7rgio Jun 24 2011 at 01:26

Защищенный канал передачи данных с помощью самоподписанных SSL-сертификатов и Stunnel

4 min

33K

System administration*

From sandbox

+16

Comments 29

crea7or Jun 24 2011 at 01:46

C openssl куда проще чем с вашим xca.

7rgio Jun 24 2011 at 01:58

Прелесть XCA заключается в том, что у него есть GUI. Его можно установить, например, отделу безопасности, и передать функции выдачи и отзыва сертификатов на него. Тем самым упрощая жизнь себе.

Andrey_Zentavr Jun 24 2011 at 02:30

Есть чё-нить веб-гуёвее?
PHP CA не понравилось, а мощную EJBCA поставить не осилил :(

bondbig Jun 24 2011 at 08:20

Самоподписанным является, по определению, только сертификат корневого УЦ. Любого, хоть verisign. Остальные сертификаты подписываются им и называть их самоподписанными некорректно.
К слову, я бы решал эту задачу иначе. В комплекте с openvpn, например, есть отличный набор скриптов к openssl для организации собственного УЦ, там даже школьник осилит. А клиент для него есть практически под любую ОС. Это если уж мутить пользователям клиента специального.
А так еще лучше поднять l2tp/pptp, встроенный клиент есть в винде и всяких айфонах/андроидах.

FilimoniC Jun 24 2011 at 10:34

l2tp/pptp

Вы про сорок-седьмой протокол забываете. С ним часто геморройно.

bondbig Jun 24 2011 at 11:51

Зачем так таинственно обычный GRE называешь? -)
Проблемы бывают, но в последнее время даже у сотовых операторов я проблем не встречал. А если где-то только через прокси, то первый вариант с openvpn запросто работает в таких условиях.

7rgio Jun 24 2011 at 12:03

Зато проблем хватает во всякого рода отелях, гостиницах и бесплатных wifi. Которыми в основном и пользуется клиент находясь за границей.

bondbig Jun 24 2011 at 12:06

Я по отелям нечасто бываю, но проблемы редко возникают, только если в отеле через прокси. А с openvpn ни разу не было.

xforce Jun 24 2011 at 18:30

уж опенвпн пролезает вообще через все возможные и невозможные щели

past Jun 24 2011 at 12:43

С удивлением обнаружил, что виндовая версия easy-rsa из опенвпна не работоспособна. До этого 5 лет на линуксе ключи генерил, все было ок.

xforce Jun 24 2011 at 18:31

работоспособно всё… сколько лет генерили в разных версиях на разных виндах — всё работало

Helda Jun 24 2011 at 16:37

Гм. глупый вопрос: из какой OS публикуются приложения? По мне, для винды на порядок проще испрользовать Remote Desktop Web Connection.

intnzy Jun 24 2011 at 17:33

Чего только люди не придумают, чтобы openVPN не использовать…

TerVaN Jun 24 2011 at 17:38

А если руководство попросит сделать доступ ко внутренним ресурсам с ЛЮБОГО компьютера на мальдивских берегах?

bondbig Jun 25 2011 at 14:21

Будет бодро послано… принимать риски публикации сервисов в интернете.
Есть, конечно, варианты WebSSL-туннелей, но они глючат с завидной частотой и требуют всякую нечисть на вроде java re.
Можно внутри https-сессии открывать «песочницу» а-ля десктоп винды (на деле некое подобие облачных ОС), подобное решение есть в составе Checkpoint Connectra, например. Но это уже не так удобно и прозрачно.

TerVaN Jun 25 2011 at 17:24

О! Это правильное понимание предмета! Принятие рисков стоит очень большой зарплаты. Намного большей, чем авиабилет на Мальдивы и обратно.

bondbig Jun 25 2011 at 17:53

Я не понял, при чем тут принятие рисков и зарплата. Риски принимает руководство, админ/безопасник их только озвучивает.

TerVaN Jun 26 2011 at 01:12

Если руководство фирмы волевым решением делает прежде защищенную сеть незащищенной, то резко увеличивается объем работы системного администратора для того, чтобы сохранялся прежний уровень функционала. Правильно? Начав с одного требования, руководству чрезвычайно приятно будет затем перейти ко всем последующим директивам, а именно: открыть все порты, убрать файрвол, запретить антивирус, бэкапы и доступ сисадмина в серверную. ) Вопрос: сколько придется вкалывать сисадмину, чтобы сеть продолжала работать в то самое время, когда руководство активно мешает работать сисадмину? )

bondbig Jun 26 2011 at 10:06

резко увеличивается объем работы системного администратора для того, чтобы сохранялся прежний уровень функционала. Правильно?

Неправильно. С чего бы это? Пропилить NAT на файерволе, делов-то. А если сервисы будут валяться под атаками, то именно для этого админ и выкатывал риски боссам, чтобы в ответ на гнев тыкнуть их носом в их же подпись под фразой «сервисы будут валяться под атаками, бро, ты согласен? Да, ФИО, подпись». Я больше скажу, после обстоятельного описания рисков в понятной для нетехнаря (босса, владельца бизнеса, гнерального, etc.) форме, запросы топов резко сдуваются в большинстве случаев.

URANUS Jun 24 2011 at 18:39

Windows Server 2008 R2: DirectAccess — полностью решает поставленную задачу

-2

TerVaN Jun 24 2011 at 19:10

Значит приезжает руководство на Мальдивы, приходит с друзьями в ресторан, вспоминает, что пора бы помониторить процесс, берет у друзей первый попавшийся ноут, вводит пароль, получает доступ ко внутренней сети, потом возвращает ноут. Все верно? Никаких изъянов нет? )

URANUS Jun 24 2011 at 19:13

Если быть внимательным и следовать древовидной структуре комментариев хабрахабра, то ответ был поставленную задачу автором топика, а никак не вашу.

TerVaN Jun 24 2011 at 19:16

Спасибо, пробую разобраться.) А идеи, с которыми «рано или поздно» приходит руководство, вовсе не всегда надо бросаться выполнять. )

bondbig Jun 25 2011 at 14:27

Хм, почитал я про него. Ничем не отличается от обычного VPN-соединения, кроме как тем, что работает на уровне службы и подключается к корпоративной сети еще до логина пользователя.
Ровно то же самое умеет пресловутый openvpn, например. Только в отличии от DirectAccess, он может просочиться и через прокси, у DirectAccess применяется стандартный ipsec.

URANUS Jun 25 2011 at 18:24

В каких случаях работает openvpn, где не работает DA?

bondbig Jun 25 2011 at 22:28

Ровно в тех же, когда не работает ipsec, но работает openvpn. Даю подсказку: TCP vs UDP.

URANUS Jun 26 2011 at 08:04

IP-HTTPS по вашему UDP использует? Подключение посредством DA требует наличие разрешения на подключение к 443 порту сервера DA, соответственно он доступен практически из любых мест, где можно подключиться к HTTPS ресурсам.

Вы почитали про DA, но видимо бегло, при недоступности 6to4, teredo, он переходит к использованию IP-HTTPS.

Ну и наконец, есть еще и SSTP VPN для быстрой реализации подключения, если клиент уже за пределами корпоративной сети, настройки можно отправить пользователю при помощи CMAK

bondbig Jun 26 2011 at 20:20

Да, в первой попавшейса в гугле статье ничего не было про ip-https. Поздравляю, MS снова изобрели то, что доступно в рамках opensource многие годы )
Но это хорошо, наличие встроенных, нативных средств крайне положительно влияет на легкость в развертывании и использовании.

slashd Jun 24 2011 at 21:59

Так, практическая часть завершена. Теперь командировка на Мальдивы для тестирования работоспособности системы! :)

Show the best of all time