Newsgroup: it.comp.reti.locali
Titolo: Collegamento VPN che veda solo i server e non tutta la lan

Salve,
 
sono diversi anni che non configuro da zero una VPN, il mio forte è 
OpenVPN perché la posso tirare su da qualsiasi dispositivo e la stessa 
la facevo girare sempre su Debian con un certificato specifico per ogni 
utente.
 
La mia esigenza è quella di far collegare gente da remoto che veda ad 
esempio solo determinate risorse ovvero il server "X" piuttosto che il 
server "Y" quindi nessun'altro dispositivo in rete, una sorta di client 
isolation del wifi.
 
A dirla tutta una situazione del genere sarebbe interessante anche in 
rete locale potendo dare accesso ai singoli client solo alle stampanti 
ed a determinati server.
 
Gli switch sono tutti managed quindi ok per le vlan poi per il resto ho 
delle idee che potrei concretizzare con iptables ma aspetto il vostro 
parere! :)
 
Saluti.
^Bart


 
angelo

 angelo
 
Saluti.
^Bart

 regole sul firewall?
 
mi sembra che ti risponda nelle prime righe dell'articolo linkato:
 
"The basic approach we will take is (a) segregate each user class into its own
virtual IP address range, and (b) control access to machines by setting up
firewall rules which key off the client's virtual IP address.
 
In our example, suppose that we have a variable number of employees, but only
one system administrator, and two contractors. Our IP allocation approach will
be to put all employees into an IP address pool, and then allocate fixed IP
addresses for the system administrator and contractors."
 
-- 
this is a random signature

 ^Bart
 
angelo

 angelo
 
Saluti.
^Bart

 addresses for the system administrator and contractors."
 
Non avevo letto con attenzione, chiedo venia! :)
 
Saluti.
^Bart
 

 personalizzate per ciascun indirizzo della sub vpn.
 
domanda da niubbo (potrei aver scritto una fregnaccia per cui fatemelo 
gentilmente notare, grazie)
 
se il server ha una risorsa di rete al di fuori del range mappata con 
una lettera, l'utente che si collega con la VPN può accedervi o no?
 
 e se fosse un Hard link, oppure uno Junction point o ancora un 
Symbolic link? (sempre che sia applicabile a una risorsa di rete)
 
-- 
/-\ /\/\ /\/\ /-\ /\/\ /\/\ /-\ T /-\
-=- -=- -=- -=- -=- -=- -=- -=- - -=-
........... [ al lavoro ] ...........

 link? (sempre che sia applicabile a una risorsa di rete)
 
L'accesso esclusivo viene realizzato per ogni client VPN sulla base di 
indirizzi IP o, se il router lo consente, per indirizzo fisico.
L'accesso su dati o cartelle specifiche dipende dall'host su cui 
risiedono, per esempio il mio NAS puo' gestire i servizi e l'accesso 
alle cartelle condivise sulla base degli indirizzi IP dei client, nello 
specifico dell'indirizzo IP del client VPN che si connette.
 
angelo
 
 

 con il SSO+MFA anche sulla VPN.
 
ldap. per l'mfa invece dipende da cosa ti permette di usare il pfsense
(o comunque il server vpn)
 
oppure visto che adesso va di moda vai di ztna... :-)
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo ema@il non è da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente

 oppure visto che adesso va di moda vai di ztna... :-)
 
Effettivamente è pieno di articoli che ne parlano, sinceramente in 
informatica le novità mi fanno storcere il naso e solo dopo qualche anno 
se ancora sono in piedi valuto se iniziare ad adottarle o quantomeno 
iniziare a testarle! :)
 
Saluti.
^Bart
 

 angelo
 
Saluti.
^Bart
 

 "semplicemente" dividere le reti.
 
Nel mio caso il server openvpn gestisce il classico accesso con diversi 
certificati che io uso per i miei accessi remoti a tutta la LAN con 
indirizzo vpn 
172.16.1.0/24
.
In piu' ho creato un paio di accessi "speciali" come nell'esempio di 
openvpn che hanno ciascuno un proprio indirizzo di vpn (
172.16.121.2/30
 
e 
172.16.121.6/30
) che presentandosi in LAN con un proprio indirizzo ip 
sono filtrati dal firewall per accedere solo a un unico host.
Il fatto poi di avere ciascuno un proprio indirizzo impedisca di vedersi 
tra di loro.
Penso che sia cio' che serve anche a te.
 
angelo
 

 iniziare a testarle! :)
 
vuoi prendere un server asus per fare il "nuovo" e poi ti fai delle
pippe sulla ztna??
comunque visto che mi pare di capire vuoi farti tutto in casa non è
una soluziona percorribile, visto che ztna è un qualcosa che ogni
brand declina a modo suo.


 tramite e non da controller... :\
 
Crea gruppi ad hoc su AD, ci meti gli utenti e fai puntare PFsense
a quei gruppi.
 
Bye, G.