Lokal SSH-viderekobling eller full VPN for én Mac-skjerm?

Du må se skjermen til én Mac fra din egen maskin, Macen står bak en vert du allerede kan SSH til, og spørsmålet er om det fortjener en VPN. Vanligvis ikke. Én lokal viderekobling bærer én TCP-port gjennom SSH-økten du allerede har, og for én skjerm på én vert er det en mindre og mer reviderbar ordning enn å rute et helt nettverk.

Tre betingelser avgjør det, og enhver av dem kan skyve deg mot den administrerte VPN-en i stedet.

Tre betingelser avgjør det

Den første er omfang: én tjeneste på én vert, eller flere verter og flere porter. Den andre er om hvert sprang mellom bastionen og målet allerede er betrodd, fordi SSH bare beskytter segmentet det avslutter. Den tredje er hvem som må støtte ordningen etter at du har bygget den, siden en håndlaget tunnel har en tendens til å overleve personen som forsto den. Navngi den personen før du begynner, og skriv kommandoen et sted de kan finne den. En udokumentert viderekobling er en fremtidig hendelse med utsatt startdato.

Hvis svarene er «én», «ja» og «meg, foreløpig», er viderekoblingen det riktige verktøyet. Hvis noe svar endrer seg, er et støttet fjernaksessdesign billigere over ett år enn hendelsesgjennomgangen som følger en udokumentert tunnel.

Videresend én port, ikke nettverket

En lokal viderekobling åpner en lytter på maskinen din og videresender hver tilkobling gjennom SSH-serveren til en destinasjon den serveren kan nå. For en Mac der skjermdelingstjenesten lytter på TCP 5900, og en bastion som kan slå opp mac.corp.example, er kommandoen kort og bevisst smal. Hvert alternativ i den finnes for å holde ordningen liten: ingen skall, ingen lytter på alle grensesnitt, ingen daemon. Les den som en omfangserklæring, ikke som en oppskrift.

ssh -N -o ExitOnForwardFailure=yes -L 127.0.0.1:15900:mac.corp.example:5900 [email protected]

Å binde lytteren til 127.0.0.1 holder den borte fra alle andre grensesnitt. Det er ikke en formalitet: en viderekobling bundet til alle grensesnitt gjør laptopen din til et åpent relé inn i bedriftsnettet for alle på samme kafé-Wi-Fi. Hvis porten allerede er i bruk, velg en annen høy port og oppdater viseren; ikke stopp en urelatert tjeneste for at eksempelet skal passe.

Kontoen på bastionen trenger også tillatelse til å videresende til den destinasjonen. Noen herdede SSH-konfigurasjoner slår av portvideresending helt, og noen begrenser den med et permit-listen- eller permit-open-direktiv. Les serverpolicyen før du antar at en avvist kanal betyr at passordet var feil.

Hva SSH krypterer, og hvor det stopper

SSH-økten beskytter trafikk fra Macen din til bastionen, og viderekoblingen bærer VNC-protokollen inne i den økten uten å forstå den. Når tilkoblingen forlater bastionen mot målet, er den ikke lenger inne i SSH-økten din. Hvilken som helst beskyttelse som finnes på det siste spranget, tilhører målprotokollen og det private nettets egne kontroller.

Derfor bør et vanlig siste VNC-sprang ikke beskrives som ende-til-ende-kryptert bare fordi det første spranget brukte SSH. Beskriv segmentene ærlig: sterkt fra klient til bastion, og deretter det målet støtter. Hvis kravet er at hele veien skal krypteres av én mekanisme, oppfyller ikke viderekoblingen det.

Autentisering på målet er igjen en egen sak. SSH-kontoen gir ikke macOS-innlogging, og skjermdelingstjenesten ber fortsatt om sine egne legitimasjoner og bruker fortsatt sin egen tilgangsliste. En lokal lytter som godtar en tilkobling, beviser ingenting om hvorvidt tjenesten på avstand slipper økten inn.

Når full VPN er det riktige valget

Velg VPN når oppgaven trenger mer enn én port: administrasjons- og rapporteringsfunksjonene i Apple Remote Desktop bruker ekstra TCP- og UDP-trafikk som én TCP-viderekobling ikke bærer. En viderekobling er ikke en delvis implementasjon av hele produktet; det er et annet, mindre verktøy.

Velg den når flere administratorer kobler til fra skiftende steder, fordi en administrert profil distribuerer ruter, legitimasjon og policy uten at hver person finner opp en kommandolinje. Velg den når revisjonssporet må vise hvem som koblet til hva, siden en SSH-økt per bruker og en delt lokal viderekobling etterlater svært forskjellige poster.

Velg den, til slutt, når målnettet ikke skal kunne nås fra en laptop i det hele tatt uten organisasjonens egen port. En personlig viderekobling omgår den porten av design, og det er nettopp derfor den hører i en endringsregistrering og ikke i en skallhistorikk.

La viderekoblingen feile høyt

Bruk ExitOnForwardFailure=yes slik at en mislykket binding stopper økten i stedet for å etterlate et skall som ser tilkoblet ut og ikke videresender noe. Hold vertsnøkkelverifisering på, og foretrekk en nøkkel eller agent fremfor et passord. Test deretter den nøyaktige URL-en som viseren skal bruke, fordi en fungerende SSH-økt og en fungerende skjermtilkobling er to forskjellige resultater.

For den innebygde klienten på macOS nås viseren gjennom en lokal URL: open "vnc://127.0.0.1:15900". Hvis vinduet åpnes og verten på avstand avviser autentisering, er tunnelen i orden og problemet er på målet. Hvis vinduet aldri åpnes, er problemet lytteren eller porten.

Stopp økten når du er ferdig, og skriv ned porten, bastionen, målet og kontopolitikken. En viderekobling som ingen har dokumentert, kan seks måneder senere ikke skilles fra en bakdør, og det er det sterkeste argumentet for å holde den liten, navngitt og midlertidig.