Безопасный вход в терминал
7485
30
Андрей Прошин
experienced
Вопрос к знающим людям. Есть у нас на работе серверок под win2003, работаем на нем под терминалом. Сейчас нужно зацепить еще один офис, не в нашей локалке. Тоже нужно будет организовать вход по терминалу. Вопрос в том, как сделать его более секьюрным. Пароли, есть, конечно, но на них надежды мало, как только засветятся на нашем сервере доступные порты, народ будет ломиться к нам, а этого не хотелось бы. Пока посматриваем в сторону OpenVPN. Может есть еще какие-либо простые решения типа этого?
KSergey
guru
В брендмауере разрешить доступ на порт терминал-сервера только с IP удаленного офиса (скорее всего - он один у них внешний). Доступ с остальных IP - запретить.
Если IP у них динамический - пусть купят статический, это копейки.
Если IP у них динамический - пусть купят статический, это копейки.
Андрей Прошин
experienced
IP там будет динамический, работают через они USB-GPRS-модемы. Насчет покупки статических ай-пи при таком раскладе затрудняюсь что-то сказать. Это даже не офис, а наши директора, они хотят с ноутбуков залезать в нашу локалку. И я еще почитал про мобильные модемы, есть мнение, что провайдеры режут протокол gre. Так ли это? Если так, то VPN отпадает. А что тогда остается?
Mad_Dollar
guru
есть мнение, что провайдеры режут протокол gre. Так ли это? Если так, то VPN отпадаетOpenVPN использует свой протокол и может использовать свой порт
KSergey
guru
Это даже не офис, а наши директора, они хотят с ноутбуков залезать в нашу локалку.То офис, то директора с канар. Прямо на ходу меняете показания
Тогда только VPN остается, с ключами.Как-то я сомневаюсь, чтобы VPN не работало в таком раскладе. Теми же клиент-банками пользуются, успешно. Там часто VPN всякий.
kmm
veteran
Вы им лучше страшилки расскажите "А вот представьте кто нибудь Ваш пароль узнает и на Вашу почту зайдёт" - сразу у директоров желание отпадёт.
Вы им лучше страшилки расскажитеСтрашилки не надо. Это непрофессионально.
Сильно страшно - тогда VPN и ключи на аппаратных USB-брелках, решений таких - много.
Сейчас читают
Багажник на крыше
4071
11
И настанет день..
183939
1000
Неутешительные выводы
42812
388
Вам не приходилось ночью на отдыхе за городом получать звонок от директора "я просрал token, но хочу прям щас доступ получить и нее**т"
и нее**т"1) Я стараюсь не задерживаться в компаниях с директорами детсадовского возраста
Вам не приходилось ночью на отдыхе за городом2) Я не вижу в этом проблемы, т.к. понимаю, что у компании, благодаря работе в которой я отдыхаю c текущим уровнем комфортности, бывают действительно неотложные дела, в том числе, пусть и косвенно, влияющие на комфортность моего отдыха как нынешнего, так и будущего.
Ну и до кучи:
3) Всегда можно найти альтернативное временное решение, не слишком противоречащее необходимому уровню безопасности.
Андрей Прошин
experienced
Такого у нас, конечно, не предвидится, но директор может захотеть залезть локалку просто из разных мест, с ноутбука, с офисного компа, либо с домашнего. И везде доступ должен работать одинаково. Тут вот у нас еще возникла мысль насчет VPN на аппаратном роутере типа D-link-804. Такое решение будет работать? Ему ведь и целого компа для сервера не нужно, только сам роутер.
KSergey
guru
Для VPN-соединения, тем более единичного, выделять "отдельный сервер" - вообще как-то странно... Кучеряво слишком
Достаточно поднять сервер VPS на любом сервере из имеющихся и пробросить требуемый порт через файервол/роутер.
С другой стороны, если есть аппаратные решения - наверное есть в них плюсы... Может кто и расскажет.
Достаточно поднять сервер VPS на любом сервере из имеющихся и пробросить требуемый порт через файервол/роутер.
С другой стороны, если есть аппаратные решения - наверное есть в них плюсы... Может кто и расскажет.
ADmitry
veteran
На самом деле - сколько связывались с подобными задачами, действительно провайдеры, особенно "славятся" моб операторы, криво натят pptp и gre, в связи с тем в одной из организаций, где счастливилось работать исторически туннели подняты на kerio vpn. там обычный проброс 4090 tcp\udp. Железка конечно хорошо, но опять же pptp\gre в большинстве своем. Можно поставить циску в головной офис, а на комп повесить cisco vpn клиент. Он работает по udp (ЕМНИП). Ну а можно по банзайски использовать шифрование rdp
Андрей Прошин
experienced
От железки пока отказались, надо поднимать на сервере. Пытаюсь пока поднять pptp, что-то не выходит. Подскажите кто-нибудь, обязательно на сервере две сетевые карты или и одной хватит. Вроде все делал по инструкции, а не впахивает, даже телнет на порт 1723 не проходит, хоть порт вовнутрь открыт. Что может быть это такое?
Андрей Прошин
experienced
По ходу это не провайдер режет протокол gre, а наш новый чудо-роутер DIR-120, потому как изнутри впн работает, а порты снаружи не видны. Можно ли завести впн через этот роутер? Кто что посоветует в данной ситуации? Предлагались различные безумные версии решения проблемы, вплоть до установки мне под стол системника с фри-бсд. Кстати, это самый приемлемый для меня вариант, там уж нагородить можно много чего, а pptpd работает с полпинка, mpd начинает работать после пары пинков. Самое интересное, что стоить этот системник будет как этот вот роутер. Пока склоняюсь к такому варианту.
ADmitry
veteran
такс - минуточку, насколько я в курсе 120й - это сотый только с принт сервером и это маршрутизатор, впн-сервера у него нет (опять же ЕМНИП), и проброс у него кажется только tcp и\или udp, теоретически можно на нем взвести дмз и перенаправить трафик этот куда нить где уже будет впн сервер. ну либо какой нить dlink dfl-210 из длинков, либо все уже озвучено выше было.
kmm
veteran
открыть доку на Dir-120 и прочитать.
страница 41
Advanced configuration.
страница 41
Advanced configuration.
KSergey
guru
изнутри впн работает, а порты снаружи не видныА вы нужные порты наружу пробросили?А вы нужные порты наружу пробросили?
ADmitry
veteran
так VPN pass through это никто не отменял - это и есть. и будет ходить. просто snat отличается от dnat.
Андрей Прошин
experienced
Да мне не надо, чтобы он сам vpn организовывал, мне надо, чтобы хотя бы порты открывал и протокол пропускал через себя. А у него там только tcp, udp и any (any - это tcp+udp, так мне пояснили в СЦ D-link). Порты, конечно, открыл, почта же работает, rdp снаружи тоже, даже некий хитрый порт 3052 открывается, это для управления UPS-ником снаружи. Но вот такое же самое правило для порта 1723 работать почему-то не хочет. Вывод - протокол где-то режется. Потому что этот роутер купили до того, как понадобился vpn, тогда просто нужно было как-то организовать выход в интернет и выбрали самое дешевое решение. А теперь из-за этого у нас проблемы, вот она - дешевизна -то.
открываю мануал - читаю: бла, бла, бла - Port forwarding rules - PPTP . Есть преднастроенное правило. Вы в port forwarding rules делали или application rules?
Андрей Прошин
experienced
Это вы тут чего по-нерусски сказали? Перевести можно?
ADmitry
veteran
такс согласно тут он умеет и если прочитать про vpn pass through
Поддержка VPN (VPN pass through)
VPN (Virtual Private Network - виртуальная частная сеть) - технология, которая позволяет создавать виртуальный защищенный канал через интернет от главного офиса к удаленному офису или к домашней сети. При этом пользователь удаленного офиса может работать с локальной сетью главного офиса точно так же, как если бы он был подключен к ней напрямую. Для создания виртуальных частных сетей используется один из следующих протоколов: IPSec (Internet Protocol Security), PPTP (Point-to-Point Tunneling Protocol), L2TP (Layer 2 Tunneling Protocol).
Подключиться к главному офису через VPN можно двумя способами: с помощью маршрутизатора или с помощью специального программного обеспечения, установленного на компьютере пользователя. Для подключения по второму способу необходимо, чтобы маршрутизатор локальной сети удаленного офиса имел возможность пропускать данные, созданные с помощью протоколов VPN (эту функцию в англоязычной литературе называют "VPN pass through"). Большинство современных маршрутизаторов обладают такой возможностью.
Поддержка VPN-туннелей (VPN Endpoint)
Возможность организации VPN-туннелей маршрутизатором. Подробнее о VPN см. в разделе "Поддержка VPN (VPN pass through)".
При создании виртуального туннеля маршрутизатором локальной сети удаленного офиса пользователи этой сети автоматически получают доступ к локальной сети головного офиса без установки дополнительных программ и паролей на своих компьютерах. В таких маршрутизаторах в качестве стандарта VPN используется набор протоколов IPSec. Протоколы IPSec позволяют автоматически шифровать передаваемые данные, проверять их целостность и обмениваться ключами.
Использование маршрутизаторов с поддержкой VPN-туннелей (VPN Endpoint) дает возможность соединять удаленный офис с основным через интернет, не уменьшая при этом защищенность данных или удобство работы с сетью.
сие значит что впн сервер в сети иметь надо, длинк пробрасыват до него сможет.
Поддержка VPN (VPN pass through)
VPN (Virtual Private Network - виртуальная частная сеть) - технология, которая позволяет создавать виртуальный защищенный канал через интернет от главного офиса к удаленному офису или к домашней сети. При этом пользователь удаленного офиса может работать с локальной сетью главного офиса точно так же, как если бы он был подключен к ней напрямую. Для создания виртуальных частных сетей используется один из следующих протоколов: IPSec (Internet Protocol Security), PPTP (Point-to-Point Tunneling Protocol), L2TP (Layer 2 Tunneling Protocol).
Подключиться к главному офису через VPN можно двумя способами: с помощью маршрутизатора или с помощью специального программного обеспечения, установленного на компьютере пользователя. Для подключения по второму способу необходимо, чтобы маршрутизатор локальной сети удаленного офиса имел возможность пропускать данные, созданные с помощью протоколов VPN (эту функцию в англоязычной литературе называют "VPN pass through"). Большинство современных маршрутизаторов обладают такой возможностью.
Поддержка VPN-туннелей (VPN Endpoint)
Возможность организации VPN-туннелей маршрутизатором. Подробнее о VPN см. в разделе "Поддержка VPN (VPN pass through)".
При создании виртуального туннеля маршрутизатором локальной сети удаленного офиса пользователи этой сети автоматически получают доступ к локальной сети головного офиса без установки дополнительных программ и паролей на своих компьютерах. В таких маршрутизаторах в качестве стандарта VPN используется набор протоколов IPSec. Протоколы IPSec позволяют автоматически шифровать передаваемые данные, проверять их целостность и обмениваться ключами.
Использование маршрутизаторов с поддержкой VPN-туннелей (VPN Endpoint) дает возможность соединять удаленный офис с основным через интернет, не уменьшая при этом защищенность данных или удобство работы с сетью.
сие значит что впн сервер в сети иметь надо, длинк пробрасыват до него сможет.
kmm
veteran
Вы user manual открывали? Цитаты - оттуда.
Андрей Прошин
experienced
Конечно делал! Этот роутер при установке в ADVANCE PORT FORWARDING RULES правила с именем PPTP расшаривает порт 1723TCP, но это ведь другой совсем протокол, так не работает. Ставлю в Traffic Type значение ANY - один хрен не работает.
всё что надо - есть в этой железке. судя по описанию и руководству пользователя.
kmm
veteran
что значит другой? PPTP по TCP/1723 - работает.
дада, уже увидел, пост поправил, вернее перенаписалхотя опять же, а как он с gre обходится.. кстати было дело приходилось руками mtu крутить на рабочих станциях, чтоб трафик нормально шел внутри впн.
хотя опять же, а как он с gre обходится.. кстати было дело приходилось руками mtu крутить на рабочих станциях, чтоб трафик нормально шел внутри впн.
kmm
veteran
"протокол где-то режется"
поставьте на границе сети устройство, вместо DIR-120, которое даст возможность увидеть в онлайн есть снаружи запросы по этому порту. нет - к провайдеру, есть - копайте внутрисеть.
как вариант - неверно настроен сам VPN-сервер, а до него всё "доезжает"
поставьте на границе сети устройство, вместо DIR-120, которое даст возможность увидеть в онлайн есть снаружи запросы по этому порту. нет - к провайдеру, есть - копайте внутрисеть.
как вариант - неверно настроен сам VPN-сервер, а до него всё "доезжает"
Андрей Прошин
experienced
Ну, в локалке же работает, доступ d kjrfkrt делаю на тот же интерфейс, что и снаружи. Внутри сети впн работает. Не работает снаружи. Насчет железки, заменяющей наш свич уже писал, есть такой вариант.