens izmantoja SSH. Aprakstiet segmentus godīgi: stipri no klienta līdz bastionam, un pēc tam to, ko atbalsta mērķis. Ja prasība ir, lai viss ceļš būtu šifrēts ar vienu mehānismu, pāradresācija to neizpilda.

Autentifikācija mērķī atkal ir atsevišķa lieta. SSH konts nedod macOS pieteikšanos, un ekrāna koplietošanas pakalpojums joprojām prasa savus datus un joprojām piemēro savu piekļuves sarakstu. Vietējais klausītājs, kas pieņem savienojumu, neko nepierāda par to, vai attālinātais pakalpojums pieņems sesiju.

Kad pilns VPN ir pareizā izvēle

Izvēlieties VPN, kad uzdevumam vajag vairāk par vienu portu: Apple Remote Desktop pārvaldības un atskaišu funkcijas izmanto papildu TCP un UDP satiksmi, ko viena TCP pāradresācija nenesīs. Pāradresācija nav visas preces daļēja ieviešana; tas ir cits, mazāks rīks.

Izvēlieties to, kad vairāki administratori pieslēdzas no mainīgām vietām, jo pārvaldīts profils izplata maršrutus, akreditācijas datus un politiku, neprasot katram izgudrot komandrindu. Izvēlieties to, kad audita pēdās jāparāda, kas kam pieslēdzās, jo SSH sesija uz lietotāju un koplietota vietējā pāradresācija atstāj ļoti atšķirīgus ierakstus.

Izvēlieties to, visbeidzot, kad mērķa tīklam nevajadzētu būt sasniedzamam no klēpjdatora bez organizācijas pašas vārtiem. Personiska pāradresācija pēc dizaina apiet šos vārtus, un tieši tāpēc tā pieder izmaiņu reģistram, nevis čaulas vēsturei.

Lai pāradresācija skaļi neizdodas

Izmantojiet ExitOnForwardFailure=yes, lai neizdevusies piesaiste apturētu sesiju, nevis atstātu čaulu, kas izskatās pēc pieslēgtas un neko nepāradresē. Turiet ieslēgtu saimnieka atslēgas pārbaudi un dodiet priekšroku atslēgai vai aģentam, nevis parolei. Pēc tam pārbaudiet precīzu URL, ko izmantos skatītājs, jo strādājoša SSH sesija un strādājošs ekrāna savienojums ir divi dažādi rezultāti.

macOS vietējam klientam skatītājs sasniedzams caur vietēju URL: open "vnc://127.0.0.1:15900". Ja logs atveras un attālinātais saimnieks noraida autentifikāciju, tunelis ir kārtībā un problēma ir mērķī. Ja logs nekad neatveras, problēma ir klausītājā vai portā.

Pabeidzot apturiet sesiju un pierakstiet portu, bastionu, mērķi un konta politiku. Pāradresācija, ko neviens nav dokumentējis, pēc sešiem mēnešiem nav atšķirama no aizmugures durvīm, un tas ir spēcīgākais arguments to turēt mazu, nosauktu un īslaicīgu.