Победа разума
Вчера весь день на работе и весь вечер до 1ч ночи взрывал мозг настраивая VPN в домашнюю сетку. До этого еще полдня трахался с пониманием настройки сервера ВПН. За это время было понята работа iptables на роутере, подправлены косяки в скриптах фаервола. Итог - работает.
Цимус всего этого факинга проста и в тоже время многим непонятна - хочется иметь защищеный вход в локалку домашнюю из любой точки Вселенной. Компов в квартире много, многие выключены в рабочее время, кроме роутера и нового сервачка, потому достаточно нередко бывает необходимость включить комп удаленно, залезть на него по RDP и что-то там сделать или выложить на ФТП.
Сделать до сего момента это можно было зайдя на роутер по SSH, запустить там скрипт посылающий Magic Packet на целевой комп(пакеты ходят только в физической сети и через инет не проходят ибо не TCP/IP/UDP), и если тот включился(пинговать его надо) - закрыть сессию на роутер и лезть на открытый порт RDP для этого компа(он нада сказать левый и не стандартный конечно же). Проблемы в безопасности тут очевидны - надобность лишнего логина в центральное устройство-гейт и открытые порты для RDP, доступные(в случае включенности компа) для сканирования и атак.
Посему и было желание скрыть все это за VPN от всего сетевого народа, оставив для входа только порт VPN, порт SHH на роутер и сетевых сервисов(http, FTP), ну и возможно веб-морду роутера оставить также.
Теперь для входа нужно впн-клиент с ключами и программка WakeLAN. Коннектимся по ВПН -> получаем внутренний IP домашней сети, красиво и удобно запускаем с помощью WakeLAN нужный комп и коннектимся по внутреннему адресу же сразу на RDP. Никто этого извне не видит и неслышит, бо траффик шифруется. Безопасность страны сохранена.
Проблемами с которыми боролся были: необходимость работы как через простые каналы типа GPRS и жизненная необходимость чтобы порт VPN был именно 443(стандартный порт https), ибо прокси-серверы корпоративные на работе(обычно это ISA) пускают ВПН траф только по 443, но ни по какому другому порту, хотя например SSH легко идет на левый порт 😃. Однако же ВПН работал с GPRS(чистый канал) только на любой порт кроме 443, а через прокси вообще ни на какой.
Вечером уже после целого дня факинга я нашел причину почему такое имело место быть - Корбина(ныне Блевайн) по дефолту включает услугу фильтрации трафика от и к пользователю и блокирует некоторые порты включая и 443 на вход. Сделано это для нищебродов, которые коннектятся без роутера непосредственно в комп, коих наверно 90% всех пользователей Корбины.
Я это безобразие выключил в кабинете, отказавшись от услуги и усе заработало! Теперь 443 порт легко доступен и усе бегает как надо. Однако порт открыт на роутере, но внутри сетки ВПН работает по стандартному порту, ибо Апач на вебсервере где и ВПН крутится также его ловит как свой https. Но я в своем веб-сайте такие аццкие технологии как https не пользую, так что не огорчен.
Вобщем победа разума над техникой.
