SSH / VNC 7 avril 2026

2026 Politique SSH TCP forwarding pour equipes Mac cloud : AllowTcpForwarding, PermitOpen et audit

MacLogin Équipe Sécurité 7 avril 2026 ~9 min

Le forwarding SSH est pratique jusqu'a devenir une sortie non controlee. Les equipes sur Mac cloud Apple Silicon pour builds iOS ou OpenClaw utilisent souvent LocalForward ; sans politique ecrite, un poste compromis peut pivoter via l'hote loue.

Lire aussi bastion vs SSH direct, tunnel passerelle OpenClaw, cles SSH. Par defaut restreindre sshd, documenter les cas approuves, tracer chaque changement par ticket.

Qui en a besoin

  • Plateforme partageant un noeud MacLogin entre prestataires et salaries.
  • Securite / conformite devant expliquer les sorties de donnees.
  • Automatisation utilisant LocalForward pour OpenClaw ou CI.

Matrice de decision

ProfilRisquePolitique
Tunnels non documentesPivots fantomesAllowTcpForwarding no no jusqu'a ticket
OpenClaw / passerelle devExposition localhost trop largeAllowTcpForwarding local + 127.0.0.1 — ecoute sur 127.0.0.1 seulement
Debug DB / API interneMouvement lateralPermitOpen PermitOpen + fenetre temporelle
Attention : GatewayPorts yes sur hotes loues partages est rarement justifie.

Reglages sshd utiles

  • AllowTcpForwarding — preferer local si supporte.
  • PermitOpen — limite les destinations des forwards distants.
  • Match — regles plus strictes pour comptes d'automatisation.
Astuce : Valider avec sudo sshd -t. Voir keepalive SSH Mac cloud.

Deploiement en 5 etapes

  1. Inventaire : parcourir ~/.ssh/config pour LocalForward.
  2. Base : archiver sshd -T versionne.
  3. Pilote : Match restrictif sur un noeud de staging.
  4. Com : publier la carte des ports avec onboarding confiance SSH.
  5. Test : tenter un forward refuse et lire les logs.

Audit et incident

Echantillonner log show mensuellement. Conserver les preuves avant rotation des cles — guide cles SSH.

FAQ

Reponses courtes alignees sur le schema FAQ.

Couper AllowTcpForwarding partout ? Pas toujours. Builds sans tunnels oui ; equipes OpenClaw ont besoin d'un forward limite.

PermitOpen remplace un pare-feu ? Non. Il filtre ce que sshd accepte ; segmentation et supervision restent necessaires.

Qui approuve les exceptions ? Securite ou plateforme via ticket avec echeance et lien CMDB.

Scaler sans relacher SSH

Ajoutez des Mac Apple Silicon par region et versionnez la politique de forwarding.