Newsgroup: it.comp.sicurezza.windows
Titolo: ssh o vpn per vnc?

Ciao a tutti,
sto studiando come connettermi in modo sicuro ad un server vnc.
Il quadro è questo: Xp Pro SP2 con TightVNC eseguito come servizio.
Collegamento via adsl tramite un router in comodato della telecom.
Avevo letto che è consigliabile utilizzare l'abbinata ssh+vnc.
Ho cercato un po' per la rete e mi sono indirizzato su sshwindows (che
ho trovato su 
sourceforge.net
) che non richiede l'installazione di
cygwim. E sto iniziando a studiarlo.
Poi mi è venuto in mente che esiste anche vpn che dovrebbe creare
anch'esso un tunnel cifrato...
Ma non ho trovato nulla che mi aiuti nella configurazione e
nell'interazione con vnc... E quindi non so se si possa fare...
Qualcuno ha qualche esperienza o può indirizzarmi a materiale che possa
chiarirmi meglio le idee...?
Grazie a tutti
Alb

 dovrebbe creare anch'esso un tunnel cifrato...
<snip>
Beh, se ti serve solo usare VNC, ssh basta ed
avanza; una VPN normalmente si usa per creare
una vera e propria WAN nella quale le macchine
siano (più o meno) completamente raggiungibili
se poi vuoi crearti una VPN; a parte OpenVPN
potresti utilizzare IPSec che è nativo in windows
per la configurazione del quale potresti vedere
http://support.microsoft.com/kb/257333
Detto questo; per criptare il traffico VNC (ed altro)
esiste anche un'altro programma che ho già usato
diverse volte senza problemi, ossia ZeBeDee che
trovi qui 
http://www.winton.org.uk/zebedee/
 in questo
caso ti consiglio, dopo qualche test iniziale, di usare
la modalità "keyring" di ZeBeDee in modo che solo
i clients in possesso di una chiave valida (inserita
nel keyring del server) siano in grado di accedere
al tunnel ZeBeDee, questo ti fornisce un'ulteriore
livello di sicurezza
Ciao
-- 
* ObiWan
Microsoft MVP: Windows Server - Networking
http://www.microsoft.com/communities/MVP/MVP.mspx
http://mvp.support.microsoft.com
DNS "fail-safe" for Windows clients.
http://ntcanuck.com
408+ XP/2000 tweaks and tips
http://ntcanuck.com/tq/Tip_Quarry.htm

 diverse volte senza problemi, ossia ZeBeDee che
Cioè, usi questo in alternativa ad ssh?
Ci devo provare...
Grazie infinite
Alb

 Cioè, usi questo in alternativa ad ssh?
Si esatto, dato che non ho la necessità di aprire una
"command shell" e dato che SSH su windows per
quanto stabile non è esattamente "blindato" preferisco
di solito utilizzare ZeBeDee mappando poi i vari IP e
le varie porte "interne" che debbo raggiungere, in tal
modo una singola macchina con ZeBeDee può fungere
da "gateway" per accedere a più macchine su una LAN
tramite VNC o quant'altro (il tutto funziona anche con TS)
Ciao

 Avevo letto che è consigliabile utilizzare l'abbinata ssh+vnc.
Far viaggiare tcp incapsulato su tcp (come succede quando usi ssh
o, mi pare di ricordare, lo zebedee che ti ha consigliato ObiWan)
non e' il massimo. Penso che orientandoti verso OpenVPN su udp, o
verso l'implementazione nativa ipsec di windows potresti avere un
risultato migliore.
Fabio

 o, mi pare di ricordare, lo zebedee che ti ha consigliato ObiWan)
Beh .. con una linea ADSL non č che si noti poi molto; detto questo
si potrebbe anche pensare all'utilizzo di un programma tipo CIPE
http://sites.inka.de/sites/bigred/devel/cipe.html
 che incapsula tutto
il traffico su UDP solo che ... mi sembra esagerato per una semplice
connessione VNC (o TS/RDP che sia)
Ciao

 risultato migliore.
Non ho idea di come funzioni... mi puoi passare qualche link, in
italiano? :-)  E, soprattutto, credi che la configurazione del tutto sia
alla portata di un non-esperto?
Grazie per la disponibilità
Alb

 il traffico su UDP solo che ... 
Scusa... ma udp non č un protocollo non orientato alla connessione? (sto
studiando, e posso dire c******e, premetto), quindi non affidabile? 
Grazie
Alb

 che possa chiarirmi meglio le idee...?
se non hai bisogno di un desktop remoto SSH è senza dubbio la 
soluzione più semplice e più affidabile in assoluto. Per Win esistono 
dei prodotti free e anche a pagamento di ottima fattura 
(
www.winsshd.com
) 
 
-- 
Ciao, Dmitry

> Scusa... ma udp non è un protocollo non orientato alla connessione?
Si, solo che nel caso di (es.) CIPE viene usato per ridurre l'overhead
ed "accelerare" le comunicazioni, in pratica tutto il traffico (TCP incluso)
viene incapsulato in pacchetti UDP

 di un non-esperto?
Si. Il problema nel non essere esperto non sara' nel far funzionare
le cose, ma nel risolvere eventuali problemucci e nel garantire che
non ci siano problemi di sicurezza dovuti a cattive configurazioni.
Vedi le note sopra sullo studiare :-)
Fabio
[1] il problema e' quello dei timeout con cui scade la sessione udp
    per il router: dopo un po' di tempo che il router non vede piu'
    passare dei pacchetti udp, elimina dalle sue tabelle i dati che
    li riguardano; in certe configuazioni questo potrebbe portare a
    una caduta della connessione. E' un problema soltanto quando il
    _client_ e' dietro a un nat udp (non so come sia messo tu). Tcp
    di solito non e' soggetto a questo problema (il timeout per una
    sessione tcp e' normalmente molto piu' alto).
[2] es openvpn: 'ping n' con n < ttl delle sessioni udp del router.

 connessione VNC (o TS/RDP che sia)
AFAIR, CIPE non funzia su XP. A meno che, forse, non si possa fare
qualche pastrocchio usando il nuovo driver tun/tap di openvpn. Hai
fatto qualche prova?
Fabio

 fatto qualche prova?
No, hai ragione, avevo dimenticato che la macchina "server" è un XP
in effetti ad avere il tempo mi piacerebbe mettere le mani sul codice
del driver NDIS di CIPE e vedere se riesco a farlo andare su XP...
Ciao

 non ci siano problemi di sicurezza dovuti a cattive configurazioni.
Vale sempre la risposta di sopra... ;-)
Ti ringrazio infinitamente per la disponibilità...
Alb

 > [mega-cut]...
Ragazzi... quanto dovrò studiare... è difficile seguirvi in questi
discorsi... ma non demordo... ;-)
Ora inizio a fare un po' di prove e vediamo che succede... ;-)
Grazie sempre per la disponibilità...
Alb

 in italiano. Non ho sotto mano il link, dovrei cercarlo. Per ipsec ci
http://ouz.ath.cx/docs/
http://milano.linux.it/?page=contri
 (l'ultimo)