Newsgroup: it.comp.macintosh
Titolo: Cambiamo consulente IT ?

Siccome in uffcio (uno studio tecnico associato di 6 geometri +
segretaria) abbiamo l'esigenza di accesso ai dati dal'esterno (accesso
ai file, databese Filemaker, magari anche alle stampanti ed anche
amministrare alcuni servizi) stiamo valutando soluzioni e rischi.
Abbiamo contattato, come sempre, il rivenditore Apple di fiducia per una
consulenza ma lo stesso ci ha demandato ad un consulente IT che non
avendo molta conoscenza del 'mondo Mac' (per sua ammissione) ci ha
proposto una VPN basata su un software open source (secondo lui valida
quanto una hardware proprietaria con client software) e di installare un
server linux per la gestione della VPN lato server. Su questo
concentrerebbe anche il fax server, la gestione delle email ed il
monitoraggio/filtraggio dell'accesso internet (tutti servizi in più,
utili ma non indispensabili).
La soluzione software nasce dal fatto che i client dovrebbero comunque
essere software, perchè trattasi di 4 studi remoti (il cui uso saltuario
non giustifica nè un ADSL con ip fisso nè una soluzione VPN hardware),
il mio computer di casa e quello di alcuni miei colleghi, tra cui ci
sono sia Mac che PC.
Il mio dubbio è che il tutto sia perfettamente fattibile anche
direttamente sul nostro Server Mac OS X (10.3.9 server), soluzione che
sia a me che al titolere sembra preferibile per diversi motivi.
Ora vorrei un parere da qualche esperto se è il caso di cercarci
un'altro consulente/amministratore per avere ciò che riteniamo sia
meglio, o se la soluzione proposta dal consulente (per altro sicuramente
competente in ambiente win/linux) è comunque la soluzione migliore.
Personalmente ho l'impressione che il nostro Server sia sotto-sfruttato,
e che potrebbe tranquillamente gestire il tutto.
In fin dei conti, quando abbiamo implementato il server OS X, l'idea era
proprio che un giorno avremmo potuto gestire una situazione del genere
(oltre all'OpenDirectory e tutti i servizi locali in più che ci sono
rispetto al vecchio server OS 9 + ASIP).
P.S. C'è qualche consulente esperto Mac OS e reti che bazzica a Udine?

 sia a me che al titolere sembra preferibile per diversi motivi.
Non conosco molto bene OSX server, ma credo che rientri nelle sue 
possibilità creare una vpn software, anche usando software open source: 
http://openvpn.net/
 quindi senza scendere nei dettagli si: cambiate 
consulente :-P
scherzi a parte (ma mica tanto, cazzo mi sa che stanno iniziando a 
comparire i primi sistemisti linux point&click :-O ) ti ripeto non 
conosco bene i dettagli del posto, e di osx, ma in linea di massima è 
possibile
Luca

 CUT
Con OpenVPN IMHO e' possibile.
Azzardando, e sapendo che il crypto subsystem di OSX e' poi quello di
FreeBSD, direi che sono percorribili anche altre strade, ma non ho OSX a
mano e comunque non sono abbastanza esperto di Mac per dirlo (solo un
mese :).
Pero' se il consulente ti piace non stare a discutere le sue scelte
tecniche, se e' a suo agio con Linux lasciaglielo usare, non fargli
usare una piattaforma che conosce poco, tra l'altro quando e'
responsabile del suo lavoro. A te interessa il risultato, tra l'altro
Linux e' gratuito, ti va anche bene, una VPN non richiede grosso
hardware, per me risparmi con risultati equivalenti, e ti tieni tutti i
client Mac che vuoi.
  ngw
-- 
    nicholas  | Windows: "Where do you want to go today ?"
    _wieland  | Linux: "Where do you want to go tomorrow ?"
    @
yahoo.it
 | FreeBSD: "Are you guys coming or what ?"

 
http://www.techwork.it/
  (sono ad Udine, li conosco, sono in gamba)
Penso proprio che li contatteremo, grazie.

 aggiorni il sistema con software update e riavvii, mi da` i pruriti.
Inoltre: mettere tutto ma proprio tutto sullo stesso server non e' *mai*
una buona strategia. 
Il silicio costa talmente poco...
-- 
Quando c'era lui i treni partivano in orario
Quando c'era lui ci deportavano in orario

 una buona strategia. 
Probabile, ma molte aziende/studi delle nostre dimensioni lavorano
ancora con i documenti sparsi per le workstation (semplici PC o Mac che
siano), e conosco personalmente uno studio di architettura dove si
trasferiscono i file tramite floppy!
Il fatto di avere un server vero, con 2 HD in mirroring e un HD esterno
per backup giornaliero, anche se poli-funzionante (per il momento è File
server, OpenDirectory server, FileMaker server e servizi connessi), è
comunque tecnologicamente sopra la media, per realtà come la nostra da
queste parti. Non che non si possa fare di meglio, anzi, è proprio
nostra intenzione aumentare le potenzialità della nostra struttura IT,
ma vogliamo essere certi che le soluzioni siano rapportate al contesto.
Aggiungere un secondo server, avendone uno già bello totsto (un G5 1.6
con OS X server, 1,25Gb ram, HD mirror, ecc... lo è, facendo il
confronto con situazioni analoghe), ci sembra un eccesso... Oltre al
fatto che l'ufficio è piccolo (senza possibilità di ampliamento) e
d'estate il sistema di condizionamento non ce la fa più (quando sono
arrivato io, con un Quadra 700, 1 Mac IIci ed un Mac IIsi, collegati in
LocalTalk quando le reti locali erano ancora sconoscitue ai più, bastava
un pinguino)

 trasferiscono i file tramite floppy!
Si questo è vero, la situazione di molti studi professionale spesso è 
ancora agghiacciante, nonostante, come ha detto il sembro, il silicio 
costi poco, e le ragioni che spesso ho riscontrato purtroppo sono 2, la 
pigrizia mentale degli utenti, che spesso minimizzano i miglioramenti, e 
si trincerano dietro un "tanto va bene lo stesso", e purtroppo una 
grossa fetta di consulenti "superesperti" che fanno preventivi milionari 
, magari solo per installare una adsl e configurare gli accessi 
centralizzati.
Detto questo, beh il fatto dello spazio non è un grosso problema, una 
macchina mini-itx o similare occupa più o meno lo spazio di un mac mini, 
e basta e avanza per il compito che deve svolgere, altrimenti, è 
possibilissimo far fare il lavoro al server già esistente (benchè non 
consigliabile, ma tu avevi chiesto questo no?)
Luca

 consigliabile, ma tu avevi chiesto questo no?)
Sì, volevamo capire meglio i pro e i contro, visto che il consulente ha
detto che scartava l'idea principalmente perchè non esperto di Mac.

 scrivi a: assistenza (at) 
techwork.it
Domani ci troviamo in studio, e vediamo cosa ne nasce. Comunque da un
primo contatto, sembra che ritengano fattibile/proficuo la soluzione con
il solo Server OS X.

 detto che scartava l'idea principalmente perchè non esperto di Mac.
Beh sai qualche dubbio mi è sorto su questa motivazione, visto che (con 
le dovute differenze) chi già conosce linux su un mac solitamente è in 
grado di orientarsi senza grossi problemi, cmq mi sembra che la 
questione ormai sia in fase di soluzione giusto?
Facci sapere come va
Luca

 Facci sapere come va
OK.

 Perchè?
Ciao,
la macchina che fa da security gateway (cioè quella che, in tutta
sicurezza, apre l'accesso alla tua rete interna da Internet) è una
macchina a rischio perché necessariamente aperta ed esposta.
Se ben configurato potrebbe funzionare anche il tuo server interno, ma
ogni singola modifica futura della configurazione (l'installazione di
una qualsiasi applicazione) richiederà particolare attenzione perché
potresti rischiare di compromettere la sicurezza dell'intera rete.
Uno dei principi base della sicurezza è l'hardening (ovvero
l'irrobustimento dell'architettura); nel tuo caso specifico questo
significa che è meglio avere un security gateway che faccia solo quello
e che non continuamente usato per fare altro.
Concordo quindi con il consulente IT.
Se non vuoi scialaquare (e ti assicuro che viste le dimensioni non ne
hai alcuna necessità) in costose appliance dedicate una soluzione Linux
è probabilmente la risposta migliore.
Personalmente ti consiglio di di provare IPCop ( 
www.ipcop.org
 ), una
minidistrubuzione linux pensata ad-hoc per fare da firewall e security
gateway.
Ti scarichi liberamente l'immagine del CD, lo infili nel PC, riavvii e
dopo una decina di minuti il tuo security gateway è pronto e
funzionante.
Ti resta da configurare la VPN, ma se vagamente sai cosa stai per fare
non ci metti più di ulteriori 10 minuti(si opera in modo molto semplice
ed intuitivo da un'interfaccia WEB). Insomma se hai un'idea di come
funziona la cosa non sono più di 20 minuti di lavoro (30 con il
testing...). IPCop è free.
Con IPCop puoi sia realizzare tunnel VPN fra due reti con due SG (uno
per rete) oppure (ed è quello che interessa a te) usarlo in modalità
Road Warrior (cioè un singolo PC/MAC è proiettato all'interno della tua
LAN). Chiaramente le due modalità possono coesistere.
Puoi realizzare l'autenticazione  sia tramite chiave segreta condivisa
che tramite certificati digitali a crittografia assimetrica (te li puoi
anche autogenerare senza la necessità di doverti appoggiare ad una CA).
Se ti spaventano consumi e dimensioni del PC considera che la puoi
montare in un PC miniitx (poco più grande di un mini) e puoi fare il
boot anche da chiavetta USB o da CF senza dover usare un HD; ci sono
soluzioni già pronte in tal senso.
Altrimenti LinkSys (brand low-cost di Cisco) in alcuni suoi Router ADSL
usa linux (nel WRT54G ad esempio) e ci monta lo stesso IPSec (protocollo
per realizzare VPN) usato da IPCOP.
In pratica questo significa che con una scatoletta (che potresti già
avere in ufficio)  dall'ingombro e dai consumi irrisori (e dai costi
contenuti 100€-200€) hai risolto il tuo problema.
Sia usando IPCop che usando un router Linksys, sapendo cosa ci si
accinge a fare, si tratta di meno di 30' di lavoro.
Spero non ti abbiano chiesto, compresa l'analisi ed il testing finale,
più di qualche (pochi) centinaio di euro.
ciao
-R 
PS:
Un paio di link in merito:
http://www.ipcop.org/modules.php?op=modload&name=phpWiki&file=index&page
name=IPCop140RoadWarriorVpnHowto
http://www.ipcop.org/modules.php?op=modload&name=phpWiki&file=index&page
name=IPCop140BlueVpnHowto
http://www.tldp.org/HOWTO/html_single/Linksys-Blue-Box-Router-HOWTO/

 Perchè?
Ti faccio una piccola premessa per capire con chi stai parlando: io
provengo da Linux, sono affezionato alla "MIA" distribuzione linux tanto
da portarmela su Mac e sono fortemente convinto che per qualunque tipo
di server leggero linux sia preferibile.
Per rispondere alla tua domanda cerco di farti bene la storia del mio
pensiero, se hai domande resto a disposizione.
Una soluzione Mac-oriented e' preferibile ad una linux-oriented
soprattutto quando hai assoluta necessita' di avere un unico server che
gestisca tutto: capita frequentemente ed e' spesso una soluzione
ottimale perche' ti fornisce ampia ridondanza (ha 3 o 4 dischi da
mettere in mirror, 2 schede di rete, doppia alimentazione, ecc...) e
resistenza ai guasti (se un solo server fa tutto ed hai due server
gemelli e' ben difficile che entrambi abbiano un problema insieme).
Quello che purtroppo non ti fornisce e' _sicurezza_. Una soluzione del
genere va bene per una rete chiusa (sempre secondo me) mentre quando la
rete e' aperta penso che sia meglio interporre tra la intranet ed
Internet una macchina non fondamentale che possa subire i colpi che
provengono dall'esterno senza penalizzare il lavoro che deve essere
svolto dal server centrale (il cosiddetto HW-Server cioe' il server
necessario al lavoro delle risorse umane).
Sebbene le motivazioni siano superficiali e poco convincenti, io credo
che il consulente linux ti abbia consigliato bene.
Spero di esserti stato utile
EmJey
-- 
Non prendere la vita troppo sul serio... non ne uscirai mai vivo
http://www.joram.it/servizi/consulente.htm

 testing...). IPCop è free.
C'e' anche m0n0 (
www.m0n0.ch/wall
), ma non ricordo se permette di creare
le VPN (sono quasi sicuro di si pero').
-- 
Yoda of Borg am I! Assimilated shall you be! Futile resistance is, hmm?