Ahojte,
potrebujem poradit. Ide o to, ze chcem kvoli jednemu projektu distribuovat rpi krabicky, ako ovladanie k jednemu zariadeniu, k zakaznikom. Lenze vznika otazka, ako sa kvoli sprave na krabicky pripojit. Chcem to bez toho, aby klient musel zlozito nastavovat svoj router a firewall. Napadlo ma reverzne ssh, ale pri nom je problem, ze by spojenie muselo byt neustale, pricom by som ho pouzival len obcas. Budem vdacny za akekolvek nasmerovanie.
Vdaka.
forward, dnat.
NAT na FW do RPI
Vdaka, ale predpokladam, ze myslite na routry klienta a tomu som sa chcel vyhnut.
V popise píšeš že "fw". Ide o server alebo o klasický router?
Prečo vyhnúť? Ako by si to chcel jednoduchšie spraviť. Pokial ide o router tak to máš klikačku na 2 min.
Klasicke routre. Rpi krabicka bude u roznych klientov za roznymi routrami/fw, a nie kazdy klient si bude vediet na routry nastavit dnat a fw. Preto hladam inu cestu.
Však mu to nastav ty pri odovzdávaní RPi.
Jasne, ak sa nebude dat inak, budem musiet takto, ale chcel som sa tomu vyhnut, aj voli tomu, ze klienti mozu byt rozne po svete.
no ono je to niekedy pri odovzdavani zariadenia problem. Specialne vo vacsich firmach, alebo pri zapajani u neznalych BFU, ktorym zapojil internet z telecomu 15 rocny synovec ani netusia ze nejaky router maju, nevravac o pristupovym udajom k nemu. Vo vseobecnosti spoliehanie sa na uzavrete riesenie tretej strany pri takejto implementacii, kde nemas komplexnu kontrolu nad celou sietou je velmi nebezpecne. Nikdy nevies kedy pridu technici od ich poskytovatela a vymenia im router, kedy sa budu stahovat a menit pri stahovani poskytovatela a aj router. Fun fact: napr telekom lubi vzdialene aktualizovat ich routre, raz za cas sa stane ze mi aktualizaciou odpalia vsetky nastavenia a musim sa cez teamviewer nalogovat na comp za routrom ktory mam tiez v sprave a znova ho nastavit takto, k comu asi OP nebude mat takyto pristup. OP pisal, ze je moznost mplementacie aj v zahranici, co by bol celkom pruser, cestovat kvoli tomu hoc len po celej europe.
Nepovedal čo presne zamýšla a pokiaľ to bude mať pre firemných zákazníkov tak tý majú zvyčajne nejaký FW. Keď to bude pre malých/domácich tak vravíš dobre ale nemusí nič nastavovať, stačí si urobiť zálohu (ROM-ko) a potom to tam len nahrať.
To je ale všetko už na zákazníkovi, či si dovolí šmátrať po routroch atď. Po nástupe zákaznikovi, odstrániť vzdialené ovládanie do routra, zmeniť heslo urobiť nejaké bečzpečnostné opatrenia a zazálohovať. Oboznámiť zákazníka a spokojno odísť. Keď sa niečo zosere tak pozisťovať a poprípade sa vykričať na ISP a obnoviť pôvodný config. Ver či never pokiaľ sa nejedná o telekom tak väčšinu to pomôže.
a ty ako zakaznik by si dovolil cudziemu cloveku smatrat ti do routra, menit hesla a bezpecnostne nastavenia? Pretoze ja urcite nie, ak by sa jednalo o firemnu siet tak by som bol o to viac obozretnejsi. Firmy maju vacsinou svojich, ci uz externych alebo internych adminov, a tym v realite vacsinou trva nastavenie aj takej banality ako je forwardnutie portu od tyzdna hore (teda specialne pri outsorcovanych adminoch). Stale si myslim ze je rozumnejsie spolahnut sa cisto iba na svoje riesenie, nez byt odkazany na naladu a blahosklonnost cudzej firmy, ktora ma spolahlivost tvojho riesenia tam kde ani slnko nesvieti :)
K tomuto sa asi vyjadrovať nebudem lebo pracujem v outsourcing firme a taketo veci aj nastavujem :)
A môžem ti povedať že presne takéto veci sa menia v podstate okamžite s tým že tá firma sa snami skontaktuje a zákaznik iba platí :)
V tom pripade patrite k tym slusnym IT firmam a ak by boli vsetky firmy taketo, tak by som nemal problem ani s forwardovanim. Bohuzial moje skusenosti su, ze az prilis casto veci troskotaju prave na neschopnosti tretej strany - a mam pocit ze niektore slovenske firmy dotiahli takyto mamfpicizmus do uplnej dokonalosti :)
No taký sú telekomáci.. toľko k dokonalosti :)
bohuzial sa to netyka iba telekomu, je to cca tretina firiem s ktorymi musim nieco riesit. Neviem, mozno mam iba smolu :(
ked mas na krabickach aj GUI, tak je podla mna najjednoduchsie a najrychlejsie riesenie je cez teamviewer. Ak sa ti s tym chce trochu vyhrat tak potom cez reverzne ssh ako pises, alebo cez centralny vpn server, pri obidvoch by vsak muselo byt stale nadviazane pripojenie na hlavny server.
Daj si do služieb na RPi aj pripájanie sa na Tvoj VPN server ktorý budeš mať na Tvojej verejnej IP adrese a nech klient zabezpečí aby RPi videlo na tinternet (hoci aj iba na IP toho VPN servra). Firewall typu aby sa RPi navzájom nevideli už asi doladíš ľavou zadnou.
Zvyšné návrhy ako DNAT (skôr PAT) ktorý ovšem vyžaduje aby mal klient u ktorého to RPi neží vonkajšiu IP adresu alebo, teamviewer ktorý neviem či utiahne RPi alebo či je vôbec podporovaný na ARMe nerozoberám. VPN je na takéto veci určená.
Ano, s teamviewerom mas pravdu, mea culpa, neuvedomil som si inu platformu. Idem sa hanbit do kuta :)
Vdaka za vsetky komentare, asi to nakoniec spravim bud cez reverzne ssh, alebo cez VPN, s tym ze spojenie pojde od rpi u zakaznika, co by malo byt bez problemov. Este rozmyslam, ako to spojenie iniciovat, ci tak ze na rpi pride email, mozno gpg sifrovany, alebo 3g usb modem a nejaka sms. Ale skor tie emaily, teda ak to bude chodive.
posledny komentar od stalina zmazany z dovodu nedodrzania etiky.
prosim, uviest dovod, preco bol predchadzajuci prispevok zmazany. nebodaj porusil koooodex?
povazovalo sa to za urcitu formu provokacie. Opat sme zacali dbat na kodex na portali, nakolko sa uz podaktori nevedeli vpratat do koze.
provokacia?! :DDD sice na urovni materskej skolko mozno aj hej...
ide ti karta
Nepredpokladám, že by tie RPi boli samostatné mail servre. Takže tak či tak by museli mať prístup von cez POP3 alebo IMAP poštové protokoly na email server aby vedeli či sa majú (znova) prihlásiť na VPN server.
To je už naozaj jednoduchšie nehať ich natvrdo pripojených cez VPN, a ošetriť FW na VPN servri aby sa navzájom nevideli. Ten FW odporúčam už len kôli tomu, že si niekto u zákazníka v pohode vyklonuje SD kartu, pozrie vlastnosti pripojenia a môže potom loziť po iných RPi. VPN si môžeš vybaviť ako si správne podotkol cez SSH (port forwarding, alebo celý VPN), poprípade cez OpenVPN.
PS: Ideálne by bolo mať dokonca kľúče pre každý RPi generované zvlášť. Ale to už prediskutuj s firemným IT bezpečákom.