Личная инфраструктура "как бы тим вьюер"

[qkowlew]

Наткнулся тут на задачу:
- вот у продвинутого пользователя есть:
-- какой-никакой личный сайтик
-- несколько компов (дом, работа, тёщин комп) и, возможно, ресурсов типа видеорегистратора и интерфейсов "умного дома".
-- задача "достучаться до любого из своих ресурсов, находящихся в данный момент в онлайне"
-- сделать это относительно безопасно
-- независимо от того, у какого провайдера компы и за сколькими NAT'ами они.

Решение 1:
Берём Тим вьюер, регистрируемся на их сайте, вбиваем все компы в аккаунт.
+ Плюсы:
++ подключение к рабочему столу параллельно с работой на нём пользователя, "помощь другу" и всё такое
++ очень хороша и стабильна работа с большинством приложений
++ неимоверная простота обращения с продуктом - реально даже очень "ничего не знающие" узеры оказываются способны.
++ Для большей части действий админских прав не требуется.
- Минусы:
-- чтобы тебе не напоминали всё время про то, что ты работаешь бесплатно - минимум надо заплатить 30тр.
-- завязано на внешний сервис, который внезапно может поменять условия и быть взломан.
-- Линуксовая версия теперь только устанавливается, запустить без установки нельзя

(аналог тим вьюера AMMYY мной неоднократно был опробован и отличается от Teamviewer НА ПОРЯДКИ ХУДШЕЙ стабильностью и совместимостью, вылетами в синий экран, странными ограничениями типа "не работаю на серверных ОС").

Решение 2:
OpenVPN с самостоятельной настройкой всего
+ Плюсы:
++ можно строить хитрые комбинации из сеток, а не только связь с конкретным компом.
- Минусы:
-- обязательны админские/root права
-- в качестве хоста требуется минимум VPS на весьма лояльном к трафику И к ip роутингу хостинге. За последние 2-3 года цены понизились, а вот "у вас кривые настройки, знать ничего не хотим пойдите от нас нафиг" стало встречаться всё чаще и заметнее.
-- зависимость от IP адресов, доставшихся компу от провайдера или в местной локалке - если ты "попал в такие же адреса", комп отвалился.
Решение 3:
На VPS ничего поднимать не нужно вообще, нужен ТОЛЬКО шелл ssh.
На самих компах, к которым надо присоединяться снаружи - программа типа MyEnTunnel (для поддержания канала) и plink.exe с опциями командной строки для установления туннеля R127.0.0.1:29389:127.0.0.1:3389. Логика 3389 порт RDP компа пробрасывается на 127.0.0.1:29389 VPS-ки, и тому подобное.
На компе, с которого рулишь прочими - на рабочем столе ярлык поднятия туннеля на VPS с пробросом портов по длинному списку, вида L127.0.0.1:29389:127.0.0.1:29389. И ярлыки доступа к конкретным компам типа Тёща - на 127.0.0.1:29389; видеосервер 127.0.0.1:29390 и тому подобное.

+ Плюсы
++ отсутствует понятие "изменение роутинга" как на самих компах, так и на VPS-ке/хостинге
++ ВСЁ это МОЖЕТ работать из под обычного пользователя, не админа/root'a. Как на компах, так и на VPS (только порты открывайте слушать те, что выше 1024).
++ Единственный IP, который требуется писать в конфигах - это IP VPS-ки/хостинга. ВСЕ прочие конфиги - ориентированы на локалхост.
++ Весь трафик, идущий вне VPS и самих компов, шифруется SSH, и смена версии оного при необходимости не потребует менять конфигов.
++ При желании можно туннелить не только локалхост, но и порты других ресурсов в локалке (опробовал тут недавно - видеорегистратор сам умеет только динDNS, а вот таким туннелем я сделал его доступным клиенту из любого интернета). Правда, тогда конфиги становятся ip-зависимы. :)
- Минусы:
-- если это не твой хостинг, то коннект только на 22 порт, а его провайдер вдруг может перекрыть. Я ради этого у себя поставил sshd слушать 443 порт помимо 22-го. :)
-- по сравнению с тим вьюером намного меньше возможностей "показать рабочий стол" и помочь.
-- трафик и процессор кушаются заметно.

Ваши предложения? Альтернативы? Критика?

Comments

[alexkuklin.livejournal.com]

Ты что, пропустил, как TeamViewer ломанули?

[qkowlew.livejournal.com]

Нет, не пропустил.
1. Строго говоря, это включается в минус про внешний сервис.
2. Собственный VPS и VPN сервера по безопасности ничем в этом смысле не лучше. Даже если их строит профессионал.

Именно поэтому по наличии приоритетных требований "безопасность и простота" круче тим вьюера я пока не знаю ни одного решения. :)

Хм-ммм...

[de_nada]

У меня на тимвьювер почти безусловный рефлекс уже - самому себе своими руками "MITM" вкрячивать... :(

С уважением.

P.S. Ладно Ваш случай - "управление марсоходом по радио": этот навык и раньше-то не к каждому был применим, а уж сейчас и вовсе жопа - рулить пользователями с мозаично-клиповым сознанием. :)

Но вот ТП всевозможных сервисов окончательно обленились и охамели - первый вопрос 9 из 10 этих субчиков: "а можно к вам тимвьювером зайти?".
Писец просто.

[alexkuklin.livejournal.com]

ну разница между собственным сервисом и массовым в том, что ломать маргинальную (с т.з. численности пользователей) конструкцию смысла ноль.
тогда как ломать систему с 100500 пользователей очень даже осмысленно.
так что риски принципиально разные.

[qkowlew.livejournal.com]

Однако мнение владельцев ботнетов, занимающихся атакой всего, что шевелится, по всем, даже не очень свежим уязвимостям, заслуживает внимания. :)

[gray-bird.livejournal.com]

Можно сделать железячное решение, поставить например в квартире роутер с VPNserver с услугоq "фиксированный IP. Ща это стоит рублей 100 в месяц.
В качестве альтернативы тиму использую https://rmansys.ru/ до десяти хостов они бесплатны и работает норм.

[http://users.livejournal.com/_luden_/]

На авито тысяч за 10-15 можно ASA поискать.
И пробросить нормальный VPN.

[prividen.livejournal.com]

Я для своих надобностей остановился на решении c OpenVPN.
На каждый дивайс выпускается сертификат с незакриптованным ключом, сеть tap, и привязка сертификат / ip. Т.е., новое устройство, единожды подключившись, получает свой постоянный серый IP, к которому может попытаться коннектиться любое другое так же подключившееся устройство. Пространство адресов плоское и достаточно большое.
Выхода в интернет через эту сеть нет принципиально.
Админские права кстати, как я понимаю, нужны если только какой-то хитрый рутинг надо поднимать на сетку за устройством.

Еще были концепты развлечений устраивать несколько VPN-серверов, с L2-связностью, чтобы иметь возможность пережить падение одного сервера, но это пока не прижилось.

[qkowlew.livejournal.com]

Все случаи, когда я строил что либо на OpenVPN на виндовых машинах, убедили меня в том, что получить "конечный результат" без админских прав - нереально. на линуксах - да, более-менее реально. :)

[gineer.livejournal.com]

Хамачи ;)

[qkowlew.livejournal.com]

Сталкивался пока только в варианте "у нас пропал интернет! Помогите!" - при исследовании обнаруживался Хамачи с кривыми/покривевшими настройками. Пока сам настраивать и юзать не пробовал. :)

[fau74.livejournal.com]

Про первый минус тимвьювера - есть LogMeIn. В этом году подорожал, 150 баксов в год за пару хостов (на которые заходишь, юзеров без счета), 350 за пять. Дешевле тимвьювера, пока хостов меньше шести. В бонусах терабайтное файлооблако.

[shadowfoto.livejournal.com]

c VPN мы еще завязаны на прихоти провайдеров - то есть да, опен можно повесить на 443, а вот шаг вправо-влево и приехали, например гостевой вайфай Rosinter_Free в жральнях тупо режет udp.

[qkowlew.livejournal.com]

Мне уже много раз хотелось туннелирований типа "TCP over ICMP" и "TCP over UDP" :)

[shadowfoto.livejournal.com]

я как-то человеку помогал инет нахаляву так пользовать - он где-то на заморских югах отдыхал, вайфай стоил каких-то конских денег, при этом не то dns, не то icmp они не резали вот вообще. за что и поплатились... :)