Comments 24
Смысл в этом каждый ищет сам, а настраивается в SSL Bridging, HTTPS-HTTP bridging.
Пора пилить статью?
Не стоит сервисы от Microsoft выставлять наружу в интернет, особенно с такой сомнительной "защитой".
Рекомендую просто использовать vpn по сертификатам перед rdgw (который вам возможно и не нужен, а нужен лишь rdp?).
Не стоит сервисы от Microsoft выставлять наружу в интернет
полностью согласен.
Их можно выставлять только через специализированные шлюзы. Даже у самого MS раньше был ISA, затем TMG, затем UAG. После они слились с этой темы. Вот и крутимся, кто как может.
использовать vpn по сертификатам
Не будем рассуждать что лучше, что хуже. Как администратор, я за vpn по серт-ам, но как тех.подд сможет условному «бухгалтеру» по телефону объяснить настройку vpn, и почему у него после поднятия vpn перестал работать вконтактик.
Не заворачивайте весь трафик через свой шлюз, и не пропадут вконтактики. Ну или добавьте вконтактики в доступ.
Всем накатывается клиент (предпочитаю openvpn + udp) + раздаётся конфиг с вшитым в него сертификатом + настаивается автоподключение при загрузке + splitdns, чтобы трафик шёл в туннель только для рабочих адресов. Рекомендуется защищать конфиг паролем при подключении, но можно и без него, чтобы пользователи совсем не беспокоились. К openvpn ещё и двухфакторная авторизация прикручивается очень легко (смс, google authenticator и т.п.).
Можно для каждого бандл (установщик+конфиг) сформировать и накатить какими-нибудь политиками или чем вы машины конфигурируете.
Множество самого не продвинутого персонала работает с таким абсолютно нормально (говорю из опыта), а есть персонал и гораздо более непродвинутый, чем бухгалтера.
Знают, что если иконка в углу экрана красная, то скорее всего нужно проверить своё подключение к интернет, т.к. openvpn обычно работает как часы.
Например, вот так выглядит конфиг сервера OpenVPN 2.4.6.x (server.opvn) на Windows Server:
port 1194
proto udp
dev tun
server 10.8.0.0 255.255.255.0
push "route 10.8.0.0 255.255.0.0 vpn_gateway"
mssfix
tun-mtu 1500
keepalive 10 120
reneg-sec 0
comp-lzo
persist-key
persist-tun
verb 4
ca "C:\\Program Files\\OpenVPN\\config\\ca.crt"
cert "C:\\Program Files\\OpenVPN\\config\\server.crt"
key "C:\\Program Files\\OpenVPN\\config\\server.key"
dh "C:\\Program Files\\OpenVPN\\config\\dh2048.pem"
tls-auth "C:\\Program Files\\OpenVPN\\config\\ta.key" 0
crl-verify "C:\\Program Files\\OpenVPN\\easy-rsa\\keys\\crl.pem"
ifconfig-pool-persist "C:\\Program Files\\OpenVPN\\config\\ipp.txt"
status "C:\\Program Files\\OpenVPN\\log\\openvpn-status.log"
log "C:\\Program Files\\OpenVPN\\log\\openvpn.log"Конфиг именно с реализованным splitdns под рукой нет, но гуглится это достаточно легко, вариантов масса.
Split VPN удобен пользователям, но является потенциальной дырой в корпоративной сети. Вернее дырами, по числу пользователей, домашние ПК которых не так хорошо защищены, как корпоративные. Во многих крупных компаниях запрещен политиками ИБ.
через CMAK делается красивенький конфигуратор, с рюшечками и иконками, (и с отключением шлюза по дефолту). Любые бухгалтера и менеджеры вне себя от счастья.
А Неудачные логировать и отчет на почту?
На край нетврикс или manageengine adaudit.
А Неудачные логировать и отчет на почту?
В таком случае у вас быстро ящик переполнится, боты очень активны.
Блокируйте ip при более чем 5 неверных попытках входа, с генерацией отчета.
Используйте для авторизации RADIUS и/или двухфакторку. Используйте сертификаты. Используйте индивидуальные сертификаты.
Блокируйте ip при любом результате авторизации, если геозона «не путешествующего» сотрудника резко изменилась. Блочьте учетку если авторизация удачная, меняйте пароли автоматом. Лучше разбираться с учёткой утром, чем с утечкой к вечеру.
Этих простых правил хватит для того то бы отсечь любого скрипт-кидди любого уровня упоротости.
1. Выставляем rdg на нестандартный порт (старые клиенты вин хр этого не умеют, если таких не осталось ок) — на самом деле просто прокинул нестандартный порт на 443
2. На самом трерминальнике воткнул fail2ban (емнип rdp defender, но подойдёт любой аналог, хоть самопис — банит ip-шки брутфорсеров на базе логов винды и виндового же фаера).
Ну и сплю спокойно, на удивление брутфорсеров нет совсем.
А так да, я за впн:) в идеале виндовыми средствами, чтобы не морочиться со сборкой установщика, который и админские права требует.
MS Remote Desktop Gateway, HAProxy и перебор пароля