[kozow]

Panowie informatycy pomocy.
Muszę dołączyć się do istniejącego VPNa i chyba potrzebuję do tego lepszego sprzętu niż mam.

Ma to być tunel s2s.
Encryption aes-cbc-256
integrity sha256
D-H G: 14

Na moim lśniącym plastikiem ASUSie nie mam takich opcji jak integrity, i wogole glownie mam MD5 i SHA1 oraz DH tylko 1 i 2.

Co kupić by spełnić te wymagania do połączenia i nie wydać milionów monet?

Musi mieć dual WAN.
Net: 2x300mbit
łaczyć się bedzie 10 komputerów przez ten VPN (VPN + RDP). Pozostale 10 maszyn normalnie przez WAN sobie będzie działać.

#vpn
#siecikomputerowe

[Koliat]

@kozow: a co ma już ten istniejący vpn? Na czym stoi?

[reddin]

Musi mieć dual WAN.

Net: 2x300mbit

łaczyć się bedzie 10 komputerów przez ten VPN (VPN + RDP). Pozostale 10 maszyn normalnie przez WAN sobie będzie działać.

@kozow: Zyxel USG 40

[kozow]

@Koliat: do tej pory pracowali bez VPN klasycznie po RDP i jakoś to było. W sumie było dobrze, bo wszystko działało i nikt nam krzywdy nie zrobił. Stabilny (w miarę) net tu sięga od dwóch miesięcy dopiero, wcześniej była radiówka 4/2 i kiedyś była próba zestawienia VPNa ale się tak cięło i rozłączało, że odpuściliśmy.

[Koliat]

@kozow: co dokładnie chcecie osiągnąć? Bo RDP sam w sobie jest szyfrowany

[kozow]

@Koliat: nasz "partner biznesowy" na którego serwerze kilka osób (10) pracuje wyslal nam info, że od przyszłego miesiąca wdraża "politykę najwyższego bezpieczeństwa" i mamy się z nim łączyć przez VPN.

[Koliat]

@kozow: trololo dobrze ze dałeś cudzysłów :D co do urządzenia, pewnie większość nowych będzie działać to co polecili, ja bym jeszcze wziął poprawkę na sprzęt partnera, tj jak ma jakiegoś tplinka to też prędzej wziąć tplinka!/zyxela / whatever większa szansa że się bez bólu dogadaja

[kozow]

@Koliat: cisco CSR czy coś takiego. Nie wiem za dużo, jako jedyny w firmie umiem zainstalować windowsa, wymienić papier w drukarce i zarobić wtyczkę rj45, więc robię za informatyka. Jak się uda to ogarnąć to dostanę premię :).

gadałem juz z lokalnym sklepem komputerowym i polecali tplinka ale z tego co widze to on tam nie ma aes-cbc-256 ani DH14 do wyboru :(

https://www.tp-link.com/resources/simulator/ER6120v2/index.html

[reddin]

@kozow: Są też wyższe modele USG 110 itd, tak czy inaczej dobry mają support, dzwonisz i gość podpowie. Sprawdzają się spoko i często są aktualizowane.

[reddin]

co dokładnie chcecie osiągnąć? Bo RDP sam w sobie jest szyfrowany

@Koliat: Sam w sobie tak, nędza, ale też jest podatny, lepiej VPN

[reddin]

do tej pory pracowali bez VPN klasycznie po RDP i jakoś to było.

@kozow: @Koliat:

Jest obecnie uznawany za niedostatecznie bezpieczny kryptosystem. RC4 nie jest zalecany do używania w nowych systemach.

https://pl.wikipedia.org/wiki/RC4

[Koliat]

@reddin: jest tak bezpieczny jak https, używa TLS do szyfrowania ¯\_(ツ)_/¯

[reddin]

jest tak bezpieczny jak https, używa TLS do szyfrowania ¯_(ツ)_/¯

@Koliat: W życiu bym tego nie wystawił, zawsze VPN i wysokie szyfrowanie. Zresztą ostatni szyfrujący atak wbijał się przez RDP, na szczęście, zawsze wszędzie chowałem za VPN.

[Koliat]

@reddin: który? o. O

[reddin]

który? o. O

@Koliat: https://nakedsecurity.sophos.com/2017/11/15/ransomware-spreading-hackers-sneak-in-through-rdp/

[Koliat]

@reddin: w sensie, ja korzystam z rdp po whitelist IP, żeby mi boty nie próbowały się autoryzowac, znam swój publiczny który jest w miarę stały a zawsze mogę aktualizować. Jak się zmieni mam dostęp z innego poziomu żeby zaktualizować rule i tyle. O sam transport się nie martwię

[Koliat]

@reddin: no przeczytałem. "niebezpieczny" rdp wystawiony Wide open do internetu z hasłem. Sam rdp nie jest niebezpieczny ale jak jelenie używają prostego hasła to nic nie pomoże. Tak jak mówiłem wcześniej - whitelist IP dla rdp osiągnie porównywalny stopień bezpieczeństwa jak vpn, a dużo mniej konfiguracji

[reddin]

whitelist IP dla rdp osiągnie porównywalny stopień bezpieczeństwa jak vpn, a dużo mniej konfiguracj

@Koliat: Tu się już nie rozpędzaj ;-) VPN jest znacznie bezpieczniejszy. Sam RDP jest na RC4 który jest uznawany za niebezpieczny.
Jak masz dużo podłączających się użytkowników z różnych IP to jedynie VPN (openVPN) wtedy dajesz osobisty klucz, który możesz unieważnić, masz wysokie szyfrowanie i możesz przemycać inne usługi (samba http, intranet) nie tylko RDP. Konfiguracja jest

[Koliat]

@reddin: rdp wykorzystuje w tle schannel dla szyfrowania. Schannel trzeba zabpiezpeiczyc ustawiając odpowiednie polityki dla protokołu. RC4 admin wyłącza po stronie serwera konfigurujac schannel, albo klienci po swojej stronie wycinajac że wsparcia. Jak masz różne source to oczywiście konfigurujesz point to site bo to jest lepsze niż otwarcie rdp dla świata żeby boty pukaly. Wszystko zależy od scenariusza który chcesz osiągnąć, I oczywiście nie mówię że rdp jest tak samo bezpieczny

[flor4s]

@kozow: W sumie też mógłbyś CSRa, albo postawić OpenVPN. Z tanich urządzeń ja mam edgerouter od ubiquiti. Tam w tle chodzi OpenVPN.