Bitta Mac ekrani uchun mahalliy SSH yo‘naltirish yoki to‘liq VPN?

Siz o‘z mashinangizdan bitta Mac ekranini ko‘rishingiz kerak, Mac siz allaqachon SSH qila oladigan xost orqasida turadi, va savol shu — bu VPN ga arziydimi. Odatda yo‘q. Bitta mahalliy yo‘naltirish sizda bor SSH sessiyasi orqali bitta TCP portni olib o‘tadi, va bitta xostdagi bitta ekran uchun bu butun tarmoqni marshrutlashdan kichikroq va tekshirish osonroq tuzilma.

Buni uch shart hal qiladi, va ularning har biri sizni boshqariladigan VPN tomonga itarishi mumkin.

Buni uch shart hal qiladi

Birinchisi — qamrov: bitta xostda bitta xizmat yoki bir nechta xost va bir nechta port. Ikkinchisi — bastion va maqsad orasidagi har bir sakrash allaqachon ishonchlimi, chunki SSH faqat o‘zi tugatadigan segmentni himoya qiladi. Uchinchisi — uni qurgandan keyin bu tuzilmani kim qo‘llab-quvvatlashi kerak, chunki qo‘lda qurilgan tunnel uni tushungan odamdan uzoqroq yashaydi. Boshlashdan oldin o‘sha odamning ismini ayting va buyruqni u topa oladigan joyga yozing. Hujjatsiz yo‘naltirish — boshlanish sanasi kechiktirilgan kelajakdagi voqea.

Agar javoblar «bitta», «ha» va «men, hozircha» bo‘lsa, yo‘naltirish to‘g‘ri vosita. Agar biron javob o‘zgarsa, qo‘llab-quvvatlanadigan masofaviy kirish loyihasi bir yilda hujjatsiz tunneldan keyin keladigan voqeani ko‘rib chiqishdan arzonroq.

Bitta portni yo‘naltiring, tarmoqni emas

Mahalliy yo‘naltirish mashinangizda tinglovchi ochadi va har bir ulanishni SSH server orqali u yetib bora oladigan manzilga uzatadi. Ekran almashish xizmati TCP 5900 da tinglaydigan Mac va mac.corp.example ni hal qila oladigan bastion uchun buyruq qisqa va ataylab tor. Undagi har bir variant tuzilmani kichik saqlash uchun bor: shell yo‘q, barcha interfeyslarda tinglovchi yo‘q, daemon yo‘q. Uni retsept sifatida emas, qamrov bayoni sifatida o‘qing.

ssh -N -o ExitOnForwardFailure=yes -L 127.0.0.1:15900:mac.corp.example:5900 [email protected]

Tinglovchini 127.0.0.1 ga bog‘lash uni boshqa barcha interfeyslardan uzoqda tutadi. Bu rasmiyatchilik emas: barcha interfeyslarga bog‘langan yo‘naltirish noutbukingizni o‘sha kafedagi Wi-Fi dagi har kim uchun korporativ tarmoqqa ochiq releyda aylantiradi. Agar port allaqachon band bo‘lsa, boshqa yuqori port tanlang va ko‘ruvchini yangilang; misol mos kelishi uchun aloqasiz xizmatni to‘xtatmang.

Bastiondagi hisob ham o‘sha manzilga yo‘naltirish uchun ruxsatga muhtoj. Ba’zi qattiq SSH konfiguratsiyalari port yo‘naltirishni butunlay o‘chiradi, ba’zilari uni permit-listen yoki permit-open direktivasi bilan cheklaydi. Rad etilgan kanal parol xato bo‘lganini bildiradi deb o‘ylashdan oldin server siyosatini o‘qing.

SSH nimani shifrlaydi va qayerda to‘xtaydi

SSH sessiyasi Mac ingizdan bastiongacha bo‘lgan trafikni himoya qiladi, yo‘naltirish esa VNC protokolini tushunmasdan o‘sha sessiya ichida olib yuradi. Ulanish bastionni tark etib maqsad tomonga ketgach, u endi sizning SSH sessiyangiz ichida emas. O‘sha oxirgi sakrashda qanday himoya bo‘lsa, u maqsad protokoliga va xususiy tarmoqning o‘z nazoratlariga tegishli.

Shuning uchun oddiy oxirgi VNC sakrashini faqat birinchi sakrash SSH ishlatgani uchun uchtan-uchiga shifrlangan deb ta’riflash kerak emas. Segmentlarni halol ta’riflang: mijozdan bastiongacha kuchli, keyin maqsad qo‘llab-quvvatlaydigan narsa. Agar talab butun yo‘l bir mexanizm bilan shifrlanishi bo‘lsa, yo‘naltirish buni bajarmaydi.

Maqsaddagi autentifikatsiya yana alohida masala. SSH hisobi macOS ga kirish bermaydi, va ekran almashish xizmati hali ham o‘z ma’lumotlarini so‘raydi va hali ham o‘z kirish ro‘yxatini qo‘llaydi. Ulanishni qabul qiladigan mahalliy tinglovchi masofaviy xizmat sessiyani qabul qiladimi-yo‘qmi haqida hech narsani isbotlamaydi.

To‘liq VPN qachon to‘g‘ri tanlov bo‘ladi

Vazifa birdan ortiq port talab qilsa VPN tanlang: Apple Remote Desktop ning boshqaruv va hisobot funktsiyalari bitta TCP yo‘naltirish olib o‘ta olmaydigan qo‘shimcha TCP va UDP trafikdan foydalanadi. Yo‘naltirish butun mahsulotning qismiy tatbiqi emas; u boshqa, kichikroq vosita.

Bir necha administrator o‘zgaruvchan joylardan ulanganda uni tanlang, chunki boshqariladigan profil har kim buyruq satrini o‘ylab topmasdan marshrutlar, ma’lumotlar va siyosatni tarqatadi. Audit izi kim nimaga ulanganini ko‘rsatishi kerak bo‘lsa uni tanlang, chunki har bir foydalanuvchi uchun SSH sessiyasi va umumiy mahalliy yo‘naltirish juda boshqacha yozuvlar qoldiradi.

Nihoyat, maqsad tarmoqqa noutbukdan tashkilotning o‘z darvozasisiz umuman yetib bo‘lmasligi kerak bo‘lsa uni tanlang. Shaxsiy yo‘naltirish dizayni bo‘yicha o‘sha darvozani chetlab o‘tadi, va shuning uchun u shell tarixiga emas, o‘zgarish yozuviga tegishli.

Yo‘naltirish baland ovozda muvaffaqiyatsiz bo‘lsin

Muvaffaqiyatsiz bog‘lanish sessiyani to‘xtatishi uchun, ulangandek ko‘rinadigan va hech narsani yo‘naltirmaydigan shell qoldirmaslik uchun ExitOnForwardFailure=yes dan foydalaning. Xost kaliti tekshiruvini yoqilgan holda tuting va paroldan ko‘ra kalit yoki agentni afzal ko‘ring. Keyin ko‘ruvchi ishlatadigan aniq URL ni sinab ko‘ring, chunki ishlaydigan SSH sessiyasi va ishlaydigan ekran ulanishi ikki xil natija.

macOS dagi mahalliy mijoz uchun ko‘ruvchiga mahalliy URL orqali erishiladi: open "vnc://127.0.0.1:15900". Oyna ochilsa va masofaviy xost autentifikatsiyani rad etsa, tunnel joyida va muammo maqsadda. Oyna hech qachon ochilmasa, muammo tinglovchida yoki portda.

Ish tugagach sessiyani to‘xtating va port, bastion, maqsad va hisob siyosatini yozib qo‘ying. Hech kim hujjatlashtirmagan yo‘naltirishni olti oydan keyin orqa eshikdan ajratib bo‘lmaydi, va uni kichik, nomlangan va vaqtinchalik saqlashning eng kuchli dalili shu.