Dotaz: VPN, AnyConnect, více uživatelů

[JaSel]

Zdravím,

včera jsem narazil na problém s VPN spojením v souvislosti s více lokálními uživateli.

K pracovní VPN se připojuji pomocí AnyConnect ze svého domácího počítače. Včera jsem si všiml, že v momentě, kdy se přihlásí k mému počítači jiný uživatel, tak se spojení ukončí. Je to nějaká vlastnost, nebo se to dá nějak obejít?

Podrobněji: Přihlásím se k pracovní VPN a spustím výpočet. Výpočtový program běží lokálně u mě, ale kontroluje si licenci ze serveru v práci, proto je tam ta VPN. Výpočet trvá dlouho, v mezičase jsem se přepnul na tty2, aby se mohl přihlásit syn a něco si dělat. Pak jsem se asi po hodině přepnul zpátky k sobě a zjistil jsem, že AnyConnect to spojení ukončil. Chybovou hlášku si nepamatuji, ale vyrozuměl jsem z toho, že pokud je více lokálních uživatelů, spojení se ukončí.

Nejsem síťař, ani mě moc sítě nebaví, ale myslel jsem si, že když ten AnyConnect spustím jako jeden uživatel (mám to v .xinitrc), tak to soukromé připojení je pro mě a na ostatní uživatele nemá vliv. Tohle je zjevně špatný předpoklad, dá se s tím něco dělat, nebo si na to mám dávat pozor, ať si náhodou nepřeruším výpočet třeba po šesti hodinách počítání. AnyConnect používám proto, že je v návodu k pracovní VPN – pokud by to zvládal jiný klient, můžu vyzkoušet.

Odpovědi

[MP]

Je spravne, ze se vpn ukonci. Nebo snad chcete, aby se do vpn site dostal kazdy, kdo se na dany stroj se zapnutou vpn prihlasi? Bude to tim, ze nic neresi, jestli uzivatel ma pristup k sitovemu rozhrani ci ne.

[rastos]

Je spravne, ze se vpn ukonci. Nebo snad chcete, aby se do vpn site dostal kazdy, kdo se na dany stroj se zapnutou vpn prihlasi?

Ja nie som pôvodný autor otázky, ale ... áno, ja to tak spravidla chcem a aj mi to tak funguje. Čo to vlastne znamená "dostať sa do VPN"? Že každý užívateľ bude schopný posielať pakety cez to novo-vyrobené VPN rozhranie? Nech si posiela. Ja vnímam VPN ako vlastnosť stroja, nie vlastnosť užívateľa. Podstatnejšie je, či sa dokáže na druhej strane tej VPN na nejakú službu autentifikovať, nie?

[PetebLazar]

Je si třeba uvědomit, že právo přístupu do firemní sítě skrze VPN získávate (de jure) Vy jako konkrétní pracovník formou přiděleného hesla(certifikátu/tokenu) a nikoli Váš počítač. Klient VPN zajišťující spojení se asi snaží toto dodržet a při přihlášení dalšího username z bezpečnostních důvodu VPN spojení rozpojí. Je otázkou jak jde ve svém úsilí daleko a zda by ignoroval přihlášení na další konzoli stejným uživatelem a následnou změnou kontextu uživatele na jiného pomocí (su - username). Pokud si správně vzpomínám tak například Nortel VPN Contivity klient byl citlivý na změnu routovacích pravidel na klientu, při jakékoli změně vzdal spojení.

[OldFrog {Ondra Nemecek}]

Pokud se připojím do sítě fyzicky, tak má přístup také celý počítač. Nevidím problém v tom, aby to přes VPN bylo stejně.

Maximálně může mít subjekt, do jehož sítě se připojuji, určité požadavky na vlastnosti toho počítače (mohu připojit pouze firemní notebook apod.) - ale opět to bude stejné jako u fyzického připojení.

Z tohoto pohledu se mi třeba chování Any Connectu nelíbí, protože mi agresivně přepíše routy, ale používám to zřídka, takže jsem to blíže nestudoval (určitě lze ledacos nastavit, ideálně by nastavil jen routy do vnitřní sitě a jinak nic neměnil).

[JaSel]

Díky za odpověď. O tom su sem už přemýšlel, ale neřeší to reálný problém. Líbí se mi právě to, že ty svoje věci máme úplně oddělené. To by se musel syn hlásit jako já, což nechci. Důvěra je pěkná, ale na tohle je malý.

[PetebLazar]

Pokud je původní teorie (s su - username) správná a pokud syn důvěřuje Vám lze to udělat obráceně. Připojit se k VPN pod jeho účtem a následně se ve své session po přihlášení na něj přepnout na svůj kontext.

[JaSel]

Díky za odpověď. Logiku to má, i když je to trochu jinak, než bych čekal. Neuvědomil jsem si, že to přihlášení do VPN platí pro celý počítač a ne jenom pro toho uživatele, který to provedl. Jak jsem psal, sítě mě moc nebaví.

Asi jediné řešení je to hlídat, aby se tam nikdo jiný nepřihlásil v nevhodnou dobu.

[vencour]

Co tu ještě nezaznělo: jak notebook, tak "vpn server" může mít nějaké nároky na to, jak má komunikace vypadat, co a kam pošle a jak a kdy spojení ukončí.
Nezaznělo tu, zda ukončení spojení po 8 hodinách je nově nebo běžně pozorovaný stav.
A konkrétně: lze vynucovat v rámci Cisco Anyconnect SSL zda je nainstalovaný antivir s aktuální databází, zda jsou nějaké parametry OS splěny a pak bude nějak reagovat.
Opravdu počítáte něco u sebe? A musíte být pořád připojeni do pracovní sítě?

[JaSel]

No, požadavky jsem buď nezaregistroval, nebo je splňuju a zapomněl jsem je. Zatím to běží, tak bych do toho moc nevrtal.

Počítám v práci (na pracovním), nebo u sebe doma, na svém počítači. Výpočetní program (LS-DYNA) nemá OS alternativu, rozhodně ne v rozsahu, který potřebuju. Pokud běží výpočet, tak si LS-DYNA periodicky kontroluje licenci. Když "nevidí" na licenční server, tak se ukončí. Máme licenci na určitý počet současně běžících úloh, takže si myslím, že takhle jednoduše kontroluje, kolik jich běží a brání tomu, aby jich běželo více. Takže pokud chci počítat, musím být připojený. Pokud dělám něco jiného, připojený být nemusím.

Takhle jsem to používal bez problémů několik let. Až teď se stalo, že se syn přihlásil v době, kdy jsem počítal. Ten výpočet běží nějakou dobu a je to bez zásahů. Tak jsem si říkal, že to za hodinku zkontroluju, a mezitím jsem na počítač pustil syna, resp. jsem ho něco učil. Přihlásil se pod svým uživatelem, děláme to tak běžně - každý má svoje a přijde mi to rozumné.

Jak to teď chápu, tak se ten počítač připojí do VPN jako celek, takže jakýkoliv lokální uživatel by v té VPN byl taky. Tohle mě nenapadlo, myslel jsem si, že když se tam přihlásí uživatel franta, tak to nemá vliv na uživatele pepa. Nejjednodušší bude to hlídat a dovolit pepovi se přihlásit jenom, když franta není zrovna připojený do VPN.

[Jendа]

Lidi s FEM akutně potřebujeme. Uměl bys spočítat:

• Simulaci šíření elmag. vlny vlnovodem, takovým plastovým bazmekem a následně její odrazy od kovových věcí okolo? (a.k.a. návrh antény)
• Síly působící v bazmeku ze sklolaminátu když fouká vítr, a vyhodnotit jeho statiku?

[JaSel]

To bohužel ne. To je moc mimo můj obor. Zajímá mě detonace a její projevy na okolí.

Možná lidi kolem agros2d, kdysi tu o tom byl i článek.

[Jendа]

Lol, vítej ve světě korporátů a nesvobodného softwaru, bude to jen horší. Naštěstí to alespoň běží na Linuxu, takže s tím jde rozumně něco dělat.

Osobně bych důrazně doporučoval tyhle věci pouštět ve virtuálu a potřebná spojení do toho routovat, podle toho jak to funguje to půjde buď jednoduše NATem, nebo si budeš muset spustit socks proxy.

Pokud trváš na tom, že to musí běžet v systému, se kterým běžně pracuješ, tak je potřeba tu kontrolu obejít. Napadají mě dva způsoby, jak by tohle mohl ten software zjišťovat. Jedna možnost je, že si to přidalo hook do PAMu -- to zjistíš tak, že si vypíšeš soubory tomu náležející (pokud je to slušně vychovaný balíček), nebo diffneš rootfs před instalací a po instalaci (pokud slušně vychovaný není). Druhá možnost je, že to periodicky kontroluje seznam přihlášených uživatelů, například čtením různých utmp. Takže si napíšeš LD_PRELOAD wrapper, který mu daný soubor zfalšuje (pokud je to staticky linkované, tak musíš přes ptrace přímo odchytávat syscally open/read).

Další možností, řekněme že něco mezi plným virtuálem a ohackovaným prostředím, je pustit to v nějaké cgroup/kontejneru/chrootu, kde to ostatní uživatele neuvidí.

[Jendа]

Jestli je to, jak jsem vystalkoval, univerzita, a máte normálního správce (já když jsem adminoval na matfyzu tak bych to tak určitě udělal :), tak požádej o něco normálního, třeba OpenVPN.

Jestli je na druhé straně (nebo obecně kdekoli v síti, která má přístup k licenčnímu serveru) Linux a máš tam SSH přístup, tak můžeš zkusit sshuttle. Je husté že to nepotřebuje žádné nastavování (osobně jsem teda ručně musel editovat pravidlo v iptables, které vylučovalo pakety s „podezřelým“ TTL, které mám zrovna natruc nastavené, protože si hraju na honeypot).

[JaSel]

Ahoj a dík za rady i v tom předchozím příspěvku. Zatím to zkusím spíš pohlídat, abych si to časově sladil, jak jsem psal výše. Pokud to nepůjde, nebo to bude problematické, zkusím se domluvit se správcem (je to univerzita).

Jinak z toho, co jsi psal, bych pochopil maximálně ten chroot, ten jsem už kdysi potkal, když jsem experimentoval s Gentoo. Linux sice používám skoro 20 let a skoro výhradně (tak 14 dní v roce jsem nucen používat opravdický MS Word), ale beru to celkově dost uživatelsky. Co potřebuju, to si postupně zprovozním, ale slovy klasika: "Nepouštím se samostatně do větších akcí."

Ale i přesto dík za informace, chtěl jsem si to ujasnit, protože mě to dost překvapilo, že to funguje jinak, než jsem čekal.