1 Тема от sm

  • sm
  • Посетитель
  • Неактивен
  • Зарегистрирован: 02.03.2014
  • Сообщений: 4
  • Репутация : [ 0 | 0 ]

Добрый день!

  Есть десяток компов с серыми адресами. Есть сервер у провайдера с нормальным белым ИП. Компы объединены а VPN (openVPN). Все хорошо, но хочется большего. На каждом компе крутится apache с авторизацией по SSL сертификату. Можно ли в принципе сделать так, чтобы пользователь, находящийся в инете (вне нашей VPN), имел доступ к компам внутри VPN? Да еще с использованием SSL сертификата.
Можно попробовать пробрасывать порты на сервере - заходим на порт 444 - пакетик уходит к компу 1, на порт 445 - к компу 2 и так далее. Но, во-первых не уверен, что так можно, а во вторых не очень красиво. Да еще SSL этот, будь он неладен. Ставить на клиента OpenVPN нельзя.
В качестве клиентов выступают android и apple мобильники, что тоже не прибавляет оптимизма. Есть у кого-нибудь опыт подобных извращений?

2 Ответ от lone_wolf

  • lone_wolf
  • lone_wolf
  • Пользователь
  • Неактивен
  • Зарегистрирован: 04.11.2010
  • Сообщений: 2,016
  • Репутация : [ 47 | 0 ]
sm пишет:

Можно попробовать пробрасывать порты на сервере - заходим на порт 444 - пакетик уходит к компу 1, на порт 445 - к компу 2 и так далее. Но, во-первых не уверен, что так можно, а во вторых не очень красиво. Да еще SSL этот, будь он неладен.

так сделать можно, но так как у вас нет белого ip то вы это не сделаете.

Спросить - стыд минуты, не узнать - стыд всей жизни

3 Ответ от sm

  • sm
  • Посетитель
  • Неактивен
  • Зарегистрирован: 02.03.2014
  • Сообщений: 4
  • Репутация : [ 0 | 0 ]

На сервере белый ip. А вот на компьютерах с апачами ip неизвестно какой (обычно черный). 
Если бы все компы имели белые ip мне бы не понадобилось организовывать VPN. Идея в том, что мобильники отсылает запрос серверу с белым ip, а тот пробрасывает пакет нужному компьютеру внутри VPN сети.

4 Ответ от lone_wolf (10.03.2014 01:53:21 отредактировано lone_wolf)

  • lone_wolf
  • lone_wolf
  • Пользователь
  • Неактивен
  • Зарегистрирован: 04.11.2010
  • Сообщений: 2,016
  • Репутация : [ 47 | 0 ]
sm пишет:

На сервере белый ip. А вот на компьютерах с апачами ip неизвестно какой (обычно черный). 
Если бы все компы имели белые ip мне бы не понадобилось организовывать VPN. Идея в том, что мобильники отсылает запрос серверу с белым ip, а тот пробрасывает пакет нужному компьютеру внутри VPN сети.

ну не черные а серые  bx
Тогда мне если честно не понятно зачем было поднимать vpn, если сервер находится в 1 локальной сети с компами, тут достаточно обычного NAT и тупо через iptables пробросить порт на нужный комп внутри сети, все.
Или есть куча компов которые разбросаны териториально, и есть сервак арендуемый в дата центре, и вот на нем поднят VPN сервак к которому подключаются по VPN териториально разбросанные компы ? bw

Спросить - стыд минуты, не узнать - стыд всей жизни
+ sm

5 Ответ от sm

  • sm
  • Посетитель
  • Неактивен
  • Зарегистрирован: 02.03.2014
  • Сообщений: 4
  • Репутация : [ 0 | 0 ]
lone_wolf пишет:

Или есть куча компов которые разбросаны териториально, и есть сервак арендуемый в дата центре, и вот на нем поднят VPN сервак к которому подключаются по VPN териториально разбросанные компы ? bw

Так и есть. Сервак их собирает в кучку, я захожу на сервак и оттуда на любой из них по ssh. Теперь стоит вопрос как предоставить доступ клиентам к этим компам. Сейчас сделано так - клиент шлет http запрос на сервер, сервер забирает данные с компа и передает клиенту. А хочется сделать прозрачное соединение.

6 Ответ от lone_wolf

  • lone_wolf
  • lone_wolf
  • Пользователь
  • Неактивен
  • Зарегистрирован: 04.11.2010
  • Сообщений: 2,016
  • Репутация : [ 47 | 0 ]

Ангидрид твою перекись марганцем, ну так изначально надо было четко это и сказать.
Ну вот тогда по идее можно сделать как и было задумано, а именно сервак же знает c какой ip он выдал клиенту, так вот тупо берем и в iptables пишем правило проброса порта на внутренний ip. И потом с мобилы обращаемся к серверу по ip:port

Спросить - стыд минуты, не узнать - стыд всей жизни

7 Ответ от sm

  • sm
  • Посетитель
  • Неактивен
  • Зарегистрирован: 02.03.2014
  • Сообщений: 4
  • Репутация : [ 0 | 0 ]

а ничего, что там SSL трафик бегает? Вроде как на уровне iptables пофигу что пробрасывать, но как-то нет уверенности. Спасибо за консультацию, буду думать, как там что делать дальше.

8 Ответ от lone_wolf (10.03.2014 19:13:51 отредактировано lone_wolf)

  • lone_wolf
  • lone_wolf
  • Пользователь
  • Неактивен
  • Зарегистрирован: 04.11.2010
  • Сообщений: 2,016
  • Репутация : [ 47 | 0 ]
sm пишет:

а ничего, что там SSL трафик бегает? Вроде как на уровне iptables пофигу что пробрасывать, но как-то нет уверенности. Спасибо за консультацию, буду думать, как там что делать дальше.

думаю что нечего, но на каждом копе надо юзать разный port

Спросить - стыд минуты, не узнать - стыд всей жизни

9 Ответ от Cruiser78

  • Cruiser78
  • Пользователь
  • Неактивен
  • Откуда: Санкт-Петербург
  • Зарегистрирован: 22.02.2010
  • Сообщений: 2,433
  • Репутация : [ 98 | 0 ]
sm пишет:

В качестве клиентов выступают android и apple мобильники, что тоже не прибавляет оптимизма. Есть у кого-нибудь опыт подобных извращений?

Ну почему же извращение?
Тот же андроид прекрасно держит openVPN. И может быть клиентом в VPN-сети. Приложение называется в GooglePlay "OpenVPN для Android". И оно не требует рутования andriod'а. Подключаешь смартфон к VPN, закачиваешь на него файл (/etc/hosts с именами твоих серверов) и вуаля. 

У меня так мой смартфон подключен к офисной ATC. Которая сидит на честных серых адресах...
Другое дело - если ты не хочешь подключать к VPN эти мобильники. Тогда да, тогда только трансляция портов.