Forum Debian Users Gang

Nie mam co rozwijac, bo to jest tylko szukanie najbezpieczniejszego rozwiazania.
Czytam i czytam ale materialu jest  nie do przerobienia, dlatego pytam ludzi z doswiadczeniem.
Powtarzam pytanie, jezeli masz w LAN:
- dane np bazy danych
- aplikacje
- komputery
- serwer www
jak najbezpieczniej polaczyc sie z zewnatrz z LAN-em aby miec dostep do wszystkiego i co najwazniejsze zeby nikt inny bez mojej akredytacji nie mogl wejsc do LAN ?
Na poziomie korpo.

Ps. Nie oczekuje szczegolowego tutoriala tylko wskazania kierunku, a dalej bede sam.

urbinek napisał(-a):

No to jest zupełnie inne pytanie niż na początku.

IPsec jest rozwiązaniem twojego problemu.

Oczywiście cały dostęp z zewnątrz ograniczasz do niezbędnego minimum.

Żarty się Waćpana trzymają.

Ipsec, zwłaszcza za NAT...

Faktycznie sprawa wygląda następująco:
1. OpenSSH - z kluczami autoryzacji.
2. OpenVPN  - klucze x509+klucz statyczny.
3...
4...
5...
Szkoda czasu kombinować dalej.

urbinek napisał(-a):

I czemu żarty? 

OpenSSH do bazy danych?

OpenVPN ssie bo jest bardzo niewydajny

Oczywiście, ze OpenSSH do DB.

Jak nie wierzysz, to zajrzyj do dokumentacji Mysqla i Postgresa w kontekście "secure connections" dla połączeń czy replikacji.

No chyba że osobiście usunąłeś z OpenSSH opcję przekierowania portu czy tunele.

Co do "czemu żarty" to wystaw sobie serwer Ipsec i połącz się do niego z sieci LTE np Playa czy Orange, zamiast się dziwić.

I wiem o NAT-T i ipsec-passthrough, ale wiem, jaka z tym jest gimnastyka, i jakie to jest "stabilne" w rożnych dziwnych sieciach.

OpenVPN ssie? pewnie dlatego, ze sterownik TUN w Linuxie pozwala ustawić tylko 10Mbit, żeby przestawić go na 100Mbit potrzebna jest specjalna łatka na kernel po obu stronach tunelu.

W każdym razie do połączenia z bazą Mysqla czy Postgresa 10Mbit spokojne wystarczy.

Ostatnio edytowany przez Jacekalex (2018-03-07 21:17:01)

urbinek napisał(-a):

Robiłem to nie raz i nie dwa, konfiguracja nazywa się RoadWarrior i działa jak marzenie. Może masz za małe doświadczenie w tym temacie, że tak agresywnie do tego podchodzisz?

Oczywiście ze działa, nić inne go nie twierdzę.

Ale jeszcze nie widziałem serwera, do którego ponad SSH coś byłoby jeszcze potrzebne.

urbinek napisał(-a):

OpenVPN ssie bo jest bardzo niewydajny

hmm... mógłbyś to rozwinąć?

Miedzy systemami wolnymi na licencjach BSD czy GNU, a systemami różnych kopro zawsze są schody.
Każda korpo marzy o monopolu, każda chce panować na światem.
Dlatego Qualcomm czy Mediatek robią stery na poszczególne wersje Andka ale NIE NA LINUXA, dlatego zawsze są gimnastyki, żeby Outlook gadał z Dovecotem,
i dlatego ciężkie miliony zawsze będą szyły na różne "integracje systemów".

W każdym razie jeżeli masz jeden port otwarty na serwerze i połączenie klient-serwer, to jest dużo prostsze połączenie, aniżeli strony lewej  i prawej, jak w Ipsec.