Uelekezaji wa SSH wa ndani au VPN kamili kwa skrini moja ya Mac?

Unahitaji kuona skrini ya Mac mmoja kutoka kwenye mashine yako, Mac iko nyuma ya mwenyeji ambaye tayari unaweza kufanya SSH kwake, na swali ni kama hilo linastahili VPN. Kwa kawaida hapana. Uelekezaji mmoja wa ndani hubeba bandari moja ya TCP kupitia kikao cha SSH ulichonacho tayari, na kwa skrini moja kwenye mwenyeji mmoja hii ni mpangilio mdogo na unaoweza kukaguliwa zaidi kuliko kuelekeza mtandao mzima.

Masharti matatu yanaamua, na yoyote kati yao inaweza kukusukuma kwenye VPN inayosimamiwa.

Masharti matatu yanaamua

La kwanza ni wigo: huduma moja kwenye mwenyeji mmoja, au wenyeji kadhaa na bandari kadhaa. La pili ni kama kila kuruka kati ya bastion na lengo tayari kunaaminika, kwa sababu SSH inalinda sehemu tu inayoimaliza. La tatu ni nani anapaswa kuunga mkono mpangilio baada ya kuujenga, kwa sababu handaki iliyotengenezwa kwa mkono huwa inaishi zaidi ya mtu aliyeielewa. Mtaje mtu huyo kabla ya kuanza, na uandike amri mahali anapoweza kuipata. Uelekezaji usioandikwa ni tukio la baadaye lenye tarehe ya kuanza iliyoahirishwa.

Ikiwa majibu ni «moja», «ndiyo» na «mimi, kwa sasa», uelekezaji ni chombo sahihi. Ikiwa jibu lolote linabadilika, muundo wa ufikiaji wa mbali unaoungwa mkono ni wa bei nafuu kwa mwaka kuliko mapitio ya tukio yanayofuata handaki isiyoandikwa.

Elekeza bandari moja, sio mtandao

Uelekezaji wa ndani hufungua msikilizaji kwenye mashine yako na hupitisha kila muunganisho kupitia seva ya SSH hadi mahali ambapo seva hiyo inaweza kufikia. Kwa Mac ambayo huduma yake ya kushiriki skrini inasikiliza kwenye TCP 5900, na bastion inayoweza kutatua mac.corp.example, amri ni fupi na nyembamba kwa makusudi. Kila chaguo ndani yake lipo ili mpangilio ubaki mdogo: hakuna shell, hakuna msikilizaji kwenye violesura vyote, hakuna daemon. Isome kama tamko la wigo, sio kama mapishi.

ssh -N -o ExitOnForwardFailure=yes -L 127.0.0.1:15900:mac.corp.example:5900 [email protected]

Kufunga msikilizaji kwenye 127.0.0.1 kunamweka mbali na kila kiolesura kingine. Hii sio taratibu: uelekezaji uliofungwa kwenye violesura vyote hugeuza laptop yako kuwa kipitishio wazi kuingia kwenye mtandao wa shirika kwa mtu yeyote aliye kwenye Wi-Fi hiyo hiyo ya kahawa. Ikiwa bandari tayari inatumika, chagua bandari nyingine ya juu na usasishe kionyeshi; usisimamishe huduma isiyohusiana ili mfano uoane.

Akaunti kwenye bastion pia inahitaji ruhusa ya kuelekeza hadi mahali hapo. Baadhi ya usanidi wa SSH ulioimarishwa huzima kabisa uelekezaji wa bandari, na nyingine huweka kikomo kwa agizo la permit-listen au permit-open. Soma sera ya seva kabla ya kudhani kuwa kituo kilichokataliwa kinamaanisha neno la siri lilikuwa si sahihi.

SSH inasisimua nini, na inaishia wapi

Kikao cha SSH hulinda trafiki kutoka Mac yako hadi bastion, na uelekezaji hubeba itifaki ya VNC ndani ya kikao hicho bila kuielewa. Mara muunganisho unapoondoka bastion kuelekea lengo, hauko tena ndani ya kikao chako cha SSH. Ulinzi wowote uliopo kwenye kuruka huko kwa mwisho ni wa itifaki ya lengo na vidhibiti vya mtandao wa faragha wenyewe.

Ndio sababu kuruka kwa mwisho kwa VNC safi hakupaswi kuelezewa kama kusisimuliwa kutoka mwisho hadi mwisho kwa sababu tu kuruka kwa kwanza kulitumia SSH. Eleza sehemu kwa uaminifu: imara kutoka mteja hadi bastion, na kisha kile lengo linasaidia. Ikiwa hitaji ni kwamba njia yote isisimuliwe kwa utaratibu mmoja, uelekezaji haukidhi hilo.

Uthibitishaji kwenye lengo ni suala lingine tena. Akaunti ya SSH haitoi kuingia kwenye macOS, na huduma ya kushiriki skrini bado inaomba ithibati zake mwenyewe na bado inatumia orodha yake ya ufikiaji. Msikilizaji wa ndani anayekubali muunganisho haithibitishi chochote kuhusu kama huduma ya mbali itakubali kikao.

Lini VPN kamili ni uamuzi sahihi

Chagua VPN wakati kazi inahitaji bandari zaidi ya moja: kazi za usimamizi na utoaji ripoti za Apple Remote Desktop hutumia trafiki ya ziada ya TCP na UDP ambayo uelekezaji mmoja wa TCP hauwezi kuubeba. Uelekezaji sio utekelezaji wa sehemu ya bidhaa nzima; ni chombo kingine, kidogo.

Uichague wakati wasimamizi kadhaa wanaunganisha kutoka maeneo yanayobadilika, kwa sababu wasifu unaosimamiwa husambaza njia, ithibati na sera bila kila mtu kubuni mstari wa amri. Uichague wakati athari ya ukaguzi inapaswa kuonyesha nani aliunganisha na nini, kwa sababu kikao cha SSH kwa kila mtumiaji na uelekezaji wa ndani unaoshirikiwa huacha kumbukumbu tofauti sana.

Uichague, mwisho, wakati mtandao wa lengo haupaswi kufikiwa kabisa kutoka kwa laptop bila lango la shirika lenyewe. Uelekezaji wa kibinafsi hupita lango hilo kwa muundo, na ndio sababu unahesabiwa katika rekodi ya mabadiliko na sio historia ya shell.

Acha uelekezaji ushindwe kwa sauti kubwa

Tumia ExitOnForwardFailure=yes ili kufunga kusiye kufanikiwa kusimamishe kikao badala ya kuacha shell inayoonekana imeunganishwa na haielekezi chochote. Weka uthibitishaji wa ufunguo wa mwenyeji ukiwa washwa, na upendelee ufunguo au wakala kuliko neno la siri. Kisha jaribu URL kamili ambayo kionyeshi kitatumia, kwa sababu kikao cha SSH kinachofanya kazi na muunganisho wa skrini unaofanya kazi ni matokeo mawili tofauti.

Kwa mteja asilia kwenye macOS, kionyeshi hufikiwa kupitia URL ya ndani: open "vnc://127.0.0.1:15900". Ikiwa dirisha linafunguka na mwenyeji wa mbali anakataa uthibitishaji, handaki ni sawa na tatizo liko kwenye lengo. Ikiwa dirisha halifunguki kamwe, tatizo liko kwenye msikilizaji au bandari.

Simamisha kikao ukimaliza, na uandike bandari, bastion, lengo na sera ya akaunti. Uelekezaji ambao hakuna mtu aliyeuandika hauwezi kutofautishwa na mlango wa nyuma baada ya miezi sita, na hiyo ni hoja yenye nguvu zaidi ya kuuacha mdogo, wenye jina na wa muda.