Lokalno posredovanje SSH ali celoten VPN za en zaslon Maca?

Videti morate zaslon enega Maca z lastnega računalnika, Mac stoji za gostiteljem, do katerega se že lahko povežete prek SSH, in vprašanje je, ali si to zasluži VPN. Običajno ne. Eno lokalno posredovanje prenaša ena vrata TCP skozi sejo SSH, ki jo že imate, in za en zaslon na enem gostitelju je to manjša in lažje revidirana ureditev kot usmerjanje celega omrežja.

Odločajo trije pogoji, in kateri koli od njih vas lahko potisne proti upravljanemu VPN.

Odločajo trije pogoji

Prvi je obseg: ena storitev na enem gostitelju ali več gostiteljev in več vrat. Drugi je, ali je vsak skok med bastionom in ciljem že zaupanja vreden, ker SSH ščiti le odsek, ki ga zaključi. Tretji je, kdo mora ureditev podpirati po tem, ko jo zgradite, saj ročno narejen tunel običajno preživi osebo, ki ga je razumela. Imenujte to osebo, preden začnete, in zapišite ukaz na mesto, kjer ga lahko najde. Nedokumentirano posredovanje je prihodnji incident z odloženim datumom začetka.

Če so odgovori »en«, »da« in »jaz, za zdaj«, je posredovanje pravo orodje. Če se spremeni kateri koli odgovor, je podprta zasnova oddaljenega dostopa v enem letu cenejša od pregleda incidenta, ki sledi nedokumentiranemu tunelu.

Posredujte ena vrata, ne omrežja

Lokalno posredovanje odpre poslušalec na vašem računalniku in vsako povezavo posreduje skozi strežnik SSH do cilja, ki ga ta strežnik lahko doseže. Za Mac, katerega storitev skupne rabe zaslona posluša na TCP 5900, in bastion, ki zna razrešiti mac.corp.example, je ukaz kratek in namerno ozek. Vsaka možnost v njem obstaja zato, da ureditev ostane majhna: brez lupine, brez poslušalca na vseh vmesnikih, brez demona. Berite ga kot izjavo o obsegu, ne kot recept.

ssh -N -o ExitOnForwardFailure=yes -L 127.0.0.1:15900:mac.corp.example:5900 [email protected]

Vezava poslušalca na 127.0.0.1 ga drži stran od vseh drugih vmesnikov. To ni formalnost: posredovanje, vezano na vse vmesnike, spremeni vaš prenosnik v odprt rele v podjetniško omrežje za vsakogar v isti kavarni z Wi-Fi. Če so vrata že zasedena, izberite druga visoka vrata in posodobite pregledovalnik; ne ustavljajte nepovezane storitve, da bi se primer ujemal.

Račun na bastionu prav tako potrebuje dovoljenje za posredovanje na ta cilj. Nekatere utrjene konfiguracije SSH popolnoma onemogočijo posredovanje vrat, nekatere pa ga omejijo z direktivo permit-listen ali permit-open. Preberite politiko strežnika, preden domnevate, da zavrnjen kanal pomeni napačno geslo.

Kaj SSH šifrira in kje se ustavi

Seja SSH ščiti promet od vašega Maca do bastiona, posredovanje pa nosi protokol VNC znotraj te seje, ne da bi ga razumelo. Ko povezava zapusti bastion proti cilju, ni več znotraj vaše seje SSH. Kakršna koli zaščita je na tem zadnjem skoku, pripada ciljnemu protokolu in lastnim kontrolam zasebnega omrežja.

Zato preprostega zadnjega skoka VNC ne smemo opisovati kot šifriranega od konca do konca samo zato, ker je prvi skok uporabil SSH. Opišite odseke pošteno: močno od odjemalca do bastiona, nato pa tisto, kar cilj podpira. Če je zahteva, da je celotna pot šifrirana z enim mehanizmom, posredovanje tega ne izpolni.

Preverjanje pristnosti na cilju je spet ločena stvar. Račun SSH ne da prijave v macOS, in storitev skupne rabe zaslona še vedno zahteva svoje poverilnice in še vedno uporablja svoj seznam dostopa. Lokalni poslušalec, ki sprejme povezavo, ne dokaže ničesar o tem, ali bo oddaljena storitev sejo spustila.

Kdaj je celoten VPN prava izbira

Izberite VPN, ko naloga potrebuje več kot ena vrata: funkcije upravljanja in poročanja Apple Remote Desktop uporabljajo dodatni promet TCP in UDP, ki ga eno posredovanje TCP ne nosi. Posredovanje ni delna izvedba celotnega izdelka; to je drugo, manjše orodje.

Izberite ga, ko se več skrbnikov povezuje z menjajočih se krajev, ker upravljani profil razdeljuje poti, poverilnice in politiko, ne da bi si vsak izmislil ukazno vrstico. Izberite ga, ko mora revizijska sled pokazati, kdo se je s čim povezal, saj seja SSH na uporabnika in skupno lokalno posredovanje puščata zelo različne zapise.

Izberite ga nazadnje, ko ciljno omrežje ne sme biti s prenosnika sploh dosegljivo brez lastnih vrat organizacije. Osebno posredovanje ta vrata obide po zasnovi, in prav zato sodi v register sprememb in ne v zgodovino lupine.

Naj posredovanje glasno odpove

Uporabite ExitOnForwardFailure=yes, da neuspešna vezava ustavi sejo, namesto da pusti lupino, ki je videti povezana in ničesar ne posreduje. Pustite preverjanje ključa gostitelja vklopljeno in dajte prednost ključu ali agentu pred geslom. Nato preizkusite natančen URL, ki ga bo uporabil pregledovalnik, ker sta delujoča seja SSH in delujoča povezava z zaslonom dva različna izida.

Za izvornega odjemalca v macOS se do pregledovalnika pride prek lokalnega URL: open "vnc://127.0.0.1:15900". Če se okno odpre in oddaljeni gostitelj zavrne preverjanje pristnosti, je tunel v redu in težava je na cilju. Če se okno nikoli ne odpre, je težava v poslušalcu ali vratih.

Ko končate, ustavite sejo in zapišite vrata, bastion, cilj in politiko računa. Posredovanje, ki ga ni nihče dokumentiral, je po pol leta nerazločljivo od zadnjih vrat, in to je najmočnejši argument, da ostane majhno, imenovano in začasno.