Mac-Bildschirmfreigabe hinter SSH schützen

Wichtig: Schließen Sie die SSH-Einrichtung ab, bevor Sie diese Änderung vornehmen
Diese Konfiguration erzwingt, dass alle Screen Sharing-Verbindungen SSH verwenden, einschließlich Verbindungen von Geräten im selben lokalen Netzwerk.

Sobald sie aktiviert ist, akzeptiert macOS nur noch direkte Screen Sharing-Verbindungen (VNC), die vom Mac selbst (localhost) ausgehen. Direkte VNC-Verbindungen von anderen Geräten funktionieren dann nicht mehr, unabhängig davon, ob sie aus dem Internet, über ein VPN oder aus Ihrem lokalen Netzwerk stammen.

Bevor Sie fortfahren, stellen Sie sicher, dass Remote Login auf Ihrem Mac aktiviert ist und dass Screens so konfiguriert ist, dass Secure Connections verwendet werden, einschließlich Enable on Local Connections, wie unten beschrieben. Andernfalls kann Screens keine Verbindung herstellen.

Ab macOS 10.12 Sierra kann macOS so konfiguriert werden, dass sein integrierter Screen Sharing-Dienst nur Verbindungen akzeptiert, die vom Mac selbst (localhost) ausgehen. Dadurch können andere Geräte nicht mehr direkt mit dem Screen Sharing-(VNC)-Dienst verbunden werden, einschließlich Geräten im selben lokalen Netzwerk.

Screens kann weiterhin eine Verbindung herstellen, indem zuerst eine SSH-Verbindung zum Mac aufgebaut und die Screen Sharing-Verbindung dann durch SSH getunnelt wird. Dadurch wird SSH für alle Screens-Verbindungen zu diesem Mac erforderlich, einschließlich lokaler Verbindungen.

Vor Beginn

Da direkte Screen Sharing-Verbindungen nach dieser Änderung nicht mehr akzeptiert werden, muss Remote Login (SSH) auf Ihrem Mac aktiviert sein.

1. Öffnen Sie Systemeinstellungen.
2. Gehen Sie zu Allgemein > Freigabe.
3. Aktivieren Sie Remote Login.
4. Stellen Sie sicher, dass Ihrem Mac-Benutzerkonto der Zugriff erlaubt ist.

Sie müssen außerdem Screens und Screens Connect, falls installiert, so konfigurieren, dass sichere Verbindungen verwendet werden, wie unten beschrieben.

Screens konfigurieren

Bevor Sie Screen Sharing auf lokale Verbindungen beschränken, bearbeiten Sie Ihre gespeicherte Verbindung in Screens und öffnen Sie den Bereich Security.

Aktivieren Sie Secure Connections und stellen Sie sicher, dass auch Enable on Local Connections aktiviert ist.

Das ist wichtig: Sobald Screen Sharing auf lokale Verbindungen beschränkt ist, muss Screens SSH verwenden, auch wenn sich Ihr Gerät im selben lokalen Netzwerk wie Ihr Mac befindet.

Screens Connect konfigurieren

Wenn Sie Screens Connect verwenden, öffnen Sie dessen Einstellungen, wählen Sie General und aktivieren Sie Use Remote Login.

Dadurch wird sichergestellt, dass Screens Connect Remote-Verbindungen so konfiguriert, dass sie SSH verwenden, anstatt direkt mit dem Screen Sharing-Dienst zu verbinden.

Screen Sharing auf lokale Verbindungen beschränken

Sobald Remote Login und die oben genannten SSH-Optionen konfiguriert sind, öffnen Sie Terminal auf dem Mac und geben Sie Folgendes ein:

sudo defaults write /Library/Preferences/com.apple.RemoteManagement.plist VNCOnlyLocalConnections -bool yes

Geben Sie Ihr Mac-Benutzerkontopasswort ein, wenn Sie dazu aufgefordert werden.

Die Einstellung VNCOnlyLocalConnections weist macOS Screen Sharing an, direkte VNC-Verbindungen nur von localhost zu akzeptieren.

Das bedeutet:

• Direkte VNC-Verbindungen aus dem Internet funktionieren nicht mehr.
• Direkte VNC-Verbindungen über VPNs wie Tailscale oder ZeroTier funktionieren nicht mehr.
• Direkte VNC-Verbindungen von anderen Geräten in Ihrem lokalen Netzwerk funktionieren nicht mehr.
• Screens muss zuerst über SSH verbinden und die VNC-Verbindung dann darüber tunneln, unabhängig davon, ob die Verbindung entfernt oder lokal ist.

Die Änderung rückgängig machen

Wenn macOS Screen Sharing wieder direkte Netzwerkverbindungen akzeptieren soll, öffnen Sie Terminal und geben Sie Folgendes ein:

sudo defaults write /Library/Preferences/com.apple.RemoteManagement.plist VNCOnlyLocalConnections -bool no

Warten Sie einige Sekunden, bis macOS die Änderung übernommen hat, bevor Sie erneut versuchen, eine Verbindung herzustellen.

Sobald die Änderung wirksam wird, kann Screens wieder direkt mit dem Screen Sharing-(VNC)-Dienst verbinden, auch über Ihr lokales Netzwerk oder ein VPN, ohne dass ein SSH-Tunnel erforderlich ist.

Sie können dann die SSH-spezifischen Einstellungen in Screens und Screens Connect deaktivieren, wenn Sie keine sicheren Verbindungen mehr verwenden möchten.

Wichtig: Sobald Screen Sharing auf localhost beschränkt ist, muss Screens für jede Verbindung zu diesem Mac SSH verwenden, auch wenn sich Ihr Gerät im selben lokalen Netzwerk befindet oder der Mac in Nearby angezeigt wird.

Ohne Enable on Local Connections versuchen lokale Verbindungen, direkt mit dem VNC-Dienst zu verbinden, und schlagen fehl.