Protegiendo la compartición de pantalla de Mac detrás de SSH

Importante: Completa la configuración de SSH antes de hacer este cambio
Esta configuración obliga a que todas las conexiones de Screen Sharing usen SSH, incluidas las conexiones desde dispositivos en la misma red local.

Una vez habilitado, macOS solo aceptará conexiones directas de Screen Sharing (VNC) que se originen en la Mac misma (localhost). Por lo tanto, las conexiones VNC directas desde otros dispositivos dejarán de funcionar, ya sea que se originen en Internet, en una VPN o en tu red local.

Antes de continuar, asegúrate de que Remote Login esté habilitado en tu Mac y de que Screens esté configurado para usar Secure Connections, incluyendo Enable on Local Connections, como se describe a continuación. De lo contrario, Screens no podrá conectarse.

A partir de macOS 10.12 Sierra, macOS puede configurarse para que su servicio integrado de Screen Sharing solo acepte conexiones que se originen en la Mac misma (localhost). Esto impide que otros dispositivos se conecten directamente al servicio de Screen Sharing (VNC), incluidos los dispositivos en la misma red local.

Screens todavía puede conectarse estableciendo primero una conexión SSH con la Mac y luego canalizando la conexión de Screen Sharing a través de SSH. Como resultado, SSH pasa a ser obligatorio para todas las conexiones de Screens a esa Mac, incluidas las conexiones locales.

Antes de empezar

Como las conexiones directas de Screen Sharing ya no se aceptarán después de hacer este cambio, Remote Login (SSH) debe estar habilitado en tu Mac.

1. Abre System Settings.
2. Ve a General > Sharing.
3. Habilita Remote Login.
4. Asegúrate de que tu cuenta de usuario de Mac tenga अनुमति de acceso.

También tendrás que configurar Screens y Screens Connect, si está instalado, para usar conexiones seguras como se describe a continuación.

Configurar Screens

Antes de restringir Screen Sharing a conexiones locales, edita tu conexión guardada en Screens y abre la sección Security.

Habilita Secure Connections y asegúrate de que Enable on Local Connections también esté activado.

Esto es importante: una vez que Screen Sharing se restringe a conexiones locales, Screens debe usar SSH incluso cuando tu dispositivo esté en la misma red local que tu Mac.

Configurar Screens Connect

Si usas Screens Connect, abre su configuración, selecciona General y habilita Use Remote Login.

Esto garantiza que Screens Connect configure las conexiones remotas para usar SSH en lugar de conectarse directamente al servicio de Screen Sharing.

Restringir Screen Sharing a conexiones locales

Una vez que Remote Login y las opciones SSH anteriores estén configuradas, abre Terminal en la Mac e ingresa:

sudo defaults write /Library/Preferences/com.apple.RemoteManagement.plist VNCOnlyLocalConnections -bool yes

Ingresa la contraseña de tu cuenta de usuario de Mac cuando se te solicite.

La configuración VNCOnlyLocalConnections indica a macOS Screen Sharing que acepte conexiones VNC directas solo desde localhost.

Esto significa:

• Las conexiones VNC directas desde Internet ya no funcionarán.
• Las conexiones VNC directas a través de VPN como Tailscale o ZeroTier ya no funcionarán.
• Las conexiones VNC directas desde otros dispositivos en tu red local ya no funcionarán.
• Screens deberá conectarse primero por SSH y canalizar la conexión VNC a través de él, sin importar si la conexión es remota o local.

Revertir el cambio

Si quieres que macOS Screen Sharing acepte nuevamente conexiones de red directamente, abre Terminal e ingresa:

sudo defaults write /Library/Preferences/com.apple.RemoteManagement.plist VNCOnlyLocalConnections -bool no

Espera unos segundos para que macOS aplique el cambio antes de intentar conectarte de nuevo.

Una vez que el cambio surta efecto, Screens puede conectarse directamente al servicio de Screen Sharing (VNC) otra vez, incluso a través de tu red local o una VPN, sin requerir un túnel SSH.

Luego puedes desactivar la configuración específica de SSH en Screens y Screens Connect si ya no quieres usar conexiones seguras.

Importante: una vez que Screen Sharing se restringe a localhost, Screens debe usar SSH para cada conexión a esta Mac, incluso cuando tu dispositivo esté en la misma red local o la Mac aparezca en Nearby.

Sin Enable on Local Connections, las conexiones locales intentarán conectarse directamente al servicio VNC y fallarán.