Newsgroup: it.comp.os.linux.sys
Titolo: [Forse OT] VPN SSL

Mi hanno coinvolto in un progetto piuttosto grosso che dovrebbe essere 
basato su Citrix XenApp per la distribuzione delle applicazioni e un VPN 
SSL concentrator (forse una coppia in HA). Gli utenti saranno un 
centinaio, di cui una quindicina contemporanei. 
Su un altro cliente uso un firewall Fortigate che ha anche la VPN SSL, ma 
mi sembra un po' poco scalabile per questo progetto.
Pensavo di usare Citrix Access Gateway, che si integrerebbe nativamente 
con XenApp.
Avete feedback su questo prodotto?
Mi potete consigliare altri prodotti (alcuni amici mi hanno consigliato: 
Stonesoft, Watchguard o Sonicwall)
-- 
"Le opinioni dei fanatici prescindono dai fatti"
python -c "print 'bG9ybWF5bmFAZ21haWwuY29t'.decode('base64')"
Linux Registered User: 461615

 Stonesoft, Watchguard o Sonicwall)
Openvpn


Ci avevo pensato anche io, ma forse è meglio un appliance dedicato.

 Ci avevo pensato anche io, ma forse è meglio un appliance dedicato.
Cosa c'è di più dedicato di un firewall/router linux che fa girare solo 
openvpn ?


Giusto :-)


Forse intendeva le vpn che si fanno semplicemente collegandosi con il
browser al firewall e da dentro al browser tramite appositi programmini che
girano su browser puoi accedere alle applicazioni che stanno sulla rete
remota.

 Ci avevo pensato anche io, ma forse è meglio un appliance dedicato.
Già.
Io uso una mini-itx VIA EDEN e sfrutto l'accelerazione SSL del Via Padlock.
Linux Debian e openvpn, per l'appunto, e ti assicuro che tengo su un numero
di tunnel contemporanei ben più alto di 15.
Scriptino che manda via mail un file zip all'utente contenente:
- il file di configurazione già pronto
- il certificato della CA
- il certificato utente
- la chiave privata
e infine invia via sms la password della chiave.
Cosa vuoi di più, un Lucano? :-)

 remota.
Sì, infatti. Intendevo proprio questo tipo di VPN.
Non posso usare VPN con script "autoconfiguranti" perchè non gestisco
io i client, e anche se li gestisco io sono anche in Martinica o in
Arabia Saudita, non posso andare là se qualcosa va storto.

 Sì, infatti. Intendevo proprio questo tipo di VPN.
C'è SSLExplorer, anche se non è più sviluppato, in quanto
acquisito da Barracuda Networks:
http://sourceforge.net/projects/sslexplorer/files/

 S�, infatti. Intendevo proprio questo tipo di VPN.
Jupiter Networks ... immagino che coster� abbastanza, e il client 
funziona bene in windows, funziona cos� cos� con Linux, e funziona male 
su Leopard (in alcuni casi su Leopard non funziona per niente).
-- 
echo onailimissaM | awk 'BEGIN { FS = "" }
{ for (i = NF; i >= 1; i-- )
   printf $i }'; echo


Adito?!
http://sourceforge.net/projects/openvpn-als/
http://www.seepurity.com/?p=178

 
http://sourceforge.net/projects/sslexplorer/files/
Lo abbiamo usato per lungo tempo, le funzionalità erano molto complete 
ma le prestazioni lasciavano decisamente a desiderare.
All'epoca era partito almeno un fork ma non so se ha avuto seguito..
Ciao
Francesco

 All'epoca era partito almeno un fork ma non so se ha avuto seguito..
Trovato:
http://sourceforge.net/projects/openvpn-als/files/
Ma anche questo sembra morto..
Ciao
Francesco

Nel mezzo del cammin di nostra vita mi ritrovai con Francesco Bertani che
diceva

Sinceramente vista la criticità, preferirei un prodotto commerciale.



Hai due alternative citrix:
1) quello che hai detto tu (access gateway).
     Sotto forma di appliance hardware o sotto forma di appliance 
virtualizzato.
     Funziona bene e puoi anche fare tunnel vpn (aka: clientino che ti 
da accesso layer 2/3 alla rete aziendale)
2) Secure gateway, un reverse proxy che gira su windows, in bundle con 
xenapp,quindi gratis rispetto ad access gateway ma non supporta 
autenticazione, il che vuol dire che se hai la web interface su rete 
privata e il secure gateway in dmz, quando un utente da internet accede 
al secure gateway questo lo rigira direttamente sulla web interface, 
invece di porre una autenticazione come fa access gateway.
Puoi ad ogni modo metterlo sulla stessa macchina di xenapp e nattare la 
443 sul firewall.
Se non erro esiste una versione unix di secure gateway (non so se solo 
solaris o anche linux)
Per alternative open, userei openvpn.
Per qualsiasi altro reverse proxy xenapp deve essere configurato per 
parlare con il reverse proxy (sia esso access gateway o secure gateway)
e non se parla con generici reverse proxy (apache nginx ecc ecc)