Нэг Mac дэлгэцэд зориулж локал SSH дамжуулалт уу, бүрэн VPN уу?

Та өөрийн машинаас нэг Mac-ийн дэлгэцийг харах хэрэгтэй, Mac нь та аль хэдийн SSH хийж чадах хостны ард байна, асуулт нь энэ VPN-д үнэ цэнэтэй юу. Ихэвчлэн үгүй. Нэг локал дамжуулалт аль хэдийн байгаа SSH сессиээр нэг TCP портыг дамжуулдаг бөгөөд нэг хост дээрх нэг дэлгэцэд энэ нь бүхэл сүлжээг чиглүүлэхээс бага, шалгахад хялбар зохион байгуулалт юм.

Үүнийг гурван нөхцөл шийддэг бөгөөд тэдгээрийн аль нэг нь таныг удирдлагатай VPN рүү түлхэж болно.

Үүнийг гурван нөхцөл шийддэг

Эхнийх нь хамрах хүрээ: нэг хост дээрх нэг үйлчилгээ, эсвэл олон хост, олон порт. Хоёр дахь нь бастион ба зорилтын хоорондох алхам бүр аль хэдийн итгэмжлэгдсэн эсэх, учир нь SSH зөвхөн өөрөө дуусгах сегментийг хамгаалдаг. Гурав дахь нь үүнийг барьсны дараа энэ зохион байгуулалтыг хэн дэмжих ёстой вэ, учир нь гараар хийсэн туннель түүнийг ойлгосон хүнээс илүү удаан амьдардаг. Эхлэхийн өмнө тэр хүний нэрийг хэлж, командыг тэр олдог газарт бичээрэй. Баримтжуулаагүй дамжуулалт бол хойшлуулсан эхлэх огноотой ирээдүйн осол.

Хариултууд «нэг», «тийм», «би, одоохондоо» бол дамжуулалт зөв хэрэгсэл. Аль нэг хариулт өөрчлөгдвөл, дэмжлэгтэй алсын нэвтрэлтийн загвар жилийн дотор баримтжуулаагүй туннелийн дараах ослын хяналтаас хямд.

Нэг порт дамжуул, сүлжээг биш

Локал дамжуулалт таны машинд сонсогчийг нээж, холболт бүрийг SSH серверээр дамжуулан тэр сервер хүрч чадах зорилт руу илгээдэг. Дэлгэц хуваалцах үйлчилгээ TCP 5900 дээр сонсож байгаа Mac болон mac.corp.example-ийг шийдэж чадах бастионд командыг богино, зориуд нарийн болгосон. Доторх сонголт бүр зохион байгуулалтыг жижиг байлгахын тулд байдаг: бүрхүүлгүй, бүх интерфэйс дээр сонсогчгүй, демонгүй. Үүнийг жор биш, хамрах хүрээний мэдэгдэл гэж уншаарай.

ssh -N -o ExitOnForwardFailure=yes -L 127.0.0.1:15900:mac.corp.example:5900 [email protected]

Сонсогчийг 127.0.0.1-д уях нь түүнийг бусад бүх интерфэйсээс хол байлгана. Энэ нь албан ёсны зүйл биш: бүх интерфэйсэд уясан дамжуулалт таны зөөврийн компьютерыг ижил кафены Wi-Fi дээр байгаа хүн бүрт корпорацийн сүлжээ рүү нээлттэй релей болгоно. Порт аль хэдийн ашиглагдаж байгаа бол өөр өндөр порт сонгож, үзэгчийг шинэчил; жишээ тааруулахын тулд хамааралгүй үйлчилгээг бүү зогсоо.

Бастион дээрх бүртгэлд мөн тэр зорилт руу дамжуулах зөвшөөрөл хэрэгтэй. Зарим хатуу SSH тохиргоо порт дамжуулалтыг бүрэн идэвхгүй болгодог, зарим нь permit-listen эсвэл permit-open зааврын тусламжтайгаар хязгаарладаг. Татгалзсан суваг нууц үг буруу байсан гэж үзэхээсээ өмнө серверийн бодлогыг уншаарай.

SSH юуг шифрлэдэг, хаана зогсдог

SSH сесс таны Mac-аас бастион хүртэлх урсгалыг хамгаалж, дамжуулалт VNC протоколыг ойлгохгүйгээр тэр сессийн дотор зөөдөг. Холболт бастионыг орхиж зорилт руу явсны дараа энэ нь таны SSH сессийн дотор байхаа больсон. Тэр сүүлчийн алхалт дээр ямар ч хамгаалалт байсан, энэ нь зорилтын протокол болон хувийн сүлжээний өөрийн хяналтад хамаарна.

Тиймээс энгийн сүүлчийн VNC алхалтыг зөвхөн эхний алхалт SSH ашигласан гэсэн шалтгаанаар төгсгөлөөс төгсгөл хүртэл шифрлэгдсэн гэж дүрслэх ёсгүй. Сегментүүдийг шударгаар дүрсэл: клиентээс бастион хүртэл хүчтэй, дараа нь зорилт юуг дэмжиж байна. Хэрэв шаардлага нь бүх замыг нэг механизмаар шифрлэх бол дамжуулалт үүнийг хангахгүй.

Зорилт дээрх баталгаажуулалт дахин тусдаа асуудал. SSH бүртгэл macOS-д нэвтрэх эрх өгөхгүй бөгөөд дэлгэц хуваалцах үйлчилгээ өөрийн бүртгэлийг одоо ч шаардаж, өөрийн хандалтын жагсаалтыг одоо ч хэрэглэдэг. Холболт хүлээж авдаг локал сонсогч нь алсын үйлчилгээ сессийг хүлээж авах эсэхийг юу ч нотолдоггүй.

Бүрэн VPN хэзээ зөв шийдвэр вэ

Даалгаварт нэгээс олон порт хэрэгтэй бол VPN сонго: Apple Remote Desktop-ийн удирдлага, тайлангийн функцууд нэг TCP дамжуулалт зөөж чадахгүй нэмэлт TCP, UDP урсгал ашигладаг. Дамжуулалт бүтээгдэхүүний бүхэл хэсэгчилсэн хэрэгжилт биш; энэ нь өөр, жижиг хэрэгсэл.

Олон администратор өөрчлөгддөг газраас холбогдох үед үүнийг сонго, учир нь удирдлагатай профайл хүн бүр командын мөр зохиохгүйгээр маршрут, бүртгэл, бодлогыг тараадаг. Аудитын мөр хэн юутай холбогдсоныг харуулах ёстой үед үүнийг сонго, учир нь хэрэглэгч тус бүрийн SSH сесс болон хуваалцсан локал дамжуулалт маш өөр бүртгэл үлдээдэг.

Эцэст нь, байгууллагын өөрийн гарцгүйгээр зөөврийн компьютерээс зорилтын сүлжээнд огт хүрч болохгүй байх ёстой бол үүнийг сонго. Хувийн дамжуулалт тэр гарцыг зохион байгуулалтаараа тойрдог, тиймээс л энэ нь бүрхүүлийн түүхэнд биш, өөрчлөлтийн бүртгэлд хамаарна.

Дамжуулалтыг чанга дуугаар бүтэлгүй болго

Бүтэлгүй уялт сессийг зогсоож, холбогдсон мэт харагдах боловч юу ч дамжуулахгүй бүрхүүл үлдээхгүйн тулд ExitOnForwardFailure=yes ашигла. Хостын түлхүүрийн шалгалтыг асаалттай байлгаж, нууц үгээс түлхүүр эсвэл агентыг илүүд үзээрэй. Дараа нь үзэгчийн ашиглах яг URL-ийг туршиж үзээрэй, учир нь ажиллаж байгаа SSH сесс болон ажиллаж байгаа дэлгэцийн холболт нь хоёр өөр үр дүн.

macOS-ийн төрөлх клиентийн хувьд үзэгч рүү локал URL-ээр хүрнэ: open "vnc://127.0.0.1:15900". Цонх нээгдэж, алсын хост баталгаажуулалтыг татгалзвал туннель зөв, асуудал зорилт дээр байна. Цонх хэзээ ч нээгдэхгүй бол асуудал сонсогч эсвэл порт дээр байна.

Дуусмагц сессийг зогсоож, порт, бастион, зорилт, бүртгэлийн бодлогыг бичиж үлдээ. Хэн ч баримтжуулаагүй дамжуулалтыг зургаан сарын дараа арын хаалганаас ялгах боломжгүй, мөн үүнийг жижиг, нэртэй, түр зуурын байлгах хамгийн хүчтэй үндэслэл энэ.