Newsgroup: it.comp.sicurezza.windows
Titolo: Accesso lan da remoto

Ciao a tutti,
sono un newbie e lurko da tempo qui per imparare qualcosa...
Avrei una questione da sottoporre:
Nel mio ufficio abbiamo una rete interna di topologia gruppo di lavoro;
c'è una macchina principale con hard disk condiviso... L'accesso ad
internet avviene con una borchia Pirelli Age 'qualcosa' e un adsl smart
di telecom con ip fisso...
La mia intenzione sarebbe quella di accedere alla rete anche da casa sia
per lavorare ai miei files sia per "assistenza" se qualcuno dei colleghi
ha dei problemi... (hanno affibiato a me la realizzazione della rete,
perché 'smanetto' un po' più degli altri)...
Però non so da dove cominciare.
Avete qualche suggerimento o link a documentazione, in italiano, che mi
aiuti in questa direzione e soprattutto tenga d'occhio le misure minine
di sicurezza?
Grazie a tutti
Alb

Però non so da dove cominciare.
Devi configurare il router in modo che faccia PAT (DNAT) instradando il
traffico dalla porta 5900 (del router) alla porta 5900 del tuo PC messo
in ufficio (avra' indirizzo, suppongo, 192.168.x.y?).
SOLO la porta 5900 per carita', altrimenti Dio solo sa cosa entra :-|
A quel punto su quel PC installi TightVNC (
www.tightvnc.org
), metti una
password complicata, e sul PC di casa tua installi il Viewer di VNC. Da
casa, lanci il viewer, metti l'IP dell'ADSL Smart, digiti la password e
ti trovi sul desktop in ufficio.
In rete trovi una VNC FAQ di Carlo Luciano Bianco (
www.google.com
).
Qui qualcosa su un Pirelli Age, spero sia il tuo.
 
http://www.puntoadsl.net/router/pirelli.html
L'unica cosa che ti serve di quella pagina e' l'ultima, Virtual Server,
un ennesimo nome del PAT (o DNAT, o SUA, o "voglio entra' da fuori").
Ah, a proposito di sicurezza, la password del Pirelli l'avete cambiata?
Perche' di serie ce n'e' una che conoscono tutti (be', tranne me... non
m'e' riuscito trovarla su Google :-} )
Leonardo
-- 
In nessun caso Microsoft, o i suoi fornitori, saranno responsabili per
[...] omissione di rispetto di obblighi, incluso quello di comportarsi
in buona fede o ragionevole diligenza
                                     -- Contratto di Licenza Microsoft

 Perche' di serie ce n'e' una che conoscono tutti...
Sě, l'ho cambiata ;-)
Grazie per la spiegazione, mi sembra molto chiara...  ora devo solo
metterla in opera... Speriamo bene :-)
Grazie ancora
Alb

 ti trovi sul desktop in ufficio.
Ok... ho seguito per filo e per segno le istruzione... ma non mi riesce
di connettermi... 
Non sarà un problema il fatto che provo da casa, dove ho un collegamento
fastweb? E se questo fosse un problema, c'è modo di risolverlo?
Grazie sempre  a tutti
Alb

Tra l'altro, mi viene il dubbio che anche l'indirizzo che ho dell'adsl
smart sia "nattato"... non mi riesce di pingarlo e sono sicuro che il
router sia acceso... Non mi riesce neanche il telnet all'ip per
l'amministrazione...
C'è un modo per far funzionare il tutto?
Grazie
Alb

 C'è un modo per far funzionare il tutto?
tutto da riconsiderare... ieri sera avevano spento tutto... router
compreso...
Infatti oggi riesco a loggarmi alla borchia pirelli.
Solo che tentando di avviare la connessione sull'ip della borchia,
settando la porta 5900:0 e con la password giusta, mi si chiude tutto
dicendo che l'host ha interrotto la connessione!
Credo di aver sbagliato qualcosa, ma non so dove.
Su ThingVNC ho lanciato il server che ha settato in auto le porte 5900
(main) e 5800 (http)... sul router ho creato un id sull'opzione virtual
server con queste impostazioni 
Public port: 5900  Private port: 5900  Port type: Tcp/ip  Host ip
andress: ns_ip
E' corretto? 
Grazie a tutti
Alb

 Infatti oggi riesco a loggarmi alla borchia pirelli. [...
Se non lo hai gia' fatto, considera di fare le prove dall'ufficio uscendo
con una connessione analogica. Avere davanti entrambi i pc e' molto piu'
comodo, inoltre elimini il dubbio che fastweb ti blocchi in uscita.
Ciao
-- 
enoslx

 comodo, inoltre elimini il dubbio che fastweb ti blocchi in uscita.
Ok... giusto.
Ma credi che i settaggi che ho indicato nel mio precedente post sia
corretti?
Mi ha lasciato un po' dubbioso il fatto che ThingVNC indichi due porte
la 5900 e la 5800 differenziandole come main e http (e non ho capito
cosa intenda)...
Grazie per la disponibilità
Alb

 cosa intenda)...
A vnc si puo' accedere in due modi: con il viewer tradizionale (5900)
e con un browser (http sulla 5800)
Se leggi la documentazione scopri anche come, se ti interessa.
-- 
           |Save our planet!
    Ciao   |Save wildlife!
   roberto |For your E-MAIL use ONLY recycled Bytes  !!
           |roberto poggi   
rpo...@softhome.net

 Se leggi la documentazione scopri anche come, se ti interessa.
Grazie per la info... :-)
Alb

 Tre, zio: anche su tunnel ssh :-)
La cosa inizia a farsi sempre più interessante... ;-)
Alb

 Tre, zio: anche su tunnel ssh :-)
Non vale.
Se sai come farti un tunnel, qualunque software ci gira dentro.
Non e' una caratteristica di vnc.
Con un po' di buona volonta' lo si potrebbe usare anche incapsulato
dentro a pacchettini ICMP.
Le prestazioni non sarebbero un granche', in realta'. :-)


Credo di aver sbagliato qualcosa, ma non so dove.
E' strano perche' se ti CHIEDE la password vuol dire che al server ci
si e' collegato, e tutti i settaggi sono corretti.
Uhm... la password e' quella buona, sei sicuro, si'? :-)))
Leonardo (qualche volta io mi sono incartato col Caps Lock...)


 su tunnel SSH, ne convieni zio :-)?
No. :-)
Io ci facevo passare TUTTO il traffico della rete della sede remota,
compresi i broadcast samba.
Tuuto su una piiiiicccola porticina 22. ;-)


 SSH che sono proprio curioso ;-)
Semplicita' di architettura, anche se a discapito (leggero) delle
prestazioni.
Da un lato e dall'altro del tunnel, condivisioni di hd e stampanti (in
particolar modo era utile per le stampanti del gestionale, centralizzato
nella sede principale) senza nessun bisogno di controllori di
dominio, wins server, eccetera.
In un paio di giorni, senza aggiungere altro che due pentium 133 ai
due lati del tunnel, le due reti esistenti si comportavano ne' piu'
ne' meno come se fossero una sola.
Poi, con calma, l'architettura di tutta la rete e' stata rifatta con
altri obiettivi. Ma in quel momento serviva subito, e che funzionasse.


 si e' collegato, e tutti i settaggi sono corretti.
No...
è direttamente nel front-end grafico di "chicken of the VNC" che
inserisco indirizzo ip, display e password...
Tra l'altro, ora, l'ultimo errore che mi ha dato è stato questo:
"Unknown rectangle encoding 1358954496 ->exiting" ed un altro:
"Inflate error: unknown compression method"... 
Bah... non so, tra l'altro ancora non ho avuto modo di provare di
contattare il nostro router da una connessione analogica e, quindi,
fuori da fastweb
Alb

"Inflate error: unknown compression method"... 
Sembrerebbero errori di trasmissione - o stai usando un server di tipo
diverso e incompatibile (ma mi suona strano) con cui CoTVNC parla poco
e male; oppure i pacchetti si danneggiano per strada (ma e' curioso il
fatto che cio' non dia errori di CRC e ritrasmissione automatica senza
che nemmeno tu te ne accorga).
Ma a vedere il desktop non ci arrivi neppure?
Leonardo


 Ma a vedere il desktop non ci arrivi neppure?
Assolutamente no... mi appare solo un display nero e poi il messaggio
d'errore...
Bah...


d'errore...
Dunque: il server (la macchina che vuoi controllare) e' un Windows, mentre
a casa hai un Mac OS X, dico bene?
Fai una prova, dall'esterno, con un *altro* client TightVNC della versione
che hai sul server, da una macchina Windows (o fattelo fare da un amico PC
munito). Se cosi' funziona e' un problema di Chicken-of-VNC e magari lo si
puo' risolvere installando un altro server, non TightVNC ma VNC semplice o
cose simili, e con un tunnel SSH per riacquistare la compressione.
Se non funziona in nessun modo, prova con un client dalla rete interna. Se
non funziona nemmeno cosi' e' installato male il server o c'e' un problema
tipo firewall o software in conflitto.
Dopo di che, si comincia con i sacrifici umani :-)
Leonardo
-- 
Microsoft divulghera' le tue informazioni personali senza previa notifica,
se richiesto per legge o nella ferma convinzione che tale azione sia
necessaria per [...] proteggere e difendere i diritti [...] di Microsoft.
                             Accordo di Licenza di Microsoft Messenger 6.1

 cose simili, e con un tunnel SSH per riacquistare la compressione.
Hai ragione... oggi ho provato a fare delle prove utilizzando le tue
stesse indicazione ed infatti funziona... quindi, per quanto mi
riguarda, il problema era di CoVNC. Utlizzando VNCThing, su MacOS X,
tutto funziona bene...
Quindi, se ora volessi esagerare, e volessi controllare anche i clienti
della lan, che tipo di settaggio dovrei usare?
Il settaggio di "Virtual Server" del route è settato per accedere un un
preciso indirizzo ip interno... e se volessi accedere anche agli  altri?
Cambio numero di porta? Che so, 5900 +1? o cambio il numero del display?
Grazie ancora a tutti per la pazienza e la disponibilità che mi avete
accordato...
Alb

Cambio numero di porta? Che so, 5900 +1? o cambio il numero del display?
Eh. Casino da racconta'.
Hai tre possibilita'.
Se il router ha abbastanza porte, gli metti 5901 -> PC_2, 5902 -> PC_3 e
cosi' via. Sul tuo PC imposti come display "router:1", "router:2", e via
dicendo. I PC_2 ecc. vanno configurati con la porta apposita. Oppure, se
il PAT lo consente, mappi 5901 -> PC_2:5900, 5902 -> PC_3:5900 e tutti i
client sulla stessa porta 5900, che e' piu' comodo da gestire.
Se non ne ha abbastanza, su un PC che sia acceso sempre installi SSHD (o
quello di Cygwin o MWin o altri cloni), con chiave crittografica e tutti
pizzi. A quel punto, sul tuo PC installi SSH (per Windows: PuTTY), leggi
l'ottima FAQ di Carlo Luciano Bianco su Google, e vai di tunnel (imposti
su SSH la porta locale 5901 sulla remota PC2:5900, la 5902 su PC3:5900 e
cosi' via. Sul tuo client, ti connetti a "localhost:1", "localhost:2", e
cosi' via.
In questo caso o metti VNC a compressione zero e SSH a compressione top,
oppure viceversa... non ricordo quale funzionava meglio come velocita' e
responsivita'. Tutti e due insieme fanno peggio, di questo sono sicuro.
Terza possibilita', ti colleghi al tuo PC in ufficio, e di li' entri nel
menu di amministrazione del router e aggiungi una seconda canala, sempre
la stessa ma ogni volta su un client diverso :-))); router:0 ti manda al
tuo PC, router:1 (dubbio: forse devi usare QUATTRO punti, ::1? Boh, vedi
il manuale) ti manda al PC di... turno.


 Hai tre possibilita'. [cut]
Grazie... mi sembra molto chiaro.
Oggi mi metto al lavoro e faccio sapere.
Grazie infinite :-)
Alb

 Oggi mi metto al lavoro e faccio sapere.
Ho subito un dubbio.
Nel pannello "Virtual Server" del router Pirelli, ci sono due campi che
non mi sono molto chiari.
"public port" e "private port".
Supposto che vorrei adottare questa tipo di impostazione: PC2 ->
portavnc:5902, PC3 -> portavnc:5903 e cosě via... la porta "pubblica" da
indicare č quella relativa ai singoli PC o quella generica 5900 e la
"private port"..
Avendo usato finora i settaggi di vnc per controllare una singola
postazione e, avendo lasciato tutto di default - public port:5900,
private port:5900 -, non mi č molto chiaro...
Grazie ancora
Alb

"public port" e "private port".
Pubblica e' quella pubblica, visibile all'esterno; privata e' quella
interna.
Internamente saranno tutte 5900 (VNC default).
Esternamente metti 5902, 5903, ... e gli indirizzi dei PC in SUA.
Cosi' hai:
	Extern  Public     Int Private
	pirelli:5902	-> PC2:5900
	pirelli:5903	-> PC3:5900
	...
