Dotaz: Pocitac za sedmero firewally?

[dusan]

Potrebujem sa pripajat na moje pocitace u zakaznikov. Maju roznorode siete. Potrebujem sa na moje pocitace pripajat pomocou rdp. Casto je tam ale problem sa na tie ich lokalne siete dostat. Tie samotne stroje nemaju problem pripojit sa na internet.

Chcel by som preto nakonfigurovat na internete dostupny linuxovy server ktory by sluzil ako nejaka proxy. Moje pocitace u zakaznikov by sa pripajali na tento proxi. A ked by som sa chcel pripojit na moje pocitace, pripojil by som sa len na moj proxi a nejak by ma to pripojilo na tie pocitace.

Nie som sietar, ale potreboval by som vediet co za technologiu (OpenSSH) by som mal pouzit. Idealne by bolo keby od zakaznika na ten proxy pocitac bezalo vsetko sifrovane, idealne na porte 80.

Neviem ci tomu rozumiem spravne ale myslim ze takyto pristup vyzaduje aby klientske pocitace boli na ten "proxy" pripojene permanentne, ale to si myslim by nemusel byt problem.

---

---

Odpovědi

[Punny]

VPN?

[dusan]

Ok a funguje to tak jak som to popisal? Ze pocitac za firewalom sa pripoji na moj "proxy" a ja sa potom pripajam na proxy ked sa chcem pripojit na ten pocitac za firewallom? Co sprostredkuje VPN v tom linuxovom proxy?

[Punny]

Ne...VPN ti zaridi, ze se pripojis primo de firemni site...zadnou proxy tam nedavej stejne bz y ti to tak nefungovalo.

[smoofy]

Odpoved je ano. VPN ti sice zaridi, ze se pripojis primo do firemni site, ale zprostredkovane pres ten linuxovej stroj na kterej se stejne musis pripojit, aby ses do te VPN dostal.

[Punny]

Odpoved je ne pro proxy...ano pro VPN, pres co se pripoji zda pres linux, windows, klidne i osx pokud je libo je jedno...dostane firemni adresu a uz mu nic nebrani se pripojit kam mu je libo pokud mu to nezakaze zase firewall ve firme...VPN samozrejme bude muset mit verejnou adresu

[dusan]

> dostane firemni adresu a uz mu nic nebrani se pripojit kam mu je libo pokud mu to nezakaze zase firewall

Toto je problem, vsade je to inak a oni nie su schopny to nastavit. Jedine co je garantovane je ze ked do ich siete dam pocitac tak sa cez port 80 (alebo mozno 443?) bude vediet dostat na internet. Na internete bude na nejakej mojej domene bezat moj "proxy" server.

[smoofy]

tak to nastav sam, pokud jim nevadi ze jim tam budes instalovat novej pocitac tak prezijou i VPN nicmene pokud je ten firewall opravdu tak restriktivni tak onu VPN si klidne nastav na port 80 pokud ovsem na to budes mit u kazdeho zakaznika speacialni masinu jenom na toto. Jen mi prijde ze to zbytecne prekombinovavas.

[dusan]

Tie ich siete vyzeraju realne nejak takto: internet ( firma ( pobocka ( podpobocka ) ) ). Nie su ani tak velke ale su proste vseliak rozkuskovane a kazda ta zatvorka je rozhranie nejakych pod-sieti. Moja skusenost je taka ze internet funguje vzdy. To proste musi fungovat inak by sa plebs nedostal na facebook alebo na co. Aj ked sa tie rozhrania (zatvorky) neustale menia a rozbijaju, internet ako-tak ide vzdy. Z toho vychadzam pri navrhu noveho sposobu pripojovania a moj vpn server niekde na internete mi prijde ako najrobustnejsie riesenie.

[smoofy]

Ten pocitac by fungoval jako VPN koncentrator tzn. ze by soustredil nekolik VPN na nej napojenych ze kterych se na dane pocitace budes pripojovat. Samozrejme budes potrebovat pokud mozno statickou IP adresu pro tuhle masinu a zabezpeceni budes resit jen na ni. Ve finale se pripojis z domova na tu VPN a muzes vesele brouzdat jak se ti zlibi.

[smoofy]

Jinak se jako reseni nabizi OpenVPN pres ktery je provoz mozno bez problemu sifrovat a funguje to jako tunel, takze muzes vesele posilat jakekoliv porty. V systemu se to vicemene tvari jako regulerni sitove rozhrani se svoji IP etc.

[j]

Boha, nevymejslej kolo ... porid si Team Viewer.

[dusan]

Prilis drahe.

[já]

Když tomu nerozumíš, tak musíš zaplatit. Nic jiného ti nezbývá.

Nabízejí ti tady řešení s OpenVPN, které si můžeš pořídit zadarmo, ale to si holt musíš nakonfigurovat sám.

[dusan]

Prave preto som tu ze tomu chcem porozumiet, jak to vlastne funguje. Potom sa to naucim a nasadim.

[já]

Nezlob se na mě, ale způsob jak se na to ptáš vyjadřuje to, jak tomu rozumíš. Tj. vůbec ne. Takže než to budeš moci bezpečně nasazovat, uplyne ještě hodně vody.

zadarmo máš:

- forward portů z firewallu, který ti zařídí někdo cizí a povolení takového forwardování bude jeho problém

- OpenVPN a studium, jak se to dělá. Já bych se tě snažil do své sítě nepustit

za peníze:

- něco, např viz výše.

[multi]

Asi bych si v internetu nastavil VPN server a na ten bych pripojil jednotlive spravovane PC ve firme. Tim by se jim akorat zpristupnila dalsi sit. Ty jako administrator by ses nasledne pripojil taktez na ten VPN server a pote mas veskere PC k dispozici. Uz te bude brzdit max firewall na spravovanych masinach.

Dale by ale bylo vhodne tento stroj docela dobre zabezpecit a zaridit, ze klienti (spravovana PC) se mezi sebou pres tuto sit neuvidi a povolit ve firewallu pouze provoz tebe jako administratora na ty jednotlive stroje. Cely firewall by sis pak ridil ty a jednotlive firmy by pro pristup meli svuj vlastni firewall.

Pote je to takova jednoducha hvezdicova sit. Zalezi pouze na tobe jak si to nadefinujes. Pokud mas napriklad PC ve vice firmach ve sprave, tak bych pro kazdou firmu resil vlastni subnet a cele by ti to pote routoval ten VPN server.

[hates]

Jeste je dalsi moznost mit VPN server v kazde firme a ty se pripojis pouze k te firme kde chces budes zrovna pracovat, ale je tady potreba pote i spravovat nekolik VPN serveru. Osobne bych sel smerem jeden VPN server v internetu a vsechny PC co spravujes by meli pouze VPN klienta, ktery se pripoji na tvuj server. Odpada ti tak docela dost prace s udrzbou nekolika jednotlivych serveru.

Zase se musis ale podridit politice firmy zda necha sve PC pripojit na nejaky server v internetu a vystavi tak potencialni PC nebezpeci pri hacknuti tveho VPN serveru. Vse je o kompromisech a hledani reseni.

[já]

Další možnost je nechat si forwardovat porty z firewallů na ty stroje.

btw: Když pán není síťař, neměl by se o ten vzdálený přístup postarat někdo v těch firmách? Protože co se má co administrátor nějakého stroje za firewallem sám připojovat z internetu a vytvářet tím potenciální díru v síťovém zabezpečení té firmy?

[hates]

O tom presne mluvim,

Je to o politice a bezpecnosti dat ve firme. Pokud spravuje 10 firem a v kazde firme jsou dve PC tak asi neni co resit a ucetni potrebuje zmenit tapetu na plose, ale pokud se jedna o firmu, ktera ma na pracovisti desitky PC a resi bezpecnost dat tak osobne bych administratorovi ani nedovolil umistit nejaky VPN server do firemni infrastruktury, natoz aby se jednotlive PC pripojovali na administratoruv VPN server nekde v internetu. Pokud ma spravovat PC v takoveto firme tak bud at jej zamestna a nebo ho plati tak, ze se mu vyplati do firmy dojizdet.

[dusan]

Ano presne toto potrebujem. Jedine co su schopne zabezpecit ze sa z mojho pocitaca v ich sieti dostanem na internet. Na nejakej mojej domene bude bezat ten VPN server. Na mojich pocitacoch bude bezat VPN klient ktory bude trvale pripojeny na ten moj VPN server.

Ako je rieseny VPN server v linuxe? Je to nejaka cast IP tables alebo OpenSSH? Co riesi klientsku cast? Je klient stale pripojeny na VPN server?

[hates]

VPN server je serverova aplikaci jak jiz bylo napsano napriklad OpenVPN, je multiplatformni a server i klient muze bezet na temer libovolnem OS. Nicmene porad nechapu tu filosofii mas v nejake firme ktera ma vlastni firewall tve PC a na to se potrebujes pripojovat? POkud je to tak tak jakoi administratora te konkretni firemni site by me ani nenapadlo te nechat konektit na tvuj VPN server jelikoz pokud ti nabori nekdo tvuj VPN server, tak v tu chvili ma pristup do toho PC v siti a vlastne do cele firemni infrastruktury. Pokud jsi nikdy neresil tuto problematiku tak si to nech poresit. Da se tim napachat vice skody nez uzitku.

[dusan]

> Nicmene porad nechapu tu filosofii mas v nejake firme ktera ma vlastni firewall tve PC a na to se potrebujes pripojovat?

Ano. Na nasom PC v ich firme bezi nas softver. Obcas sa treba pripojit a spravit upgrade toho nasho softveru. V sucasnosti pouziva v kazdej firme nieco ine podla toho co chodi. Niekde je to priamo RDP kde to vedia povolit, niekde ssh (terminal), niekde sme obcas chodili cez TeamViewer (ale za to treba platit takze toto uz nemozeme pouzit).

> POkud je to tak tak jakoi administratora te konkretni firemni site by me ani nenapadlo te nechat konektit na tvuj VPN server jelikoz pokud ti nabori nekdo tvuj VPN server.

Rozumiem. Ale. Ber to takto, zakaznik dostane podporu aku si zaplati. Skoro zadarmo dostane vzdialeny pristup alebo (pretoze je dost daleko) tak by musel platit cestovne ak by sme ku nemu museli kvoli kazdej prkotine jazdit. Takze ich vedenie povie vyjazdy nie, vzdialena sprava ano. A v tom okamihu je uplne ale uplne jedno, ci sa spojenie vykona sposobom:

Ja -> internet -> ich firewall -> Moje PC u nich

alebo

Ja -> internet -> moj vpn <- internet <- ich firewall <- Moje PC u nich

> pokud ti nabori nekdo tvuj VPN server, tak v tu chvili ma pristup do toho PC v siti a vlastne do cele firemni infrastruktury.

To iste sa stane pokial sa niekto dostane na moj pocitac. Je to uplne jedno, ak je moj pocitac alebo moj VPN server kompromitovany tak je to jedno.

[Punny]

no dobre, pokud ale nejsi schopen zajistit bezpecnost tak se do toho ani nepoustej, nejake studovani how to ti pomuze to nainstalovat, ale uz neosetris diry...pokud chces jit opravdu touhle cestou tak uplne easy way bude pro tebe hamachi...
ja bych te asi ukamenoval tohle zjistit, nasledky toho ale musis posoudit sam, zda ti to za to stoji.

[dusan]

Ja si to chcem nastudovat aj v pripade ze to bude robit niekto iny. Proste musim vediet akym sposobom to pripojenie funguje.

[Punny]

jeden velky VPN server je podle meho nazoru spatne uz jen z duvodu bypassu mezi spolecnosti...urcite bude lepsi udelat co firma to VPN. Vyhnes se tak problemum.

[já]

jj, když máš ty firmy dvě. Když jich máš 157, tak bude žůžo to udržovat.

[Punny]

jake si to udela, takove to bude mit, ja osobne bych do toho nesel a kdybych ja jako spravce na to prisel, tak bych ho hnal kdyz by mi nekdo obchazel zabezpeceni. Pokud mu to budou chtit usnadnit tak at mu ty podminky vytvori.

[dusan]

Musis mysliet trochu realne. Ich admin je na dovolenke a co teraz? Alebo ich admin vie nainstalovat ovladace k tlaciarni a to je tak vsetko. Alebo nieco niekde prestalo fungovat a nikto nevie preco, internet medzitym funguje ok.

[Punny]

ja myslim realne jak to bezne ve svete funguje...delej si co chces, ja za to hlavu na spalek nedam...mozne reseni tu jiz napsane mas, nektere horsi, nektere lepsi. Vyber si...ale bohuzel jak si jiz napsal tak tomu nerozumis a vse se chces ucit teprve tak si vlastne ani vybrat nemuzes, jelikoz neznas problematiku...