VNC unter Mac os (Mac von überall verwalten)

[Janniator]

Hallo,

durch die neue Mausunterstützung von iPadOS möchte ich mein iPad-Only Workflow nun durch einen VNC Client erweitern.
Ziel ist es später einen Mac mini nur durch den Zugriff des iPads und einer VNC App (hier Jump Desktop) zu steuern und zu verwalten (Virtual Desktop). Das natürlich auch außerhalb des Heimnetzwerkes. Der Mac ist dementsprechend 24/7 an und am Heimnetzwerk (Wake on Lan).
Da ich leider wirklich blutiger Anfänger bin, habe ich Angst Sicherheitslücken nicht zu erkennen und ggf. nicht die beste Performance des Systems herauszuholen.

Bisher habe ich zum Testen die Bildschirmfreigabe unter Mac Os aktiviert und durch ein zusätzliches PW geschützt.
1. Da habe ich auch das erste Problem: Was ist jetzt genau der Unterschied zwischen der Freigabe des Bildschirms und der Verwaltung...abgesehen von Apple Remote Desktop? Welche Sicherheiten baut Apple standardmäßig ein?

2. Brauche ich zusätzlich ein SSH Tunnel und ein VPN Netzwerk?

3. Wie richte ich am besten ein performanten VPN ein? Ich habe hier eine 100mbit Leitung Telekom an einem Speedport Smart.

4. Was sind eigentlich die typischen Bottlenecks eines solchen Systems?

5. Ergibt es wirklich soviel Sinn eine VM auf dem Mac nur für den VNC laufen zu lassen, wenn sonst nicht an der Maschine gearbeitet wird?

Ich weiß es gibt etliche Anleitungen im Internet, aber richtig gute sind schon mindestens 2 Jahre alt und nicht spezifisch. Ich sehe den Wald vor lauter Bäumen nicht...meine Fragen sind wahrscheinlich dementsprechend wirr.
Getestet wird aktuell mit einem Macbook Air 2018 mit aktuellem OS.

 

[-Overlord-]

1. Da habe ich auch das erste Problem: Was ist jetzt genau der Unterschied zwischen der Freigabe des Bildschirms und der Verwaltung...abgesehen von Apple Remote Desktop? Welche Sicherheiten baut Apple standardmäßig ein?

Sicher bin ich mir hier nicht, da ich damit nicht arbeite. Oftmals hast du natürlich die Möglichkeit nur das Bild zu streamen (Freigabe) und selbst die Kontrolle zu übernehmen (Verwaltung). Kann aber auch sein, dass Apple hier etwas anderes meint.

2. Brauche ich zusätzlich ein SSH Tunnel und ein VPN Netzwerk?
Zwingend nicht, ratsam wäre es aber. Klar kann man so eine Software auch ohne Tunnel nutze, aber mit einem VPN Tunnel schaltest du noch mal eine Sicherheits-Ebene davor. So eine Software wie z. B. VNC ist gerne mal anfällig für Sicherheitslücken. Einen VPN Tunnel mit z. B. OpenVPN kann man aber ganz einfach realisieren (Tipp: pivpn)

3. Wie richte ich am besten ein performanten VPN ein? Ich habe hier eine 100mbit Leitung Telekom an einem Speedport Smart.

Performant wäre IpSec - ich empfehle dir aber OpenVPN, das genügt auch locker. Ich selbst hänge gerade an unserem OpenVPN Server mit 40 anderen unsern und hab keinerlei Performance Einbußen. Ist für mich so als wenn ich im Office wäre. https://www.pivpn.io oder https://github.com/angristan/openvpn-install ist hier auch ein guter Tipp - das kannst auch einfach auf einer Linux Kiste betreiben und es muss kein Pi sein. Bietet sich allerdings an, wenn man keine Linux Kiste / VM Server etc. zu hause hat.

Wireguard wäre auch noch eine performante Lösung, allerdings befindet sich diese noch in der Entwicklungsphase und ist für einen Anfänger daher ungeeignet.

4. Was sind eigentlich die typischen Bottlenecks eines solchen Systems?

In der Regel der Upload des eigenen Interents oder die CPU der eingesetzten Hardware auf dem VPN Server. Je nach Verschlüsselung des Tunnels kann die CPU schnell als Limit gebracht werden.

5. Ergibt es wirklich soviel Sinn eine VM auf dem Mac nur für den VNC laufen zu lassen, wenn sonst nicht an der Maschine gearbeitet wird?

Was genau meinst du hiermit?

 

[Janniator]

Vielen Dank für die informative Hilfe!
1. Bei beiden Menüpunkten kann ich den Mac durch das iPad steuern. Deswegen wundert es mich ein wenig...

zu 2. 3.: Ich habe tatsächlich einen Pi rumliegen. Ich verstehe jetzt noch nicht so ganz den Aufbau, also den Pi hänge ich an den Router, und der Pi regelt den vpn client? Und somit muss am Mac nichts weiter konfigurieren? Von unterwegs dann einfach ins VPN des Pis hängen und den Mac mit der VNC App ansteuern?

Zu 5.: Ich habe gelesen, dass es sinnvoll sein kann auf dem Mac eine Virtualmachine laufen zu lassen, die dann mit dem iPad angesteuert wird. Bspw. Parallels-Desktop mit Windows und diese VM als VNC nutzen. (Aber lassen wir das Thema erst einmal beiseite)

 

[Raijin]

Von unterwegs dann einfach ins VPN des Pis hängen und den Mac mit der VNC App ansteuern?

So ungefähr. Google einfach mal nach "pi vpn server" und du findest etliche Anleitungen zu dem Thema.

Ohne VPN rate ich dringend von sowas ab.

 

[-Overlord-]

1. Bei beiden Menüpunkten kann ich den Mac durch das iPad steuern. Deswegen wundert es mich ein wenig...

Ok - wie gesagt, kann auch anders sein. Ich nutze das nicht und müsste mir das erst mal angucken.

zu 2. 3.: Ich habe tatsächlich einen Pi rumliegen. Ich verstehe jetzt noch nicht so ganz den Aufbau, also den Pi hänge ich an den Router, und der Pi regelt den vpn client? Und somit muss am Mac nichts weiter konfigurieren? Von unterwegs dann einfach ins VPN des Pis hängen und den Mac mit der VNC App ansteuern?

Der Pi kommt an den Router oder einen Switch im Netzwerk und braucht natürlich auch Internet Zugriff. Auf den Pi kommt dann die VPN Software, welche du einrichtest und einen Client anlegst. Der Router selbst braucht dann eine Freigabe für den Port des VPN Servers (1194 ist der Std. Port von OpenVPN - ist aber frei wählbar).

Dann wählst du via Internet von extern den VPN an - der Port Forward über deinen Router leitet dich dann an den VPN Server auf dem Pi weiter und der handelt die Verbindung aus. Sobald die Verbindung steht, kannst du dich mittels Routing vom VPN Netzwerk in das normale Netzwerk verbinden und folglich auch eine Verbindung zu deinem Mac aufbauen.

Guck dir hierzu am besten einfach bei Youtube mal aktuelle Videos an, wie man einen VPN aufsetzt - am besten anhand der beiden Links, welche ich oben geguckt hab. Ansonsten erklären die Links selbst die Anleitung aber schon ganz gut.

Bei VPN hast du in dem Fall zwei Verbindungsmöglichkeiten. Einmal, dass du nur auf die Geräte zugreifen kannst, welche sich in deinem Netzwerk befinden und dann noch die Möglichkeit, zusätzlich all deinen Traffic über dein Netzwerk zuhause zu versenden. Bei letzterem kommen natürlich mehr Daten zusammen, aber du bist soweit geschützt in fremden Netzwerken.

Zu 5.: Ich habe gelesen, dass es sinnvoll sein kann auf dem Mac eine Virtualmachine laufen zu lassen, die dann mit dem iPad angesteuert wird. Bspw. Parallels-Desktop mit Windows und diese VM als VNC nutzen. (Aber lassen wir das Thema erst einmal beiseite)

Je nach Anwendungsgebiet - willst du den Mac steuern, solltest du natürlich Zugriff auf den Mac herstellen. Wenn du das mit einer virtuellen Maschine machst, hast du natürlich nur Zugriff in die die virtuelle Maschine. Die ist quasi ein eigenständiger Computer - Programme auf dem Mac kannst du damit dann in der Regel nicht erreichen.

 

[Janniator]

Super danke! Dann habe ich jetzt auf jeden Fall einen roten Faden drin und mache mich mal an den vpnpi!

 

[Raijin]

Je nachdem welchen PI du hast, kann es sein, dass OpenVPN nicht sonderlich schnell ist. PI 1/2 liegen so bei 5-15 Mbit/s. Der 3er schafft so 20-30 Mbit/s, wenn ich mich nicht irre. Der 4er ist noch nen Tick schneller, hat ja auch deutlich mehr Dampf. Für VNC reichen jedoch selbst 5 Mbit/s aus.

Da du den PI ja eh rumliegen hast, kostet dich der Versuch vielleicht 2 Stunden Zeit und dann siehst du ob das für dich ausreicht oder nicht. Sollte es nicht reichen, weil du neben VNC auch gerne Daten via VPN von/zum Mac bzw. einem potentiell vorhandenen NAS kopieren willst, muss man sich natürlich schon Gedanken machen auf welcher Hardware man den VPN-Server dann aufsetzt. Da böte sich dann evtl das NAS selbst an (wenn du eines hast und es eine adäquate CPU hat) oder gar der Mac. Zumindest gehe ich mal davon aus, dass OpenVPN auch auf einem Mac läuft.

 

[Janniator]

Ich habe mich spontan für Wireguard entschieden, vpn läuft auch soweit so gut, jedoch kriege ich via desktopjumper keine Verbindung zu meinem Mac über den vpn. Woran kann das liegen? Muss ich eine Portfreigabe für den Pi und dem Mac im Router freischalten? Oder nur der Pi? Ich weiß ihr habt von wireguard abgeraten, aber es liest sich genial vom Aufbau und die VPN Verbindung ist echt super fix.

Edit: VPN Tunnel steht und Zugriff von „draußen“ funktioniert auch. Muss ich jetzt noch ein SSH Tunnel am Mac konfigurieren oder gewährt der vpn mir genügend Sicherheit für mich als privat Anwender?