Какой выбрать протокол VPN под мои задачи?

Question

[Петр]

Вечер добрый. Подскажите пожалуйста, какой выбрать протокол для VPN.
Будет реализована следующая схема. На Linux будет поднят отдельно VPN сервер, где я заведу учетки тем, кто должен будет попасть в локалку конторы.
Внутри VPN будет доступ к файлам, рдп и прочим сервисам которые доступны только внутри локалки.
Для конечного юзера, что бы это все работало из коробки. Создать профиль VPN в настройках Windows и все. Вот оно рабочее место.
Поделитесь вообще опытом у кого как реализовано все это. Потому что светить голым RDP во внешний мир, совсем не хочется.

Answer 1

[Drno]

Если надо обязательно клиентом винды - l2tp+ipsec

Но лично я посоветовал бы опенвпн по tvp на 443 порту.
И конфиг удобно юзеру кидать готовый, ненадо ничего объяснять про маршруты и прочее

Ибо многие провайдеры стали блокировать протоколы впн

Answer 2

[CityCat4]

Ну, у меня по IPSec сделано. Но "у меня" вовсе не как у среднего админа - у меня всюду сертификаты. Юзеру в зубы дается сертификат VPN и инструкция. Инструкция подробная, в картинках, как комикс, одолевают даже продаваны.

Создать профиль VPN в настройках Windows и все

Фактически так и происходит - создал профиль по инструкции, в пару кликов установил сертификат, нажал "Подключить" - поехали.
Никаких замуток про маршруты.

Comments

[Петр]

А кратко можете поделиться своим способом? Правильно ли я понимаю, что под юзера генерится сертификат?
У меня юзеров не так то и много будет, мне не сложно будет и самому настроить. Я просто не хочу ставить дополнительное по им на компьютера.

[CityCat4]

Петр, не под юзера, а под компьютер. Винда авторизует по сертификату компьютера. Это конечно пофиг, если один юзер - одна тачка. Ставить ничего не надо, стандартный виндовый клиент. Я именно этого и хотел добиться - чтобы искаропки работало.
На стороне сервера - микротик, хотя можно наверное и линух.

Если нужно подробнее - мыло в профиле, правда не факт что быстро отвечу

[Valentin Barbolin]

При выборе VPN стоит учитывать максимальную совместимость со всеми ОС и возможность пушить маршруты на клиента, что бы не заворачивать весь трафик клиента в VPN (торенты например).

Я бы советовал
IPsec - https://habr.com/ru/post/250859/
OpenVPN - https://docs.netgate.com/pfsense/en/latest/recipes...
wireguard - https://habr.com/ru/company/indriver/blog/586006/
ZeroTier - https://key-networks.com/ztncui/

По сложности настройки, по убывание (первый - самый сложный)
1. IPsec - ничего не надо устанавливать на клиенте, но сложно настроить, как сервер так и клиента
2. OpenVPN - достаточно просто , отдаем клиенту файл-конфиг который импортируется в программу OpenVPN
3. wireguard - конфиг достаточно простой, из минусов - нужен конфиг для каждого устройства.
4. ZeroTier - проще уже некуда, клиенту просто отдают идентификатор сети и апрувяет его подключение на сервере. Можно использовать офф версию, бесплатного тарифа будет достаточно https://www.zerotier.com. Вопрос только в безопасности, но в организации в которой нет домена об этом пока рано говорить)

[CityCat4]

Для VPN для доступа в локалку конторы ничего не надо никуда пушить, там наоборот нужно галку снять "пускать весь трафик через VPN". Потому что VPN для доступа в контору - это не антиблокировщик.

Клиента на винде настроить можно по инструкции - тетки-продаваны справляются :) там все по-виндовому клик там, клик тут. Сервер - да, непросто настроить.

Answer 3

[ValdikSS]

IPsec IKEv2.
https://qna.habr.com/answer?answer_id=2192678#answ...

Answer 4

[Eugene TI]

WireGuard в этом сезоне моден.
На стороне сервера телодвижения минимальны, на стороне клиента - конфиг в руки и дальше "всё само".