Локално SSH препраќање или целосен VPN за еден Mac екран?

Треба да го гледате екранот на еден Mac од вашата машина, Mac-от стои зад домаќин на кој веќе можете да се поврзете преку SSH, а прашањето е дали тоа заслужува VPN. Вообичаено не. Едно локално препраќање носи еден TCP порт низ сесијата SSH што веќе ја имате, и за еден екран на еден домаќин тоа е помала и полесно проверлива поставеност отколку рутирање на цела мрежа.

Ова го решаваат три услови, и секој од нив може да ве турне кон управуваниот VPN.

Ова го решаваат три услови

Првиот е опфатот: една услуга на еден домаќин, или повеќе домаќини и повеќе порти. Вториот е дали секој скок меѓу бастионот и целта веќе е доверлив, бидејќи SSH го штити само сегментот што го завршува. Третиот е кој треба да ја поддржува поставеноста откако ќе ја изградите, бидејќи рачно изграден тунел обично го надживува човекот што го разбрал. Именувајте го тој човек пред да започнете, и запишете ја командата на место каде што тој може да ја најде. Недокументирано препраќање е иден инцидент со одложен датум на почеток.

Ако одговорите се „еден“, „да“ и „јас, засега“, препраќањето е вистинската алатка. Ако се промени кој било одговор, поддржан дизајн за далечински пристап за една година е поевтин од прегледот на инцидентот што следи по недокументиран тунел.

Препратете една порта, не мрежата

Локалното препраќање отвора слушател на вашата машина и го препраќа секое поврзување низ SSH серверот до одредиште до кое тој сервер може да стигне. За Mac чија услуга за споделување екран слуша на TCP 5900, и бастион што може да го реши mac.corp.example, командата е кратка и намерно тесна. Секоја опција во неа постои за да ја одржи поставеноста мала: без школка, без слушател на сите интерфејси, без демон. Читајте ја како изјава за опфат, а не како рецепт.

ssh -N -o ExitOnForwardFailure=yes -L 127.0.0.1:15900:mac.corp.example:5900 [email protected]

Врзувањето на слушателот на 127.0.0.1 го држи подалеку од сите други интерфејси. Ова не е формалност: препраќање врзано на сите интерфејси го прави вашиот преносен компјутер отворен релеј во корпоративната мрежа за секој на истото кафуле со Wi-Fi. Ако портата е веќе зафатена, изберете друга висока порта и ажурирајте го прегледувачот; не запрете неповрзана услуга за да се вклопи примерот.

Сметката на бастионот исто така бара дозвола за препраќање до тоа одредиште. Некои заострени SSH конфигурации целосно го исклучуваат препраќањето порти, а некои го ограничуваат со директива permit-listen или permit-open. Прочитајте ја политиката на серверот пред да претпоставите дека одбиен канал значи погрешна лозинка.

Што шифрира SSH и каде запира

SSH сесијата го штити сообраќајот од вашиот Mac до бастионот, а препраќањето го носи VNC протоколот внатре во таа сесија без да го разбира. Откако врската ќе го напушти бастионот кон целта, таа веќе не е внатре во вашата SSH сесија. Каква и да е заштитата на тој последен скок, таа му припаѓа на протоколот на целта и на сопствените контроли на приватната мрежа.

Затоа прост последен VNC скок не треба да се опишува како шифриран од крај до крај само затоа што првиот скок користел SSH. Опишете ги сегментите искрено: силно од клиентот до бастионот, и потоа она што целта го поддржува. Ако барањето е целата патека да биде шифрирана со еден механизам, препраќањето не го исполнува тоа.

Автентикацијата на целта е повторно одделно прашање. SSH сметката не дава најава на macOS, и услугата за споделување екран сѐ уште ги бара сопствените податоци и сѐ уште ја применува сопствената листа за пристап. Локален слушател што прифаќа врска не докажува ништо за тоа дали далечинската услуга ќе ја прифати сесијата.

Кога целосниот VPN е вистинскиот избор

Изберете VPN кога задачата бара повеќе од една порта: функциите за управување и известување на Apple Remote Desktop користат дополнителен TCP и UDP сообраќај што едно TCP препраќање не може да го носи. Препраќањето не е делумна реализација на целиот производ; тоа е друга, помала алатка.

Изберете го кога неколку администратори се поврзуваат од променливи места, бидејќи управуван профил дистрибуира рути, податоци и политика без секој да измислува командна линија. Изберете го кога аудиторската трага мора да покаже кој со што се поврзал, бидејќи SSH сесија по корисник и заедничко локално препраќање оставаат многу различни записи.

Изберете го, на крајот, кога целната мрежа не треба да биде достапна од преносен компјутер воопшто без сопствената порта на организацијата. Личното препраќање ја заобиколува таа порта по дизајн, и токму затоа припаѓа во запис за промена, а не во историја на школка.

Натерајте препраќањето гласно да падне

Користете ExitOnForwardFailure=yes за неуспешното врзување да ја запре сесијата наместо да остави школка што изгледа поврзана и не препраќа ништо. Држете ја проверката на клучот на домаќинот вклучена и претпочитајте клуч или агент наместо лозинка. Потоа тестирајте ја точната URL што ќе ја користи прегледувачот, бидејќи работечка SSH сесија и работечка врска со екран се два различни резултати.

За родниот клиент на macOS, прегледувачот се достигнува преку локална URL: open "vnc://127.0.0.1:15900". Ако прозорецот се отвори и далечинскиот домаќин ја одбие автентикацијата, тунелот е во ред и проблемот е на целта. Ако прозорецот никогаш не се отвори, проблемот е во слушателот или портата.

Запрете ја сесијата кога ќе завршите, и запишете ја портата, бастионот, целта и политиката на сметката. Препраќање што никој не го документирал е неразлично од задни врати по шест месеци, и тоа е најсилниот аргумент да се држи мало, именувано и привремено.