Náhrada MS Always On VPN Wireguardem (diskuse)

[🇹🇬]

sem toteďka myslela že *.ps1 sou zdrojáky v pascalu :D

[Jana J.]

Případné stížnosti, prosím, směrovat do Redmondu...

[Luděk Postrašil (SEO UX Experts s.r.o.)]

PS/1 je architektura počítačů od IBM. Pak byla ještě PS/2 - z ní se dodnes používá např. stejnojmenný konektor pro připojení klávesnic a myší. Také dělali skvělý operační systém OS/2 - ten se dodnes používá v některých bankomatech, ale i jinde. Naši zákazníci na něj nedají dopustit.

[SPT Telecon]

Dekuji mnohokrat za poskytnute informace. Velmi uzitecne!

[Aleš Kapica]

A tučňáček nebude?

[Max]

Přidán.
Zdar Max

[Jana J.]

A přitom to není o Linuxu.

Díky...

[Aleš Kapica]

Šťastné a veselé! 8-D

[Jana J.]

Nápodobně...

[Max]

Tučňák není za Linux, ale za kvalitní článek, já kdysi dostal tučňáka za článek o Win. Značí to technickou úroveň/kvalitu článku, nikoli zaměření. A to je myslím dobře.
Zdar Max

[Luděk Postrašil (SEO UX Experts s.r.o.)]

Pominu teď, že provozovat Windows je zvrácenost.

Bude to fungovat i na starších verzích? Ono, když má někdo tento legacy systém, tak právě obvykle nepoužívá nejnovější verzi 10. Dobré VPN řešení by mělo fungovat minimálně na Windows XP, ty jsou stále běžně v provozu. Znám i nadšence, kteří dodnes používají Windows 98 a přímo si v tom libují. Mají to vytuněné i po vizuální stránce (desktopové styly Akt X nebo Matrixu atd. včetně nastylovaného WinAmpu). Ale to je spíš v domácnostech - firem a organizací se týkají víc ty XPčka.

[Jana J.]

Netuším. Můžete to vyzkoušet a poreferovat.

[Max]

Ve firemním prostředí se WinXP sice stále používají, ale né pro klienty, ale pro různé kiosky a další průmyslové zařízení.
Pro klientská zařízení nemá smysl cokoli podporovat pro Windows Vista a starší.
Pokud to budu vztahovat na to, co znám a co spravuji, tak je i tlak se těch WinXP zbavit. A tam jsou dvě možnosti, buď migrace na Linux, nebo výměna hw.
Visty se ani nezačaly používat, toho se hned každý zbavil. Kdo měl Win8, ten přešel na Win10 a zbyla jen hrstka lidí, co tento OS bez podpory, používá.
V dnešní době se tedy bavíme o Windows 7 a Windows 10. Kdo měl Win7 ve firmě, tak pokud mohl, přešel na Win10. Pak tu jsou opět průmyslová zařízení, kde je pak podobná cesta jako u těch s WinXP, tj. přechod na Linux, nebo výměna hw.
S Win7 na desktopu je to pak paralela jako u lidí s WinXP. Prostě nechtějí přejít na supportovaný OS z nějakých vlastních důvodů, tj. většinou nejsou schopni se přizpůsobit změnám, nebo ani nechtějí a raději sestrvají na OS, který nemá bezpečnostní update. Jejich nejčastější argument je, že oni vir nikdy nechytli. A to, že někteří přeinstalovávají PC každý rok je pak jen náhoda :). Stejně tak je nezajímá, že kdokoli bude chtít (cílit na ně), tak se do PC dostane hnedle jedle.
Zdar Max

[Jana J.]

Já si teda taky myslím, že lézt na Internet z (v případě XP léta) nepodporovaného systému je docela kaskadéřina. Když už není jiná možnost, tak provozovat je někde v oddělené síti bez přístupu ven.

Ale na druhou stranu nejsou to moje data...

[xkucf03]

Tímhle způsobem je správné přistupovat ke každým Windows (nebo jinému proprietárnímu OS). Ideálně virtualizovat, udělat obraz disku a když něco ve Windows shnije, tak se prostě obnoví celý disk. Ta virtuálka nebo fyzický počítač pak běží v oddělené síti, za firewallem, nemůže s nikým komunikovat a nic nemůže komunikovat s ní – kromě počítače, který slouží jako překladiště pro výměnu dat.

Díky tomu odpadá i ten problém s VPN – ten případný VPN klient běží jinde než na těch Windows (dávat do nich heslo k firemní VPN nebo soukromé klíče je hazard).

[Jana J.]

Hmm, ideální svět je fajn, ale já musím pracovat s běžným lidským materiálem. Čili co nejvíc blbuvzdorně.

[j]

Hele a co ti na tom prijde kaskaderskyho? Realne kdyz u toho bude sedet bfu, spusti na tom maximalne browser. Ten muze mit principielne zcela aktualni. A na druhou stranu, kdyz mas deravej browser, tak te ani nejaktualnejsi system nezachrani.

A pokud se budem bavit na tema smb pusteny do verejnyho netu, tak nevidim zasadni rozdil v tom, jestli to je na xp, w7 nebo w10. Nejzasadnejsi problem je stejne v tom, ze kokoti z M$ naprosto nezvladaj system nastavit nejak svepravne bydefault a jeste ti hazou klacky pod nohy, kdyz si to chces nastavit osobne.

---

Dete s tim guuglem dopice!

[Max]

No, moc browserů, co podporují WinXP, není. Každopádně není pravda, že s děravým browserem jsi druhej. Záleží, jaké bezpečnostní techniky máš na stroji nasazeny. Pravdou ale je, že pro WinXP toho už moc neexistuje (= není podporováno).
Takže ve finále jsi druhej už jen tím, že používáš WinXP.
Zdar Max

[Jana J.]

Navíc málokdo používá jen prohlížeč. A u některých chyb stačí třeba otevřít obrázek co došel mailem nebo i jen zobrazit v Průzkumníku náhled dokumentu.

[j]

Az na to, ze win7 jsou supportovany jeste nejmin 2 roky.

Pricemz widloaktualizace jeste nikdy nezabranili nikomu si spustit virus. M$ "antivir" sem videl v "akci" jednou jedinkrat ... alergickej je na hwidgen.

Lidi preinstalovavaji widle predevsim proto, ze je to zdaleka nejrychlejsi a casto jedina cesta, jak na widlich resit libovolnej problem. Ty si myslis, ze kdyz moje ovecka dorazi s tim, ze ji neco nefunguje, ze tomu obetuju vic nez 10 minut? Pokud to neni kravina na prave tech 10 minut, tak mu stroj prepisu nacisto a problem je za cca dalsich 15 minut vyresen.

Stejne neexistujou zadny pouzitelny logy naprosto niceho ... u poloviny erroru si na webech kokotu z M$ prectes, ze je mas ignorovat ... tak proc je ti kreteni generujou.

BTW: Ve vetsine prumyslovych stroju ktery sem videl jsou vevnitr prave XP. A jeste nejmin 20-30let tam budou. Protoze tyhle stroje se nekupujou na 5 let a pak do popelnice. Ze stejnyho duvodu spousta firem udrzuje ty XP/w7 na desktopech. Protoze jim na tom bezi nejaka aplikace ktera generuje vystupy prave pro ten stroj, a novejsi verzi vystupu z novejsi verze aplikace ten stroj neumi pouzit.

---

Dete s tim guuglem dopice!

[Max]

Support W7 skončil před rokem. Nyní už běží jen placený support, který moc lidí mít asi nebude. Stejně tak si ho asi moc firem platit nebude. Navíc komerční programy přestávají oficiálně podporovat Win7, příkladem budiž velmi rozšířený informační systém Helios.
Já zásadně nic nepřeinstalovávám, vždy se snažím vše vyřešit a kápnout na problém, i když bych to měl řešit celý den. Výsledkem je, že jsem tím ve finále ušetřil spoustu času nejen sobě, ale i jiným správcům, co si přišli pro radu. Ten, kdo problémy řeší přeinstalací a reálně je tedy neřeší, se nikdy nic nenaučí, neposune ho to nikam a zůstane zamrzlý a vlak bude ujíždět a ujíždět.
Zdar Max

[xkucf03]

Já zásadně nic nepřeinstalovávám, vždy se snažím vše vyřešit a kápnout na problém, i když bych to měl řešit celý den. Výsledkem je, že jsem tím ve finále ušetřil spoustu času nejen sobě, ale i jiným správcům, co si přišli pro radu.

Tohle mi dává smysl u svobodného softwaru, kde máš možnost se podívat dovnitř a zjistit, jak to tam funguje (byť i to může zabrat dost času). Ale ne u proprietárního softwaru, který funguje jako černá skříňka, kde se věci prostě dějí a ty často nemáš šanci zjistit proč, natož, abys to chování mohl změnit.

[Max]

To, co jsem napsal, se vztahuje k Windows. A ano, jde to těžce diagnostikovat, ale zatím mám celkem slušnou úspěšnost.
Zdar Max

[Jendа]

Já teda naprostou většinu problémů se svobodným softwarem vyřešil bez koukání do zdrojáku, natož jeho měnění. Jedná se tedy o věc návrhu a architektury, ne o svobodnost.

[xkucf03]

Já se do něj párkrát dívat musel nebo jsem i něco měnil. Ale i když to sám neděláš a jen třeba najdeš hotové řešení na internetu, tak toto řešení dost často pochází od někoho, kdo se do těch zdrojáků podíval – a v případě proprietární černé skříňky tohle nikdo udělat nemůže – jen výrobce toho softwaru, který na to má monopol a na kterého jsi odkázaný.

[j]

Jasne, takze celej den resis problem, abys ve finale zjistil, ze si stejne nic nezjistil a firma plati zamestnance, kterej nic nedela, protoze ceka az uspokojis svoje ego. Efektivita sama. Z toho uz ti co maji zkusenosti davno vyrostli a predevsim je za to nikdo neplati.

Myslis ten helios (green), kterej uz par let nasazujou v CT a kazdej kdo kolem toho jen projde nadava kudy projde? Myslis ten, co pro nej soudruzi vyrobili novy (a zcela nefukcni)* UI, pojmenovali to Nephrite a snazej se to prodat jako novej system, pochopitelne za plnotucnou cenu?

BTW: helios (green) bezi na .NET a vcelku vpohode i (nativne) v tuxovi, ale pst, to se nesmi rikat moc nahlas. A pochopitelne to neni oficielne podporovana konfigurace.

BTW2: To sis pri tom svym sedmickobijstvy nestacil vsimnout, ze M$ vydal dx12 pro win7 ze? Procpak oni to safra asi tak delaj, kdyz je to ten unsupported system pro kterej dx12 "NIKDY" nebude (do w98se byl backportovanej dx9 taky vpodstate az v okamziku, kdy uz byly nepodporovany).

*Jen z toho co mi ted z hlavy prijde na mysl, tak pokud nekdo ve widlich pouziva jiny nez 100% meritko, tak se to rozpadne zcela dokonale, vcetne toho ze zmizej vsechny ikony. Dalsi ubeficura je to, ze naprosto cokoli kdekoli vytece z obrazovky, takze se naprosto bezne stava, ze to cosi na co ma user kliknout, je nekde asi tak metr vedle monitoru.

---

Dete s tim guuglem dopice!

[Max]

Takže to, že se mi vložená energie do zjištění řešení vrátila + pomohla i jiným, chápeš tak, že to není rentabilní? :D. Já si naopak myslím, že to, co děláš ty, je nerentabilní. Neustále něco přeinstalovávat, protože něco nevím, to je podle mně vyhozený čas, který bych ti nezaplatil .

Jinak to s tím dx12 je z roku 2019, jak to souvisí s tím, že v roce 2020 skončil bezplatný support? Nijak, prostě už na to většina lidí nesežene security update.

Pokud jde o Helios, mně se to řešení také nelíbí. Je to tlustý klient, je to celkem líný atd. To ale nemění nic na faktu, že je to hodně rozšířené.
A podobně to mají se supportem MSSQL, starší verze nepodporují a běh na Linuxu také ne, protože nemají lidi, co by to supportovali.
Zdar Max

[Jana J.]

Totéž třeba Abra Gen, taky v létě zrušili podporu Windows 7. Vím že u jednoho zákazníka na jednom archivním počítači se sedmičkami, co se prý nesměl upgradovat, pak začala padat. Takže už upgradovaný je...

[j]

Nebude ...

Problem (libovolnyho) ps scriptu je v tom, ze at uz je v nem napsano cokoli, je to zavisly na konkretnich revizich vseho kolem. Staci o 0.00.1 jina verze ps, a zjitis, ze tam neco neni nebo to funguje jinak. A to nemluvim o tom, ze chces mit script, kterej bude fungovat na rekneme 3 ruznych verzich widli, to je skoro nerealizovatelny, a i kdyz takovej script odladis a funguje ti, tak za tyden prestane, protoze se neco opatchuje.

Tohle je naprosto nejzasadnejsi rozdil proti tuxlike systemu "vsechno je text".

Jinak widlovpnky jsou katastrofa samy o sobe. A ano, mluvim v mnoznym cisle. Protoze ve widlich je nekolik systemu jak vpn zprovoznit, a realne nefunguje zadnej. Nejvetsi rit je ta, ze kdyz nastavis neco trebas prave z ps, tak ti pak UIcko nadava, ze VPN obsahuje nepodporovany parametry a kdyz pak nedej boze zmenis neco z toho UI, tak se to zesere naprosto dokonale.

Jakykoli bezpecny sifrovani je pak pro M$ sprosty slovo. Ostatne, nejhorsi mozna varianta se kterou se jeste strongswan bydefault spokoji odpovida nejlepsi variante, kterou ti widle (a mluvim samo o nejposlednejsich desitkach) bydefault dovolej nastavit.

---

Dete s tim guuglem dopice!