Inoltru SSH lokali jew VPN sħiħ għal skrin tal-Mac wieħed?

Trid tara l-iskrin ta’ Mac wieħed mill-magna tiegħek stess, il-Mac qiegħed wara host li diġà tista’ tagħmel SSH miegħu, u l-mistoqsija hija jekk dan jistħoqqlu VPN. Normalment le. Inoltru lokali wieħed iġorr port TCP wieħed permezz tas-sessjoni SSH li diġà għandek, u għal skrin wieħed fuq host wieħed din hija arranġament iżgħar u aktar verifikabbli milli tirrutta netwerk sħiħ.

Tliet kundizzjonijiet jiddeċiedu dan, u xi waħda minnhom tista’ timbotta lejn il-VPN ġestit minflok.

Tliet kundizzjonijiet jiddeċiedu dan

L-ewwel hija l-ambitu: servizz wieħed fuq host wieħed, jew bosta hosts u bosta portijiet. It-tieni hija jekk kull qabża bejn il-bastion u l-mira hijiex diġà fdati, għax SSH jipproteġi biss is-segment li jtemm. It-tielet hija min irid jappoġġa l-arranġament wara li tibnih, għax mina magħmula bl-idejn għandha tendenza tgħix aktar mill-persuna li fehmita. Semmi dik il-persuna qabel ma tibda, u ikteb il-kmand f’post fejn hija tista’ ssibu. Inoltru mhux dokumentat huwa inċident futur b’data tal-bidu posposta.

Jekk it-tweġibiet huma «wieħed», «iva» u «jien, għalissa», l-inoltru huwa l-għodda t-tajba. Jekk xi tweġiba tinbidel, disinn ta’ aċċess mill-bogħod appoġġat jiġi irħas fuq sena mill-istħarriġ tal-inċident li jsegwi mina mhux dokumentata.

Inoltra port wieħed, mhux in-netwerk

Inoltru lokali jiftaħ semmiegħ fuq il-magna tiegħek u jgħaddi kull konnessjoni mis-server SSH lejn destinazzjoni li dak is-server jista’ jilħaq. Għal Mac li s-servizz tiegħu tal-qsim tal-iskrin jisma’ fuq TCP 5900, u bastion li jista’ jsolvi mac.corp.example, il-kmand huwa qasir u deliberatament dojoq. Kull għażla fih teżisti biex l-arranġament jibqa’ żgħir: ebda shell, ebda semmiegħ fuq l-interfaces kollha, ebda daemon. Aqrah bħala dikjarazzjoni tal-ambitu, mhux bħala riċetta.

ssh -N -o ExitOnForwardFailure=yes -L 127.0.0.1:15900:mac.corp.example:5900 [email protected]

L-irbit tas-semmiegħ ma’ 127.0.0.1 iżommu ’l bogħod minn kull interface ieħor. Din mhijiex formalità: inoltru marbut mal-interfaces kollha jbiddel il-laptop tiegħek f’relay miftuħ fin-netwerk korporattiv għal kulħadd fuq l-istess Wi-Fi tal-kafè. Jekk il-port diġà jintuża, agħżel port għoli ieħor u aġġorna l-veditur; twaqqafx servizz mhux relatat biex l-eżempju jaqbel.

Il-kont fuq il-bastion ukoll jeħtieġ permess biex jinoltra lejn dik id-destinazzjoni. Xi konfigurazzjonijiet SSH imsaħħa jiddiżattivaw l-inoltru tal-portijiet għal kollox, u oħrajn jirrestrinġuh b’direttiva permit-listen jew permit-open. Aqra l-politika tas-server qabel ma tassumi li kanal miċħud ifisser li l-password kienet żbaljata.

X’jikkripta SSH, u fejn jieqaf

Is-sessjoni SSH tipproteġi t-traffiku mill-Mac tiegħek sal-bastion, u l-inoltru jġorr il-protokoll VNC ġewwa dik is-sessjoni mingħajr ma jifhmu. Ladarba l-konnessjoni titlaq mill-bastion lejn il-mira, mhijiex aktar ġewwa s-sessjoni SSH tiegħek. Kwalunkwe protezzjoni li teżisti fuq dik il-qabża tal-aħħar tappartjeni għall-protokoll tal-mira u għall-kontrolli tal-private network stess.

Huwa għalhekk li qabża VNC sempliċi tal-aħħar m’għandhiex tiġi deskritta bħala kriptata minn tarf għal tarf sempliċement għax l-ewwel qabża użat SSH. Iddeskrivi s-segmenti b’onestà: qawwija mill-klijent sal-bastion, u mbagħad dak li tappoġġa l-mira. Jekk ir-rekwiżit huwa li t-triq kollha tkun kriptata b’mekkaniżmu wieħed, l-inoltru ma jissodisfax dan.

L-awtentikazzjoni fil-mira hija għal darb’oħra kwistjoni separata. Il-kont SSH ma jagħtix login tal-macOS, u s-servizz tal-qsim tal-iskrin għadu jitlob il-kredenzjali tiegħu stess u għadu japplika l-lista tal-aċċess tiegħu stess. Semmiegħ lokali li jaċċetta konnessjoni ma jipprova xejn dwar jekk is-servizz mill-bogħod hux se jdaħħal is-sessjoni.

Meta l-VPN sħiħ huwa d-deċiżjoni t-tajba

Agħżel il-VPN meta l-kompitu jeħtieġ aktar minn port wieħed: il-funzjonijiet tal-ġestjoni u r-rappurtar tal-Apple Remote Desktop jużaw traffiku TCP u UDP addizzjonali li inoltru TCP wieħed ma jġorrx. Inoltru mhuwiex implimentazzjoni parzjali tal-prodott kollu; hija għodda oħra, iżgħar.

Agħżlu meta bosta amministraturi jikkonnettjaw minn postijiet li jinbidlu, għax profil ġestit iqassam rotot, kredenzjali u politika mingħajr ma kull persuna tivvinta linja tal-kmand. Agħżlu meta t-traċċa tal-awditjar trid turi min qabbad ma xiex, għax sessjoni SSH għal kull utent u inoltru lokali maqsum iħallu rekords ferm differenti.

Agħżlu, fl-aħħar, meta n-netwerk fil-mira m’għandux ikun aċċessibbli minn laptop xejn mingħajr il-bieb tal-organizzazzjoni stess. Inoltru personali jevita dak il-bieb bid-disinn, u huwa eżattament għalhekk li jappartjeni għal rekord tal-bidliet u mhux għal storja tas-shell.

Ħalli l-inoltru jonqos b’ħoss qawwi

Uża ExitOnForwardFailure=yes biex irbit fallut iwaqqaf is-sessjoni minflok ma jħalli shell li jidher konness u ma jinoltra xejn. Żomm il-verifika tal-kjavi tal-host mixgħula, u ppreferixxi kjavi jew aġent minflok password. Imbagħad iġġarrab l-URL eżatt li se juża l-veditur, għax sessjoni SSH li taħdem u konnessjoni tal-iskrin li taħdem huma żewġ riżultati differenti.

Għall-klijent nattiv fuq macOS, il-veditur jintlaħaq permezz ta’ URL lokali: open "vnc://127.0.0.1:15900". Jekk it-tieqa tinfetaħ u l-host mill-bogħod jirrifjuta l-awtentikazzjoni, il-mina hija sew u l-problema hija fil-mira. Jekk it-tieqa qatt ma tinfetaħ, il-problema hija fis-semmiegħ jew fil-port.

Waqqaf is-sessjoni meta tkun lest, u ikteb il-port, il-bastion, il-mira u l-politika tal-kont. Inoltru li ħadd ma ddocumenta ma jistax jiġi distint minn bieb ta’ wara sitt xhur wara, u dan huwa l-akbar argument biex jinżamm żgħir, imsemmi u temporanju.