एउटा Mac स्क्रिनका लागि स्थानीय SSH फर्वार्डिङ वा पूर्ण VPN?

तपाईंले आफ्नै मेसिनबाट एउटा Mac को स्क्रिन हेर्नुपर्छ, Mac तपाईंले पहिले नै SSH गर्न सक्ने होस्टको पछाडि छ, र प्रश्न यो हो कि यसले VPN योग्य छ कि। सामान्यतया छैन। एउटा स्थानीय फर्वार्डिङले तपाईंसँग पहिले नै भएको SSH सत्रबाट एउटा TCP पोर्ट बोक्छ, र एउटा होस्टमा एउटा स्क्रिनका लागि यो सम्पूर्ण नेटवर्क राउट गर्नुभन्दा सानो र बढी जाँचयोग्य व्यवस्था हो।

तीन सर्तहरूले यो निर्धारण गर्छन्, र तीमध्ये कुनै पनि एउटाले तपाईंलाई व्यवस्थित VPN तर्फ धकेल्न सक्छ।

तीन सर्तहरूले यो निर्धारण गर्छन्

पहिलो दायरा हो: एउटा होस्टमा एउटा सेवा, वा धेरै होस्ट र धेरै पोर्ट। दोस्रो यो हो कि बास्टियन र लक्ष्यबीचको हरेक हप पहिले नै विश्वसनीय छ कि, किनकि SSH ले आफूले अन्त्य गर्ने खण्डको मात्र रक्षा गर्छ। तेस्रो यो हो कि यो बनाएपछि यस व्यवस्थालाई कसले समर्थन गर्नुपर्छ, किनकि हातले बनाइएको टनेलले यसलाई बुझ्ने व्यक्तिभन्दा बढी समय टिक्छ। सुरु गर्नुअघि त्यो व्यक्तिको नाम भन्नुहोस्, र आदेश उसले भेट्टाउन सक्ने ठाउँमा लेख्नुहोस्। कागजात नभएको फर्वार्डिङ ढिलो सुरु मिति भएको भविष्यको घटना हो।

उत्तरहरू «एउटा», «हो» र «म, अहिलेलाई» भएमा फर्वार्डिङ नै सही साधन हो। कुनै पनि उत्तर फेरिएमा, समर्थित टाढा पहुँच डिजाइन एक वर्षमा कागजात नभएको टनेलपछि आउने घटना समीक्षाभन्दा सस्तो पर्छ।

एउटा पोर्ट फर्वार्ड गर्नुहोस्, नेटवर्क होइन

स्थानीय फर्वार्डिङले तपाईंको मेसिनमा श्रोता खोल्छ र हरेक जडान SSH सर्भरमार्फत त्यो सर्भर पुग्न सक्ने गन्तव्यमा पठाउँछ। स्क्रिन साझेदारी सेवा TCP 5900 मा सुन्ने Mac र mac.corp.example समाधान गर्न सक्ने बास्टियनका लागि, आदेश छोटो र जानाजानी साँघुरो छ। यसमा हरेक विकल्प व्यवस्था सानो राख्नका लागि छ: शेल छैन, सबै इन्टरफेसमा श्रोता छैन, डेमन छैन। यसलाई पकाउने विधि होइन, दायराको घोषणा भनेर पढ्नुहोस्।

ssh -N -o ExitOnForwardFailure=yes -L 127.0.0.1:15900:mac.corp.example:5900 [email protected]

श्रोतालाई 127.0.0.1 मा बाँध्दा यो अन्य सबै इन्टरफेसबाट टाढा रहन्छ। यो औपचारिकता होइन: सबै इन्टरफेसमा बाँधिएको फर्वार्डिङले तपाईंको ल्यापटपलाई त्यही क्याफेको Wi-Fi मा रहेका जो कोहीका लागि कर्पोरेट नेटवर्कतर्फ खुला रिले बनाउँछ। पोर्ट पहिले नै प्रयोगमा छ भने, अर्को अग्लो पोर्ट छान्नुहोस् र दर्शक अद्यावधिक गर्नुहोस्; उदाहरण मिलाउनका लागि सम्बन्ध नभएको सेवा नरोक्नुहोस्।

बास्टियनको खातालाई पनि त्यो गन्तव्यतर्फ फर्वार्ड गर्न अनुमति चाहिन्छ। केही कडा SSH कन्फिगरेसनले पोर्ट फर्वार्डिङ पूरै बन्द गर्छन्, र केहीले यसलाई permit-listen वा permit-open निर्देशनले सीमित गर्छन्। अस्वीकृत च्यानलको अर्थ पासवर्ड गलत थियो भन्ने मान्नुअघि सर्भर नीति पढ्नुहोस्।

SSH ले के इन्क्रिप्ट गर्छ, र कहाँ रोकिन्छ

SSH सत्रले तपाईंको Mac बाट बास्टियनसम्मको ट्राफिक जोगाउँछ, र फर्वार्डिङले VNC प्रोटोकल नबुझी त्यही सत्रभित्र बोक्छ। जडान बास्टियन छोडेर लक्ष्यतर्फ जानासाथ त्यो अब तपाईंको SSH सत्रभित्र हुँदैन। त्यो अन्तिम हपमा जे सुरक्षा भए पनि त्यो लक्ष्य प्रोटोकल र निजी नेटवर्कका आफ्नै नियन्त्रणको हो।

त्यसैले पहिलो हपले SSH प्रयोग गर्यो भन्ने मात्र कारणले साधारण अन्तिम VNC हपलाई टुप्पोदेखि टुप्पोसम्म इन्क्रिप्ट भन्नु हुँदैन। खण्डहरू इमानदारीसाथ वर्णन गर्नुहोस्: ग्राहकबाट बास्टियनसम्म बलियो, र त्यसपछि लक्ष्यले समर्थन गर्ने। यदि सम्पूर्ण मार्ग एउटै संयन्त्रले इन्क्रिप्ट हुनुपर्ने आवश्यकता छ भने, फर्वार्डिङले त्यो पूरा गर्दैन।

लक्ष्यमा प्रमाणीकरण फेरि अलग कुरा हो। SSH खाताले macOS लगइन दिँदैन, र स्क्रिन साझेदारी सेवाले अझै आफ्नै प्रमाणहरू माग्छ र अझै आफ्नै पहुँच सूची लागू गर्छ। जडान स्वीकार गर्ने स्थानीय श्रोताले टाढाको सेवाले सत्र स्वीकार गर्छ कि भन्नेबारे केही पनि प्रमाणित गर्दैन।

पूर्ण VPN कहिले सही निर्णय हुन्छ

कामलाई एकभन्दा बढी पोर्ट चाहिएमा VPN छान्नुहोस्: Apple Remote Desktop का व्यवस्थापन र प्रतिवेदन कार्यहरूले एक TCP फर्वार्डिङले बोक्न नसक्ने थप TCP र UDP ट्राफिक प्रयोग गर्छन्। फर्वार्डिङ सम्पूर्ण उत्पादनको आंशिक कार्यान्वयन होइन; यो फरक, सानो साधन हो।

धेरै प्रशासकहरू फेरिने स्थानबाट जोडिँदा यो छान्नुहोस्, किनकि व्यवस्थित प्रोफाइलले हरेकले आदेश लाइन आविष्कार नगरी मार्ग, प्रमाण र नीति वितरण गर्छ। अडिट ट्रेलले कसले केसँग जोडियो देखाउनुपर्ने भएमा यो छान्नुहोस्, किनकि प्रति-प्रयोगकर्ता SSH सत्र र साझा स्थानीय फर्वार्डिङले धेरै फरक अभिलेख छाड्छन्।

अन्तमा, संस्थाको आफ्नै गेटबिना ल्यापटपबाट लक्ष्य नेटवर्कमा पुग्नै नहुने हो भने यो छान्नुहोस्। व्यक्तिगत फर्वार्डिङले डिजाइनअनुसारै त्यो गेट छल्छ, र त्यसैले यो शेल इतिहासमा होइन, परिवर्तन अभिलेखमा पर्छ।

फर्वार्डिङलाई ठूलो स्वरमा असफल हुन दिनुहोस्

असफल बाइन्डिङले सत्र रोक्ने, जोडिएको देखिने तर केही फर्वार्ड नगर्ने शेल छाड्ने होइन भन्नका लागि ExitOnForwardFailure=yes प्रयोग गर्नुहोस्। होस्ट-की प्रमाणीकरण खुला राख्नुहोस्, र पासवर्डभन्दा कुञ्जी वा एजेन्टलाई प्राथमिकता दिनुहोस्। त्यसपछि दर्शकले प्रयोग गर्ने ठ्याक्कै URL परीक्षण गर्नुहोस्, किनकि चल्ने SSH सत्र र चल्ने स्क्रिन जडान दुई फरक नतिजा हुन्।

macOS को मूल ग्राहकका लागि, दर्शकसम्म स्थानीय URL मार्फत पुगिन्छ, जुन open "vnc://127.0.0.1:15900" हो। झ्याल खुल्यो र टाढाको होस्टले प्रमाणीकरण अस्वीकार गर्यो भने, टनेल ठीक छ र समस्या लक्ष्यमा छ। झ्याल कहिल्यै नखुल्यो भने, समस्या श्रोता वा पोर्टमा छ।

काम सकिएपछि सत्र रोक्नुहोस्, र पोर्ट, बास्टियन, लक्ष्य र खाता नीति लेख्नुहोस्। कसैले कागजात नगरेको फर्वार्डिङ छ महिनापछि पछाडिको ढोकाबाट छुट्याउन सकिँदैन, र यसलाई सानो, नाम भएको र अस्थायी राख्ने सबैभन्दा बलियो तर्क यही हो।