SSH / VNC 7 апреля 2026

2026 Политика SSH TCP forwarding для команд на облачном Mac: AllowTcpForwarding, PermitOpen и аудит

MacLogin Команда безопасности 7 апреля 2026 ~9 мин

Перенаправление портов SSH удобно, но без политики превращается в неконтролируемый выход. Команды на облачных Mac с Apple Silicon для сборок iOS или OpenClaw часто используют LocalForward; без документированных правил скомпрометированный ноутбук может развиваться через арендованный хост.

См. также бастион и прямой SSH, туннель OpenClaw, ротация SSH-ключей. По умолчанию ограничивайте sshd, фиксируйте одобренные сценарии, меняйте конфигурацию по тикетам.

Кому нужна политика

  • Платформенные команды, где подрядчики и сотрудники делят узел MacLogin.
  • Безопасность и комплаенс, объясняющие вывод данных.
  • Автоматизация с LocalForward для OpenClaw или CI.

Матрица решений

СценарийРискПолитика
Туннели не описаныСкрытые пивотыAllowTcpForwarding no no до тикета
OpenClaw / dev-шлюзИзбыточная экспозиция localhostAllowTcpForwarding local + 127.0.0.1 — только 127.0.0.1
Отладка БД / внутреннего APIГоризонтальное движениеPermitOpen PermitOpen и срок доступа
Внимание: GatewayPorts yes на общих арендованных хостах почти никогда не оправдан.

Параметры sshd

  • AllowTcpForwarding — по возможности local.
  • PermitOpen — ограничение целей удалённых пробросов.
  • Match — более строгие правила для учёток автоматизации.
Совет: После правок выполните sudo sshd -t. См. SSH keepalive и обрывы.

Пять шагов внедрения

  1. Инвентаризация: проверить ~/.ssh/config на LocalForward.
  2. База: сохранить вывод sshd -T под версионированием.
  3. Пилот: строгий Match на staging-узле.
  4. Коммуникации: карту портов опубликовать вместе с первым доверенным SSH.
  5. Проверка: попробовать запрещённый forward и прочитать логи.

Аудит и инциденты

Ежемесячно выборочно log show и сверять с тикетами. Перед ротацией ключей сохранить артефакты — руководство по ключам.

FAQ

Краткие ответы в духе структурированного FAQ.

Везде отключать AllowTcpForwarding? Не всегда. Чистые сборки без туннелей — да; командам OpenClaw нужны ограниченные пробросы.

PermitOpen заменяет межсетевой экран? Нет. Только цели sshd; сегментация обязательна.

Кто одобряет исключения? Безопасность или платформа — тикет со сроком и привязкой к CMDB.

Масштаб без ослабления SSH

Добавляйте Apple Silicon по регионам и храните политику forwarding рядом с репозиторием SSH.