SSH / VNC 指南
2026年4月7日
2026 雲端 Mac SSH 連接埠轉送安全政策：LocalForward、RemoteForward 與 SOCKS
MacLogin 安全團隊
2026年4月7日
約 8 分鐘閱讀
SSH 連接埠轉送是租用 Apple Silicon 雲端 Mac 上資料庫儀表板、內部 API與OpenClaw 閘道工作流程背後的隱形管線；它也是共用主機上最快「意外打洞」的方式之一。本 2026 年政策範本為安全與平台負責人提供決策矩陣、具體的 sshd_config 控制項，以及便於工單追蹤的審批路徑，讓工程師維持交付速度又不繞過治理。
可與 堡壘主機與直連 SSH（跳轉設計）、透過 SSH 建立 OpenClaw 遠端閘道（應用程式 LocalForward 模式），以及 SSH 金鑰輪替（將轉送與具名身分綁定）對照閱讀。
誰需要書面轉送政策
- 安全工程師：需向稽核方解釋建置 Mac 上為何突然出現
5432等連接埠。 - 平台負責人：在香港、日本、韓國、新加坡或美國等地營運 MacLogin 節點，並混合承包商與正職員工存取。
- 自動化負責人：在
0.0.0.0上暴露原始監聽的前提下橋接 CI Webhook 或代理程式閘道。
轉送模式比較（2026）
| 模式 | 典型用途 | 風險概況 | 預設立場 |
|---|---|---|---|
| -L LocalForward | 從筆電存取雲端本機回環服務 | 中等——錯誤綁定可能暴露到區域網路 | 憑工單允許，目標為回環 |
| -R RemoteForward | 將筆電服務暴露到雲端側 | 高——意外入站 | 除非經簽核例外，否則拒絕 |
| -D 動態 SOCKS | 經 Mac 的通用出站代理 | 高——DLP 盲區 | 僅限時應急 |
設計原則：優先讓轉送在雲端 Mac 上終止於
127.0.0.1，若非 SSH 用戶端仍需存取，再透過邊緣 TLS 或 VPN 暴露——HTTPS 路徑可對照 Webhook TLS 反向代理 中的模式。真正重要的 sshd 參數
當 runbook 允許修改租用主機設定時，請將下列 OpenSSH 指令與上文矩陣對齊：
AllowTcpForwarding：應急帳號設為no；若僅允許 -L 類流，使用local。PermitOpen：白名單目的地（例如127.0.0.1:18765），避免從共用 Shell 直連開放網際網路目標。GatewayPorts：維持no，除非明確要發布轉送——在租用 Mac 上公網繫結極少合理。
注意：在關閉管理連線前，請用第二個連線驗證變更。搭配 保持連線與斷線疑難排解，避免將政策調整誤判為網路不穩。
五步審批 runbook
- 工單欄位：工程師識別、來源 IP 區段、目標主機:連接埠、模式（-L/-R/-D）、時間窗口、業務負責人。
- 風險勾選：資料分級（個資、密鑰、公開），以及轉送是否繞過現有零信任（ZTNA）。
- 同儕審查：RemoteForward 或 SOCKS 須第二名平台工程師確認。
- 實作：將已核准的轉送寫入
~/.ssh/config設定區塊，而非在聊天中臨時拼 CLI 參數。 - 自動到期：用行事曆提醒在窗口結束時移除
Match User區段或 ACL 項目。
常見問題
MacLogin 是否代我強制執行 sshd 政策？ 身分與隧道治理仍由您負責——連通性基線見 說明，sshd_config 變更請納入自有變更管理。
新節點應落在何處？ 在擴展依賴特定區域的轉送前，請先在 定價 頁面比較往返延遲。
