Tek Mac ekranı için yerel SSH yönlendirmesi mi tam VPN mi?

Bir Mac'in ekranını kendi makinenizden görmeniz gerekiyor, Mac zaten SSH yapabildiğiniz bir ana bilgisayarın arkasında ve soru bunun bir VPN'i hak edip etmediği. Genellikle etmez. Tek bir yerel yönlendirme, hâlihazırda sahip olduğunuz SSH oturumu üzerinden bir TCP bağlantı noktası taşır ve tek ana bilgisayardaki tek ekran için bu, tüm ağı yönlendirmekten daha küçük ve daha denetlenebilir bir düzenlemedir.

Bunu üç koşul belirler ve bunlardan herhangi biri sizi yönetilen VPN'e itebilir.

Bunu üç koşul belirler

Birincisi kapsam: tek ana bilgisayarda tek hizmet mi, yoksa birkaç ana bilgisayar ve birkaç bağlantı noktası mı. İkincisi, bastion ile hedef arasındaki her sıçramanın zaten güvenilir olup olmadığı, çünkü SSH yalnızca sonlandırdığı kesimi korur. Üçüncüsü, siz onu kurduktan sonra bu düzenlemeye kimin destek vereceği, çünkü elle yapılmış bir tünel genellikle onu anlayan kişiden daha uzun yaşar. Başlamadan önce o kişinin adını söyleyin ve komutu bulabileceği bir yere yazın. Belgelenmemiş bir yönlendirme, başlangıç tarihi ertelenmiş gelecekteki bir olaydır.

Yanıtlar «bir», «evet» ve «ben, şimdilik» ise yönlendirme doğru araçtır. Herhangi bir yanıt değişirse, desteklenen bir uzaktan erişim tasarımı bir yıl içinde belgelenmemiş bir tüneli izleyen olay incelemesinden daha ucuza gelir.

Bir bağlantı noktasını yönlendirin, ağı değil

Yerel yönlendirme makinenizde bir dinleyici açar ve her bağlantıyı SSH sunucusu üzerinden o sunucunun ulaşabildiği bir hedefe iletir. Ekran paylaşımı hizmeti TCP 5900'de dinleyen bir Mac ve mac.corp.example adresini çözebilen bir bastion için komut kısa ve bilinçli olarak dardır. İçindeki her seçenek düzenlemeyi küçük tutmak için vardır: kabuk yok, tüm arabirimlerde dinleyici yok, daemon yok. Onu bir tarif değil, kapsam beyanı olarak okuyun.

ssh -N -o ExitOnForwardFailure=yes -L 127.0.0.1:15900:mac.corp.example:5900 [email protected]

Dinleyiciyi 127.0.0.1 adresine bağlamak onu diğer tüm arabirimlerden uzak tutar. Bu bir formalite değil: tüm arabirimlere bağlı bir yönlendirme, dizüstü bilgisayarınızı aynı kafedeki Wi-Fi'deki herkes için kurumsal ağa açık bir aktarıcıya dönüştürür. Bağlantı noktası zaten kullanılıyorsa başka bir yüksek bağlantı noktası seçin ve görüntüleyiciyi güncelleyin; örnek uysun diye ilgisiz bir hizmeti durdurmayın.

Bastion'daki hesabın da o hedefe yönlendirme iznine ihtiyacı var. Bazı sertleştirilmiş SSH yapılandırmaları bağlantı noktası yönlendirmesini tamamen kapatır, bazıları ise permit-listen veya permit-open yönergesiyle kısıtlar. Reddedilen bir kanalın yanlış parola anlamına geldiğini varsaymadan önce sunucu ilkesini okuyun.

SSH neyi şifreler ve nerede durur

SSH oturumu trafiği Mac'inizden bastion'a kadar korur ve yönlendirme VNC protokolünü anlamadan o oturumun içinde taşır. Bağlantı bastion'dan hedefe doğru ayrıldığında artık SSH oturumunuzun içinde değildir. O son sıçramada hangi koruma varsa hedef protokolüne ve özel ağın kendi denetimlerine aittir.

Bu yüzden basit bir son VNC sıçraması, yalnızca ilk sıçrama SSH kullandı diye uçtan uca şifreli olarak tanımlanmamalıdır. Kesimleri dürüstçe tanımlayın: istemciden bastion'a kadar güçlü, sonrasında hedefin desteklediği kadar. Gereksinim tüm yolun tek bir mekanizmayla şifrelenmesi ise yönlendirme bunu karşılamaz.

Hedefteki kimlik doğrulama yine ayrı bir konudur. SSH hesabı macOS oturumu sağlamaz ve ekran paylaşımı hizmeti hâlâ kendi kimlik bilgilerini ister ve hâlâ kendi erişim listesini uygular. Bir bağlantıyı kabul eden yerel dinleyici, uzak hizmetin oturumu kabul edip etmeyeceği konusunda hiçbir şey kanıtlamaz.

Tam VPN ne zaman doğru seçimdir

Görev birden fazla bağlantı noktası gerektirdiğinde VPN'i seçin: Apple Remote Desktop'ın yönetim ve raporlama işlevleri, tek bir TCP yönlendirmesinin taşıyamayacağı ek TCP ve UDP trafiği kullanır. Yönlendirme, ürünün tamamının kısmi uygulaması değildir; farklı, daha küçük bir araçtır.

Birden fazla yönetici değişen konumlardan bağlandığında onu seçin, çünkü yönetilen profil herkesin komut satırı icat etmesine gerek kalmadan rotaları, kimlik bilgilerini ve politikayı dağıtır. Denetim izi kimin neye bağlandığını göstermek zorunda olduğunda onu seçin, çünkü kullanıcı başına SSH oturumu ve paylaşılan yerel yönlendirme çok farklı kayıtlar bırakır.

Son olarak, hedef ağa dizüstü bilgisayardan kuruluşun kendi kapısı olmadan hiç erişilememesi gerekiyorsa onu seçin. Kişisel yönlendirme o kapıyı tasarımı gereği atlar ve tam da bu yüzden kabuk geçmişine değil, değişiklik kaydına aittir.

Yönlendirmenin yüksek sesle başarısız olmasını sağlayın

Başarısız bir bağlama oturumu durdursun diye, bağlı görünen ama hiçbir şey yönlendirmeyen bir kabuk bırakmak yerine ExitOnForwardFailure=yes kullanın. Ana bilgisayar anahtarı doğrulamasını açık tutun ve parola yerine bir anahtar veya aracı tercih edin. Ardından görüntüleyicinin kullanacağı tam URL'yi test edin, çünkü çalışan bir SSH oturumu ile çalışan bir ekran bağlantısı iki farklı sonuçtur.

macOS'taki yerel istemci için görüntüleyiciye yerel bir URL üzerinden ulaşılır: open "vnc://127.0.0.1:15900". Pencere açılır ve uzak ana bilgisayar kimlik doğrulamayı reddederse tünel iyidir ve sorun hedeftedir. Pencere hiç açılmazsa sorun dinleyicide veya bağlantı noktasındadır.

İşiniz bitince oturumu durdurun ve bağlantı noktasını, bastion'ı, hedefi ve hesap ilkesini yazın. Kimsenin belgelemediği bir yönlendirme altı ay sonra arka kapıdan ayırt edilemez ve onu küçük, adlandırılmış ve geçici tutmanın en güçlü gerekçesi budur.