Servidor VPN baseado em OpenVPN no mesmo sistema que está “protegendo”: viável?

1

Cenário : máquina hospedada (geralmente um VPS) que serve wiki, svn, git, fóruns, listas de e-mail (por exemplo: GNU mailman), Bugzilla (etc) privadamente para < 20 pessoas. Pessoas que não estão na equipe não têm permissão de acesso. Buscando acesso restrito VPN ao dito servidor. Tenha uma boa experiência usuário com servidores / clientes baseados em OpenVPN, mas ainda assim tenha que administrar tais sistemas. Caso contrário, o sysadmin Linux experiente. Sistema de destino: Ubuntu, provavelmente 12.04.

Buscando colocar um processo OpenVPN no servidor acima para "proteger" todos os serviços mencionados acima, permitindo que apenas clientes / processos autorizados pelo OpenVPN acessem os serviços acima. (Pode adquirir facilmente endereços IP adicionais conforme necessário para essa configuração.)

Opção : se for absolutamente necessário, pode empregar um VPS adicional, dedicado, "servidor VPN", simplesmente para ser o meu "front end" de servidor VPN. Mas preferir que todos os processos do servidor (servidor VPN e outros aplicativos de servidor) sejam executados na mesma máquina, se possível. Considerará ainda mais se a configuração de máquina VPN dedicada permitir 1. instalação / administração mais fácil, 2. melhor / mais fácil experiência do usuário final e / ou 3. tornar o sistema significativamente mais seguro.

Alguma alternativa acima é viável?

A principal intenção: criar uma VPN a partir de recursos puramente hospedados, e não gastar todo o esforço para criar um site não VPN, seguro - o que normalmente significa "quebra automática de SSL" + todo o gerenciamento contínuo de aplicativos da Web. . Deixe o servidor VPN lidar com a segurança de acesso e gaste o tempo de lista pressionando a segurança "para baixo" nos outros aplicativos / Apache.

    
por Johnny Utahh 15.11.2012 / 04:26

2 respostas

1

Claro. Você pode fazer isso de várias maneiras:

  1. Vincule todos os serviços que você interessa à interface do OpenVPN, para que eles estejam apenas ouvindo, digamos, 10.8.0.1. Certifique-se de que o OpenVPN já esteja em execução, caso contrário, os serviços não poderão ligar corretamente à interface.

  2. Use o iptables para permitir somente conexões provenientes da rede OpenVPN, digamos, iptables -A FORWARD -s 10.8.0.0/24 -j ALLOW ; iptables -A FORWARD -j DROP com quaisquer regras extras necessárias para permitir o tráfego do OpenVPN, e algumas comunicações fora de VPN, como como ssh.

Você tem mais algum cenário específico em mente?

    
por 15.11.2012 / 18:05
0

Tentativa: link

Discussão relacionada .

    
por 15.11.2012 / 16:59

Tags