Вид для печати
Есть офисная сеть. 3 роутера, 9 ноутбуков рринт сервер и файловый сервер. Задача максимально защить локалку от проникновения из вне. Предпочтительно было бы строить сеть на впн через циско. Т.е. поставить вместо роутера-шлюза роутер циско. Какие еще средства защиты можно использовать?
[QUOTE=Альтаир Бергадлер;35547814]Есть офисная сеть. 3 роутера, 9 ноутбуков рринт сервер и файловый сервер. Задача максимально защить локалку от проникновения из вне. Предпочтительно было бы строить сеть на впн через циско. Т.е. поставить вместо роутера-шлюза роутер циско. Какие еще средства защиты можно использовать?[/QUOTE]
Вы меня конечно извините, но что делают 3 роутера в сети из 9-ти ноутбуков? Они тоже все Cisco я надеюсь. Закрыть инет и все - нет доступа. Нет инета- нет проблем.
Ну еще [URL="http://ru.wikipedia.org/wiki/%D0%A1%D0%B8%D1%81%D1%82%D0%B5%D0%BC%D0%B0_%D0%BE%D0%B1%D0%BD%D0%B0%D1%80%D1%83%D0%B6%D0%B5%D0%BD%D0%B8%D1%8F_%D0%B2%D1%82%D0%BE%D1%80%D0%B6%D0%B5%D0%BD%D0%B8%D0%B9"]IDS[/URL] какой-то можно поставить. Для сети из 10ка компов - самое оно. И какую роль VPN у вас в сети играет.
Вы подробно распишите структуру сети и укажите от какого типа угроз хотите защититься и почему. Потому как в типичную схему инет-роутер-сеть за натом на роутере пробраться достаточно проблематично. А если на роутере поставить фаервол - так вообще невозможно.
[ATTACH=CONFIG]5543341[/ATTACH]
Этот принстскрин примерно характеризует нашу локальную сеть. Ноутбууки это локальные рабочие машины, настольный пк это файловый сервер. Роутеры разнесены по разным комнатам, поэтому такая сложная схема. Роутеры законектены следующим образом 1 точка доступа, 2 репитер и 3 мост по вайфай. нужно защитить файловый сервер от вторжения. Самое слабое место вайфпай кей. КРоме того, есть удаленные рабочие места, по украине. Нужно им обеспечить доступ. Интернет вырубать по условиям задачи нельзя. Поэтому думал о циско впн + система авторизации на сервере с помощью радиус/диметр
Если у вас все на windows сделайте принудительный ipsec между всемикомпьютерами, тогда вайфайхоть открытымможете сделать. Точно также можно поднимать ipsec тунели между удалеными компьютерами и вашей сетью. И сдается мне что вин сервер в качестве ендпоинта для тунелей или впн сервера дешевле циски будет.
еще более лютый вариант это сделать удаленной управление рабочим столом.
еще вопрос, как организовать доступ к документам по впн с айпада?
[QUOTE]задача
1. Заменить роутер,
первый вариант cisco small business, с возможностью организации ipsec vpn.
так как у вас завязано все на wi-fi, предлагаю "комбайн" с хорошей производительностью и функциональностью
Межсетевой экран Cisco SB Cisco RV 220W Wireless N Network Security Firewall - $ 246
для вас он оптимален. Макс. количество VPN-соединений - 25 - это порядка 10 ipsec соединений.
http://www.cisco.com/web/RU/solutions/smb/products/routers_switches/small_business_routers/index.html#~models
второй вариант pfsense, более продвинутое решение на основе компьютера. кроме надежности, базовой защиты, ВПН, - до 100 ipsec vpn, более надёжные ключи шифрования(cisco - 128bit, pfsense - 256), управление трафиком, мониторинг трафика(базовый), статистика трафика (базовая), доступ к ресурсам по расписанию, разделение локальной сети на сегменты(безопасный, и общий), система обнаружения атак (из вне). ограничение доступа по словам, темам, странам.
Базовый компьютер без монитора - $ 290 - $ 350
http://ru.wikipedia.org/wiki/PfSense
настройка и того и другого - примерно $ 60. это настройка роутера, включение VPN, поднятие базовых сервисов, проверка безопасности и качества WiFi. во втором случае за дополнительный функционал отдельная плата $ 50 - $ 400. [/QUOTE]
вот это из переписки с мастером по сетям.
[QUOTE=Альтаир Бергадлер;35573069]вот это из переписки с мастером по сетям.[/QUOTE]
Та циска, что он назвал только возле циски лежала. То не циска, а просто более-менее нормальній роутер.
И как он за $50-400 собрался проверять качества вайфая интересный вопрос. Смету у него что-ли попросите, тем более что цена в 8 раз отличается. Хотите безопасного вайфая - тут и думать особо нечего, вам надо уходить от вводимого ключа либо шифровать трафик по вайфаю передающийся. Шифровать не проблема - принудительній ipsec между всеми компьютерами и вайфай можете вообще открытым делать. Вариант номер 2 - поставить Windows Small Busines Server. Тогда вам и домен с централизованой аутентификацией будет и что-то типа такого: http://blogs.technet.com/b/sbs/archive/2011/03/10/introduction-to-sbs-2011-remote-web-access-rwa.aspx Ну и удаленный доступ он естественно тоже поддерживает. Плюс почтовый сервер с веб-оутлуком получите как побочный эффект.
PfSense тоже неплох. А ві уже вібирайте чего вам надо.
ох едрыть колотить, как все непросто
а можно по полочкам, как бы вы сделали на этой сетке, начиная с момента замены роутера и тд.?
Технически - ipsec между всеми компьютерами, в том числе и удаленными. Практическая реализация зависит от возможности, желания и необходимости использовать существующее оборудование и выделеного бюджета.
А вообще варианта 2 - сделать все используя аппаратные или програмные средства для релизации ipsec, второй вариант, более кардинальный и непривычный вариант - выкинуть все, взять аккаунт на office 365 и за 5-10 баксов в месяц с пользователя иметь нужный сервисы.От сетки в офисе потребуется только одно - обеспечить компам доступ в инет. Но все зависит от того, что за софт у вас используется.
лучше вариант с ipsec, у меня шеф помешан на том, что бы исключить использование облачных ресурсов. Так то.
значит ставим нормальный циско (а какой? минимум 20 машин) поднимаем впн с принудителным ipsec ?
[QUOTE=Альтаир Бергадлер;35578984]лучше вариант с ipsec, у меня шеф помешан на том, что бы исключить использование облачных ресурсов.
[QUOTE=Альтаир Бергадлер;35578984]Так то.
значит ставим нормальный циско (а какой? минимум 20 машин) поднимаем впн с принудителным ipsec ?[/QUOTE]
Обратитесь к сетевым интеграторам, которые ими торгуют. Они вам порекомендую что есть и сколько стоит. А также подумайте кто вам ее настроит. Можете ознакомиться с первичным [URL="http://www.cisco.com/en/US/docs/ios/fundamentals/configuration/guide/12_4/cf_12_4_book.html"]мануалом[/URL]
А чтоб потренироваться, поставьте себе Windows Server 2012 Essentials. ipsec на нем поднять можно, потренеруетесь, может и оставите. Или потом на циску поменяете.
спасибо (на форуме есть репа?)
вопрос в туже степь, как с помощью айпада расшарить каталоги на сервере вин 2003
?
[QUOTE=Альтаир Бергадлер;35580470]спасибо (на форуме есть репа?)
вопрос в туже степь, как с помощью айпада расшарить каталоги на сервере вин 2003
?[/QUOTE]
А шо значит с помощью айпада?
а вот так, что бы можно было войти в катаоги сервера и открыть любой документ у себя на планшете, примерно как это делается на андроиде с любого адеквкатного файлового менеджера
Это у яблочников спросите.
[QUOTE=maxx™;35583594]Это у яблочников спросите.[/QUOTE]
А Windows Server 2012 Essentials так тот вообще веб-интерфейс предлагает, ему безразличен в общем клиент.
если это фирма то [I]Мелкософты[/I] не одобрят[COLOR="red"] пиратский[/COLOR] windows .. А шеф вряд ли купит . А если купит будет [COLOR="red"]не очень умно[/COLOR] .. Как по мне поднять [B]OpenBSD[/B] и юзать тунели[B] SS[/B]H там же есть и [B]SFTP[/B] /// все это завернуть vpn в реализации от openvpn появилась такая плюха
+ На локальных компьютерах использовать [B]TrueCrypt[/B] шифрануть все и вся - в идеале перейти на linux стабильный к примеру Debian - очень хорошо с безпасностью
ну и нужнен [B]zfs[/B] Бэкап сервер ;D для всего барахла .
от Вайфая откатся ..в пользу Блютус в пользу безопасности .. А если не отказыватся то ставить сервер аторизации он же Radius / ну и мощьность передатчика ставить минимальную чтобы за стены не выходило . В идеале на шнурки переходить..Если есть деньги на оптику по офису
В Айпаде монтировать SFTP папку ;D
А вот нафига все эти понты, туннели. Если есть ipsec - работает абсолютно прозрачно для пользователя и всего остального софта. Зачем тратиться на проклажку оптики или ещн чего, если длстаточно настроить ipsec между машинами. И вайфай при этом может быть даже открытый.
Да и советовать людям дебиан, не зная чего они делают - очень умно. Если у нмх на всех ноутах уже стоит винда лицензионная, то смысл прехедить на что-то другое.
Винда не лиценщионная. Ставить линуксоиды тоже не лучшая идея. Хотя то что вы предложили это крутой рулет, но слишком сложный в реализации. Реально ли сгибридить ipsec и radius?
[QUOTE=Альтаир Бергадлер;35609926]Реально ли сгибридить ipsec и radius?[/QUOTE]
Та наверное можно.
Решение на Windows :
Настраиваете один раз домен с политиками безопасности и все работает. Достаточно просто комп ввести в домен.
На линуксе:
Сначала выбираете чтоже вам надо из всего многообразия существующих программ, потом пытаетесь это все скрестить. Ну и на каждом новом клиенте - настраиваете все по новой, либо пишите скрипт который все настроит и который кто-то должен поддерживать.
Мне абсолютно всеравно что выберет топикстартер, но сдается мне что пока решение на линуксе будут тестить, решение на винде уже давно будет работать.
отличие решений на линуксе или bsd отличаются тем что 1 раз настроил и забыл про дыры - в основном это bsd . а в случае windows необходим регулярный контроль . наверное слышали про дедики в интернете .. так вод народ ломает windows сервера ради прикола . приставьте ситуацию что проще хакнуть windows комп и он сам будет снифать всю сеть . сколько воды утечет .. а линуксы настраивая через гугл-яндекс с нуля можно заставить заработать за пару дней с помощью гугла
итог .. шеф просил сделать чтобы было все круто . а не быстро .. решать действительно вам .
если информация действительно ценная . нужно учитывать все в несколько шагов .. это новая ин фраструктура т.е большой объем работы .. а контектися лучше без паролей по сертификатам я про ssh
IPsec
Плюсы:
Построение топологии сетей отличной от звезды
Большое количество встроенных клиентов во всех OS, простота конфигурации клиентов.
OpenSwan + KLIPS в теории позволяют создавать наиболее производительные VPN сети, поскольку позволяет подключать аппаратные шифрующие устройства.
Минусы:
Плохая работа с NAT на одной стороне, если NAT на обеих сторонах - сразу нет.
Очень, нет ОЧЕНЬ сложная конфигурация сервера. Причём что в OpenSwan, который в книге про него назвали простым, что в racoon. Хотя racoon на мой взгляд и проще, в простых конфигурациях, и позволяет настраивать тонкие параметры системы (хотя в большинстве случаев это просто не нужно).
Роутеры могут в принципе не пропускать IPsec, даже если у них написано что они его поддерживают, потому что у каждого стека реализации IPsec есть свой Vendor ID и свой же список чужих Vendor ID с описанием того как с ним работать. И если какой-то узел не знает как работать - работать ничего не будет.
Достаточно долго подключается. В целом на подключение нужно где-то 1-2 секунды. Можно ускорить за счёт снижения безопасности.
OpenVPN
Плюсы:
Хорошая работа с NAT, в том числе и в конфигурациях, когда обе точки расположены за NAT.
В любой системе пакеты OpenVPN будут одинаковыми
Очень простая настройка сервера в простых конфигурациях, и не слишком сложная - в сложных.
Очень быстрое подключение
Достаточно высокая производительность (потому что udp, хотя можно и tcp)
Простой и понятный (по сравнению с IPsec) алгоритм шифрования SSL/TLS (по крайней мере знаешь чего от него ждать)
Минусы:
В большинстве систем необходимы административные права, чтобы установить клиент. Конфигурация клиентов тоже не очень проста, но один раз настроив всё буде работать идеально.
Топология только звезда.
[url]https://libc6.org/page/openvpn-vs-ipsec[/url]
[QUOTE=modding;35612668]отличие решений на линуксе или bsd отличаются тем что 1 раз настроил и забыл про дыры - в основном это bsd . а в случае windows необходим регулярный контроль .[/QUOTE]
Ломают не винду, а открытые сервисы. И шо BSD но винду сломать нереально. И если вы поставили BSD + openVPN то следить надо уже не только за обновлениями в BSD, но также и в openVPN. Наличие какого-то радиус-сервера заставить следить еще и за его рассылками и т.д. Это если вы действительно переживаете за безопасность. Потому как поставил и забыл - это неверное решение. Следить за ним всеравно надо.
Этого я и боялся.....
ПРактически окончательно запутался в механизмах реализации того или иного варианта.
Первый вопрос. Реально ли ставить радиус аутентификацию если сервер находится не сразу за аццеспоинтом (роутером). да и вообще, будет ли проблема если сервер находится как указано на схеме, вроде же для впн не имеет значения , главное указать где сервер а где клиент. Можно ли пускать рабочие пк в сеть по впн через сервер (т.е. сервер как бы будет коммутатором что ли, нужно мониторить сеть)
Вы и дальше будете путаться, пока не составите четкое ТЗ что вам надо. Ну вот сейчас выясняется, что надо еще и сеть мониторить.
безопасность сети в гугл.. и тема закрыта..
maxx™, копать - колотить! Горе от ума! Домен на 10 вонючих тачек..... Возьмите в центр 1 (ОДИН!) роутер типа Linksys RV042, в нем скромный сервер 5 pptp соединений. При возникновении полноценных ipsec проблем не будет. Оно умеет. И работает. Дорого? Любой дешевый роутер. Да хоть дир 100. Проброс портов, и настройка того-же pptp сервера внутри. Хоть винда, хоть линукс... Честное слово, г...... вопрос.
[QUOTE=Альтаир Бергадлер;35578984]лучше вариант с ipsec, у меня шеф помешан на том, что бы исключить использование облачных ресурсов. [/QUOTE]
странно он помешан.
облаков боится, а вайфай- потенциально дырявая штука - ему не страшен.
что мешает подвести витуху к рабочим местам?