2026 Политика SSH TCP forwarding для команд на облачном Mac: AllowTcpForwarding, PermitOpen и аудит
Перенаправление портов SSH удобно, но без политики превращается в неконтролируемый выход. Команды на облачных Mac с Apple Silicon для сборок iOS или OpenClaw часто используют LocalForward; без документированных правил скомпрометированный ноутбук может развиваться через арендованный хост.
См. также бастион и прямой SSH, туннель OpenClaw, ротация SSH-ключей. По умолчанию ограничивайте sshd, фиксируйте одобренные сценарии, меняйте конфигурацию по тикетам.
Кому нужна политика
- Платформенные команды, где подрядчики и сотрудники делят узел MacLogin.
- Безопасность и комплаенс, объясняющие вывод данных.
- Автоматизация с LocalForward для OpenClaw или CI.
Матрица решений
| Сценарий | Риск | Политика |
|---|---|---|
| Туннели не описаны | Скрытые пивоты | AllowTcpForwarding no no до тикета |
| OpenClaw / dev-шлюз | Избыточная экспозиция localhost | AllowTcpForwarding local + 127.0.0.1 — только 127.0.0.1 |
| Отладка БД / внутреннего API | Горизонтальное движение | PermitOpen PermitOpen и срок доступа |
GatewayPorts yes на общих арендованных хостах почти никогда не оправдан.Параметры sshd
- AllowTcpForwarding — по возможности
local. - PermitOpen — ограничение целей удалённых пробросов.
- Match — более строгие правила для учёток автоматизации.
sudo sshd -t. См. SSH keepalive и обрывы.Пять шагов внедрения
- Инвентаризация: проверить ~/.ssh/config на LocalForward.
- База: сохранить вывод
sshd -Tпод версионированием. - Пилот: строгий Match на staging-узле.
- Коммуникации: карту портов опубликовать вместе с первым доверенным SSH.
- Проверка: попробовать запрещённый forward и прочитать логи.
Аудит и инциденты
Ежемесячно выборочно log show и сверять с тикетами. Перед ротацией ключей сохранить артефакты — руководство по ключам.
FAQ
Краткие ответы в духе структурированного FAQ.
Везде отключать AllowTcpForwarding? Не всегда. Чистые сборки без туннелей — да; командам OpenClaw нужны ограниченные пробросы.
PermitOpen заменяет межсетевой экран? Нет. Только цели sshd; сегментация обязательна.
Кто одобряет исключения? Безопасность или платформа — тикет со сроком и привязкой к CMDB.