Newsgroup: it.comp.reti.locali
Titolo: openvpn e sicurezza

Una domanda da inesperto: secondo voi è sicuro mappare una porta wan verso 
il server openvpn (server principale con dati aziendali)?
La configurazione sarebbe questa:
dev tap
lport 5000
ifconfig 192.168.2.1 255.255.255.0
route 192.168.2.0 255.255.255.0 192.168.2.1
cipher DES-EDE3-CBC
secret /etc/openvpn/lamia.key
verb 9
no-replay
persist-tun
comp-lzo
Grazie
Fabio 

 dati aziendali)?
Dipende da quel che devi fare; considera che creare un tunnel
VPN tra un server contenente dati "sensibili" ed un qualsiasi host
o rete esterno/a terminando tale VPN sul server stesso significa
esporre all'interno della VPN *tutte* le porte (ed i relativi servizi)
del server; quindi, se devi ad esempio pubblicare soltanto dei
ben determinati servizi (es. su HTTP o FTP o...) sulla VPN
potrebbe essere un'idea saggia terminare la VPN stessa a
"monte" di un firewall e poi creare delle regole per "allow" e
"forward" del SOLO traffico desiderato/ammesso

 "forward" del SOLO traffico desiderato/ammesso
E' un'idea sicuramente interessante, potrei mettere il server vpn in dmz ed 
aprire solo le porte indispensabili, l'unico problema è che mi tocca tenere 
acceso un server solo per la vpn (1 client, ovvero io per l'accesso remoto 
in caso di problemi).
Se invece attivassi openssh su un client win xp in lan e lo utilizzassi 
tramite servizi terminal che ne dici? Sicuramente se qualcuno riesce a 
bucare è in lan... e non è bello, però attiverei il firewall con la sola 
esclusione dei servizi terminal.
Ciao e grazie
Fabio

 attiverei il firewall con la sola esclusione dei servizi terminal.
Si ma a quel punto che vantaggio avresti ? Se uno ti arrivasse
su RDP potrebbe fare quello che gli pare sul server

 su RDP potrebbe fare quello che gli pare sul server
Diciamo che non avrebbe la password di root del server.
Avresti da consigliare un mini pc magari installabile a rack su cui 
installare ubuntu minimale o debian per fare da VPN server?
Mi scoccia mettere un server che consuma un patrimonio solo per 1 client 
VPN, anche perchè tutti i servizi proxy, filtraggio traffico, antivirus, 
ecc. li ho già sul server principale e non ho necessità si spostarli (il 
server è sovradimensionato per quello che deve fare).
Ciao
Fabio 

 installare ubuntu minimale o debian per fare da VPN server?
Prova a dare un'occhiata qui 
http://linitx.com/

 Prova a dare un'occhiata qui 
http://linitx.com/
Ottimo, grazie!
Fabio 

Visti i prezzi e tempistiche penso andrò su un prodotto tipo questo (mini 
pc):
http://www.misco.it/store/acer-ps.vbgec.005-veriton-n281g-s123108.html
dichiarano 65w ma presumo conumerà anche meno, dato il carico.
Ci sono controindicazioni? Come pc mi sembra sovradimensionato :-) 

Nel suo scritto precedente, -Fabio- ha sostenuto :

Quale sarebbe di preciso? Nel link che hai postato ce ne sono 
diversi...


occhio, ti serviranno almeno DUE interfacce di rete (tre se vuoi avere
anche la screened-network - normalmente chiamata DMZ); un box
con una sola interfaccia di rete non ti servirà allo scopo

 Quale sarebbe di preciso? Nel link che hai postato ce ne sono diversi...
L'hanno tolto dal catalogo.
Era un pc minimale con 1Gb ram, 250G di hd e una versione windows like di 
linux.
Ciao
Fabio

 con una sola interfaccia di rete non ti servirą allo scopo
Io pensavo di collegarlo all'interfaccia dmz del firewall "hardware" e poi 
configurare tutte le regole necessarie sia verso wan che verso lan. Dici che 
in questa situazione servono due interfacce di rete?
Ciao
Fabio 

Era questo:
http://www.eprice.it/PC-Desktop-ACER/s-3251018
speriamo non sparisca anche da qui.
ACER VERITON N281G
Ciao
Fabio 

 lan. Dici che in questa situazione servono due interfacce di rete?
Ah ... avevo capito male, scusa; in pratica lo useresti come endpoint
VPN e per fare routing verso il server ... beh a questo punto potresti
anche usare un box con una singola NIC; occhio solo alle regole di
filtraggio ED al routing :)

 filtraggio ED al routing :)
Mi sa che essendo alle prime armi con le vpn, qualche rosario meditato ci 
sarà tra routing, nat e regole del firewall.
Grazie ancora dell'aiuto e dei consigli.
Fabio 


Dovrebbe bastare per le tue esigenze...

 installare ubuntu minimale o debian per fare da VPN server?
Vai con un ALIX con su pfSense. Vedi:
http://www.pcengines.ch/
http://shop.varia-store.com/index.php?cat=c113_ALIX--PC-Engines.html
http://www.pfsense.org/
-- 
Per rispondere, togliere -NOSPAM- dall'indirizzo.

 
http://www.pfsense.org/
Ho visto che ci sono sistemi alix con pfsense preinstallato ed a prezzi 
interessanti.
Ti ringrazio dell'ottima segnalazione.
Ciao
Fabio 

 Ti ringrazio dell'ottima segnalazione.
Prego.
E se non l'avessi visto, per provare pfSense puoi scaricarti la VM.
