A área de trabalho de um Mac em uma aba do navegador, sem nenhuma porta de entrada aberta
O plano agente vende um Mac que você abre em uma aba do navegador. Sem cliente VNC, sem instalar Tailscale do seu lado, só uma URL e uma senha. As máquinas ficam na nossa instalação privada em Nova Jersey. Não aceitávamos abrir uma porta de entrada na rede de lá para nada. Esta é a arquitetura que concilia essas duas coisas.
A restrição
Redirecionar uma porta para um Mac significa expor esse Mac à internet inteira, e a porta 5900 é um alvo muito escaneado. Queríamos que o cliente chegasse à tela sem instalar nada, e queríamos zero portas de entrada na nossa rede. Essas duas coisas puxam para lados opostos, até você parar de pensar em conexões de entrada.
O modelo pull
Nada na nossa instalação aceita conexões vindas da internet. Em vez disso, as máquinas e o hub saem para fora. Um pequeno plano de controle voltado para a nuvem guarda uma fila, e o hub consulta essa fila. Quando um cliente pede para abrir o Mac, o pedido cai nessa fila. O hub pega o pedido na próxima consulta e monta o caminho. A direção da primeira conexão é sempre para fora.
As peças
Onde ficam as fronteiras de confiança
O trecho do navegador até o gateway é HTTPS pelo Funnel. O trecho do gateway até o Mac roda dentro da tailnet privada, na qual o cliente nunca entra. O cliente se autentica com uma senha de tela mostrada no portal, e o token limita o acesso a uma máquina por uma sessão. Em tudo isso, nosso firewall não tem nenhuma porta de entrada aberta.
O que usaríamos em seguida
O noVNC basta para login e uso leve. Copiar e colar é o ponto fraco. O Compartilhamento de Tela do macOS ignora a área de transferência do VNC, então o painel de área de transferência do noVNC nunca chega ao Mac. O texto passa por SSH, com pbcopy e pbpaste. A latência depende do nosso link de upload. Se um cliente precisasse de uma área de trabalho remota mais pesada, o caminho seria um intermediador de sessões em uma máquina pequena na mesma tailnet. Isso não mudaria a regra de nenhuma porta de entrada. Essa regra é a parte que vale manter. Todo o resto é um componente que dá para trocar.
Perguntas
- Como acessar um Mac sem abrir portas de entrada?
- Nada na nossa instalação escuta na internet pública. Um hub voltado para a nuvem busca trabalho e conecta para fora por uma malha privada, e um Tailscale Funnel termina o TLS. Nosso firewall mantém todas as portas de entrada fechadas.
- O tráfego VNC é criptografado?
- Sim. O navegador chega ao gateway por HTTPS, via um Tailscale Funnel com certificado de verdade, e o trecho do gateway até o Mac roda dentro da tailnet privada.
- Como o acesso fica limitado a uma sessão?
- Cada sessão gera um token aleatório com validade curta, que aponta para exatamente uma máquina. Quando ele expira, é removido, então um link antigo para de funcionar.
Faça suas próprias contas na calculadora ou alugue um runner.