Захист спільного доступу до екрана Mac за допомогою SSH

Важливо: завершіть налаштування SSH перед внесенням цієї зміни
Ця конфігурація примусово змушує всі підключення Screen Sharing використовувати SSH, зокрема підключення з пристроїв у тій самій локальній мережі.

Після увімкнення macOS прийматиме лише прямі підключення Screen Sharing (VNC), що походять із самого Mac (localhost). Прямі VNC-підключення з інших пристроїв, незалежно від того, чи походять вони з Інтернету, VPN або вашої локальної мережі, перестануть працювати.

Перш ніж продовжити, переконайтеся, що Remote Login увімкнено на вашому Mac і що Screens налаштовано на використання Secure Connections, зокрема Enable on Local Connections, як описано нижче. Інакше Screens не зможе підключитися.

Починаючи з macOS 10.12 Sierra, macOS можна налаштувати так, щоб вбудована служба Screen Sharing приймала лише підключення, що походять із самого Mac (localhost). Це не дає іншим пристроям підключатися безпосередньо до служби Screen Sharing (VNC), включно з пристроями в тій самій локальній мережі.

Screens і надалі може підключатися, спочатку встановивши SSH-з’єднання з Mac, а потім передаючи через SSH підключення Screen Sharing. У результаті SSH стає обов’язковим для всіх підключень Screens до цього Mac, включно з локальними підключеннями.

Перед початком

Оскільки прямі підключення Screen Sharing більше не прийматимуться після внесення цієї зміни, Remote Login (SSH) має бути увімкнено на вашому Mac.

Відкрийте System Settings.
Перейдіть до General > Sharing.
Увімкніть Remote Login.
Переконайтеся, що вашому обліковому запису користувача Mac дозволено доступ.

Також вам потрібно буде налаштувати Screens і Screens Connect, якщо вони встановлені, на використання безпечних підключень, як описано нижче.

Налаштуйте Screens

Перш ніж обмежувати Screen Sharing лише локальними підключеннями, відредагуйте збережене підключення в Screens і відкрийте розділ Security.

Увімкніть Secure Connections і переконайтеся, що Enable on Local Connections також увімкнено.

Це важливо: після того як Screen Sharing буде обмежено локальними підключеннями, Screens має використовувати SSH навіть тоді, коли ваш пристрій перебуває в тій самій локальній мережі, що й ваш Mac.

Налаштуйте Screens Connect

Якщо ви використовуєте Screens Connect, відкрийте його налаштування, виберіть General і увімкніть Use Remote Login.

Це гарантує, що Screens Connect налаштовує віддалені підключення на використання SSH замість прямого підключення до служби Screen Sharing.

Обмежте Screen Sharing лише локальними підключеннями

Після того як налаштовано Remote Login і параметри SSH вище, відкрийте Terminal на Mac і введіть:

sudo defaults write /Library/Preferences/com.apple.RemoteManagement.plist VNCOnlyLocalConnections -bool yes

Уведіть пароль свого облікового запису Mac, коли з’явиться запит.

Параметр VNCOnlyLocalConnections вказує macOS Screen Sharing приймати прямі VNC-підключення лише від localhost.

Це означає:

Прямі VNC-підключення з Інтернету більше не працюватимуть.
Прямі VNC-підключення через VPN, такі як Tailscale або ZeroTier, більше не працюватимуть.
Прямі VNC-підключення з інших пристроїв у вашій локальній мережі більше не працюватимуть.
Screens має спочатку підключатися через SSH і передавати через нього VNC-з’єднання, незалежно від того, чи є підключення віддаленим чи локальним.

Скасування змін

Якщо ви хочете, щоб macOS Screen Sharing знову приймала мережеві підключення напряму, відкрийте Terminal і введіть:

sudo defaults write /Library/Preferences/com.apple.RemoteManagement.plist VNCOnlyLocalConnections -bool no

Зачекайте кілька секунд, щоб macOS застосувала зміну, перш ніж намагатися підключитися знову.

Після того як зміна набуде чинності, Screens знову зможе підключатися безпосередньо до служби Screen Sharing (VNC), зокрема через вашу локальну мережу або VPN, без потреби в SSH-тунелі.

Потім ви можете вимкнути параметри, пов’язані з SSH, у Screens і Screens Connect, якщо більше не хочете використовувати безпечні підключення.

Важливо: після того як Screen Sharing буде обмежено localhost, Screens має використовувати SSH для кожного підключення до цього Mac, навіть коли ваш пристрій перебуває в тій самій локальній мережі або Mac відображається в Nearby.

Без Enable on Local Connections локальні підключення намагатимуться підключитися безпосередньо до служби VNC і зазнають невдачі.