[Comm] Тунель вроде как надо сделать

[Comm] Тунель вроде как надо сделать

[Alexey Titov]

Здравствуйте, community.

  В фирме стоит ALTLinux Master 2.2 и выполняет функции роутера, а так
же кэщширующего прокси. Все бы хорошо, но хочет руководство
подключаться с разных мест и входить во внутреннюю сеть (иметь доступ
к терминальному серверу).
  Перерыл достаточно много документации, провел несколько
экспериментов (на основании opennet), но все никак не получается
сделать это по-нормальному.
  Подскажите какими программами пользоваться (какие из родных) что бы
настроить доступ.
  У машины есть нормальный интернетовский адрес (213.170..).
  Спасибо.

-- 
С уважением,
 Alexey                          mailto:subscribe@itcom.spb.ru

Re: [Comm] Тунель вроде как надо сделать

[Sergey Ivanov]

[-- Attachment #1: Type: text/plain, Size: 1000 bytes --]

Alexey Titov wrote:
> Здравствуйте, community.
> 
>   В фирме стоит ALTLinux Master 2.2 и выполняет функции роутера, а так
> же кэщширующего прокси. Все бы хорошо, но хочет руководство
> подключаться с разных мест и входить во внутреннюю сеть (иметь доступ
> к терминальному серверу).
>   Перерыл достаточно много документации, провел несколько
> экспериментов (на основании opennet), но все никак не получается
> сделать это по-нормальному.
>   Подскажите какими программами пользоваться (какие из родных) что бы
> настроить доступ.
>   У машины есть нормальный интернетовский адрес (213.170..).
>   Спасибо.
> 
Если терминальный сервер хороший, то можно просто устроить 
порт-форвардинг на него. Например, написав в /etc/sysconfig/iptables:
...
*nat
:PREROUTING ACCEPT [313:21156]
:POSTROUTING ACCEPT [13:1465]
:OUTPUT ACCEPT [12:1401]
[0:0] -A PREROUTING -i ppp0 -p tcp -m tcp --dport 3389 -j DNAT \ 
--to-destination ip.addr.temr.servera:3389
...
С уважением,
	Сергей.

[-- Attachment #2: S/MIME Cryptographic Signature --]
[-- Type: application/x-pkcs7-signature, Size: 2551 bytes --]

Re: [Comm] Тунель вроде как надо сделать

[Maxim Tyurin]

Sergey Ivanov <seriv@parkheights.dyndns.org> writes:

> Alexey Titov wrote:
>> Здравствуйте, community.
>>   В фирме стоит ALTLinux Master 2.2 и выполняет функции роутера, а
>> так
>> же кэщширующего прокси. Все бы хорошо, но хочет руководство
>> подключаться с разных мест и входить во внутреннюю сеть (иметь доступ
>> к терминальному серверу).
>>   Перерыл достаточно много документации, провел несколько
>> экспериментов (на основании opennet), но все никак не получается
>> сделать это по-нормальному.
>>   Подскажите какими программами пользоваться (какие из родных) что бы
>> настроить доступ.
>>   У машины есть нормальный интернетовский адрес (213.170..).
>>   Спасибо.
>>
> Если терминальный сервер хороший, то можно просто устроить
> порт-форвардинг на него. 

Это плохое решение. Не стоит выставлять TS в Инет.

Нужно VPN поднимать. А какой именно зависит от ситуации.

Лучше конечно IPsec. Но можно и PPTP.

По IPsec VPN могу рассказать (правда сразу могу заметить что если
клиенты Win9x то ждет большой облом).
-- 

With Best Regards, Maxim Tyurin aka Bungarus
JID:	MrKooll@jabber.pibhe.com

Re: [Comm] Тунель вроде как надо сделать

[Andy Gorev]

Maxim Tyurin wrote:
> Sergey Ivanov <seriv@parkheights.dyndns.org> writes:
> 
> 
>>Alexey Titov wrote:
>>
>>>Здравствуйте, community.
>>>  В фирме стоит ALTLinux Master 2.2 и выполняет функции роутера, а
>>>так
>>>же кэщширующего прокси. Все бы хорошо, но хочет руководство
>>>подключаться с разных мест и входить во внутреннюю сеть (иметь доступ
>>>к терминальному серверу).
>>>  Перерыл достаточно много документации, провел несколько
>>>экспериментов (на основании opennet), но все никак не получается
>>>сделать это по-нормальному.
>>>  Подскажите какими программами пользоваться (какие из родных) что бы
>>>настроить доступ.
>>>  У машины есть нормальный интернетовский адрес (213.170..).
>>>  Спасибо.
>>>
>>
>>Если терминальный сервер хороший, то можно просто устроить
>>порт-форвардинг на него. 
> 
> 
> Это плохое решение. Не стоит выставлять TS в Инет.
> 
> Нужно VPN поднимать. А какой именно зависит от ситуации.
> 
> Лучше конечно IPsec. Но можно и PPTP.
> 
> По IPsec VPN могу рассказать (правда сразу могу заметить что если
> клиенты Win9x то ждет большой облом).
Или ssh

-- 
С Уважением,
Андрей Горев

Re: [Comm] Тунель вроде как надо сделать

[Maxim Tyurin]

Andy Gorev <horror@altlinux.ru> writes:
\scip
>>>Если терминальный сервер хороший, то можно просто устроить
>>> порт-форвардинг на него.
>> Это плохое решение. Не стоит выставлять TS в Инет.
>> Нужно VPN поднимать. А какой именно зависит от ситуации.
>> Лучше конечно IPsec. Но можно и PPTP.
>> По IPsec VPN могу рассказать (правда сразу могу заметить что если
>> клиенты Win9x то ждет большой облом).
> Или ssh

Хоть ssl
VPN строится поверх чего угодно :)

-- 

With Best Regards, Maxim Tyurin aka Bungarus
JID:	MrKooll@jabber.pibhe.com

Re: [Comm] Тунель вроде как надо сделать

[sergey ivanov]

On Птн, 2004-10-29 at 10:39 +0300, Maxim Tyurin wrote:
> Sergey Ivanov <seriv@parkheights.dyndns.org> writes:
> 
> > Если терминальный сервер хороший, то можно просто устроить
> > порт-форвардинг на него. 
> 
> Это плохое решение. Не стоит выставлять TS в Инет.
Плохое теоретически или практически? Вроде ведь уже несколько лет как TS
зашифровывает весь свой траффик. Не могли бы вы привести какие-нибудь
агрументы против порт-форвардинга на терминальный сервер?
	С уважением,
		Сергей

Re: [Comm] Тунель вроде как надо сделать

[Maxim Tyurin]

sergey ivanov <seriv@parkheights.dyndns.org> writes:

> On Птн, 2004-10-29 at 10:39 +0300, Maxim Tyurin wrote:
>> Sergey Ivanov <seriv@parkheights.dyndns.org> writes:
>> 
>> > Если терминальный сервер хороший, то можно просто устроить
>> > порт-форвардинг на него. 
>> 
>> Это плохое решение. Не стоит выставлять TS в Инет.
> Плохое теоретически или практически? Вроде ведь уже несколько лет как TS
> зашифровывает весь свой траффик. Не могли бы вы привести какие-нибудь
> агрументы против порт-форвардинга на терминальный сервер?

По-клюют его злобные хакеры ;)

А если серьезно то:
1) аутентификации и шифрованию изобретенным или "улучшенным" в
Microsoft верить нельзя - в них постоянно уязвимости находят
2) уязвимости в реализации TS тоже имеют место.

Да и вообще я бы не стал выставлять в Инет никакой M$ сервис.
-- 

With Best Regards, Maxim Tyurin aka Bungarus
JID:	MrKooll@jabber.pibhe.com

Re[2]: [Comm] Тунель вроде как надо сделать

[subscribe]

Здравствуйте, Maxim.

Вы писали 29 октября 2004 г., 10:39:18:

>>>   В фирме стоит ALTLinux Master 2.2 и выполняет функции роутера, а
>> Если терминальный сервер хороший, то можно просто устроить
>> порт-форвардинг на него. 
MT> Нужно VPN поднимать. А какой именно зависит от ситуации.
MT> Лучше конечно IPsec. Но можно и PPTP.

MT> По IPsec VPN могу рассказать (правда сразу могу заметить что если
MT> клиенты Win9x то ждет большой облом).

  Клиенты скорее всего будут WinXP. Так что с этим проблем быть не
должно. Очень интересует расказ.


-- 
С уважением,
 subscribe                          mailto:subscribe@itcom.spb.ru

Re: [Comm] Тунель вроде как надо сделать

[Mike Lykov]

В сообщении от Пятница 29 Октябрь 2004 12:39 Maxim Tyurin написал:

> Лучше конечно IPsec. Но можно и PPTP.
>
> По IPsec VPN могу рассказать (правда сразу могу заметить что если
> клиенты Win9x то ждет большой облом).

А где-нибудь в инете ваш рассказ есть? ;)

-- 
Mike Lykov
Samara, "Vesna" parfum company, System administrator 

Re: [Comm] Тунель вроде как надо сделать

[Maxim Tyurin]

Mike Lykov <combr@vesna.ru> writes:

> В сообщении от Пятница 29 Октябрь 2004 12:39 Maxim Tyurin написал:
>
>> Лучше конечно IPsec. Но можно и PPTP.
>>
>> По IPsec VPN могу рассказать (правда сразу могу заметить что если
>> клиенты Win9x то ждет большой облом).
>
> А где-нибудь в инете ваш рассказ есть? ;)

Еще нет.
Я только введение написал.
Катастрофическая нехватка времени :(
-- 

With Best Regards, Maxim Tyurin aka Bungarus
JID:	MrKooll@jabber.pibhe.com

[Comm] Re: Тунель вроде как надо сделать

[Michael Shigorin]

On Mon, Nov 08, 2004 at 03:05:11PM +0200, Maxim Tyurin wrote:
> > А где-нибудь в инете ваш рассказ есть? ;)
> Еще нет.  Я только введение написал.
> Катастрофическая нехватка времени :(

А ты "дописал -- выложил". :)  Глядишь, кто за тебя писать
подхватится, пойдёшь в техредакторы. :)

-- 
 ---- WBR, Michael Shigorin <mike@altlinux.ru>
  ------ Linux.Kiev http://www.linux.kiev.ua/

Re: [Comm] Re: Тунель вроде как надо сделать

[Maxim Tyurin]

Michael Shigorin <mike@osdn.org.ua> writes:

> On Mon, Nov 08, 2004 at 03:05:11PM +0200, Maxim Tyurin wrote:
>> > А где-нибудь в инете ваш рассказ есть? ;)
>> Еще нет.  Я только введение написал.
>> Катастрофическая нехватка времени :(
>
> А ты "дописал -- выложил". :)  Глядишь, кто за тебя писать
> подхватится, пойдёшь в техредакторы. :)

Постараюсь на этой неделе дописать настройку основных видов туннелей
(p2p и rw) и тогда выложу. 
-- 

With Best Regards, Maxim Tyurin aka Bungarus
JID:	MrKooll@jabber.pibhe.com

Re: [Comm] Тунель вроде как надо сделать

[Dmitry Vodennikov]

Добрый день.

Thursday, October 28, 2004, 5:43:09 PM, Вы писали:

AT>   В фирме стоит ALTLinux Master 2.2 и выполняет функции роутера, а так
AT> же кэщширующего прокси. Все бы хорошо, но хочет руководство
AT> подключаться с разных мест и входить во внутреннюю сеть (иметь доступ
AT> к терминальному серверу).
AT>   Перерыл достаточно много документации, провел несколько
AT> экспериментов (на основании opennet), но все никак не получается
AT> сделать это по-нормальному.
AT>   Подскажите какими программами пользоваться (какие из родных) что бы
AT> настроить доступ.
AT>   У машины есть нормальный интернетовский адрес (213.170..).
AT>   Спасибо.
На сервере freeswan, на клиентах либо имеющиеся в win2000/xp средства
ipsec, либо pgpnet. www.freeswan.org
Но насколько я помню, в freeswan, который в составе 2.2 нет поддержки
сертификатов x509, которые как правило используются в связке
freeswan-win, а также нет патча, который закрывает туннель при
отсоединении win-клиента. Поэтому либо использовать freeswan в режиме
shared keys, либо я могу найти свой src.rpm для 1.99, сделанный из
оригинального альтовского, с прикрученными патчами для x509 и нотификации
отсоединения. Собирал под ядро 2.4.20-alt12 (хотя ядерные модули
freeswan этими патчами не затрагиваются).


-- 
Воденников Д.Ю.          http://www.dlv.rt.ru
 MCP+Internet

Re: [Comm] Тунель вроде как надо сделать

[Maxim Tyurin]

Dmitry Vodennikov <vod@dlv.rt.ru> writes:

> Добрый день.
>
> Thursday, October 28, 2004, 5:43:09 PM, Вы писали:
>
> AT>   В фирме стоит ALTLinux Master 2.2 и выполняет функции роутера, а так
> AT> же кэщширующего прокси. Все бы хорошо, но хочет руководство
> AT> подключаться с разных мест и входить во внутреннюю сеть (иметь доступ
> AT> к терминальному серверу).
> AT>   Перерыл достаточно много документации, провел несколько
> AT> экспериментов (на основании opennet), но все никак не получается
> AT> сделать это по-нормальному.
> AT>   Подскажите какими программами пользоваться (какие из родных) что бы
> AT> настроить доступ.
> AT>   У машины есть нормальный интернетовский адрес (213.170..).
> AT>   Спасибо.
> На сервере freeswan, на клиентах либо имеющиеся в win2000/xp средства
> ipsec, либо pgpnet. www.freeswan.org
> Но насколько я помню, в freeswan, который в составе 2.2 нет поддержки
> сертификатов x509, которые как правило используются в связке
> freeswan-win, а также нет патча, который закрывает туннель при
> отсоединении win-клиента. Поэтому либо использовать freeswan в режиме
> shared keys, либо я могу найти свой src.rpm для 1.99, сделанный из
> оригинального альтовского, с прикрученными патчами для x509 и нотификации
> отсоединения. Собирал под ядро 2.4.20-alt12 (хотя ядерные модули
> freeswan этими патчами не затрагиваются).

Можно взять мой бэкпорт
ftp://ftp.altlinux.ru/pub/people/mrkooll/backports/Master/2.2/
Как раз для 2.2. 
-- 

With Best Regards, Maxim Tyurin aka Bungarus
JID:	MrKooll@jabber.pibhe.com