Как безопасно раздать пользователям веб-ресурс из частной сети?

Question

[comradeRecky]

Контрагент предоставил доступ к VPN, внутри подсеть с необходимым вебсайтом и подсеть для других организаций (типа меня).
Возникло несколько вопросов:
1. Как раздать доступ к этому вебресурсу своим пользователям без установки "лишней мишуры" (типа VPN-клиента), чтобы от пользователя требовалось только перейти по ссылке в браузере.
2. Как обезопасить подсеть организации от этого возможного вектора атак?

На данный момент реализовал костыльное решение: VM линух, внутри эта впн и прокси-сервер, через который подключаются мои пользователи для доступа к этому вебресурсу. Есть ли решение элегантнее и проще?

Comments

[be52]

если клиенты сайта заходят на него только из офиса то я не вижу проблемы. впн настраивается на шлюзе для всех

Answer 1

[Vitsliputsli]

1. Как раздать доступ к этому вебресурсу своим пользователям без установки "лишней мишуры" (типа VPN-клиента), чтобы от пользователя требовалось только перейти по ссылке в браузере.
2. Как обезопасить подсеть организации от этого возможного вектора атак?

Чтобы для пользователей подключение было прозрачно, чтобы не давать им креды от VPN, чтобы они не творили, что вздумается в этом VPN, а пользовтели с другой стороны в вашей сети, в любом случае нужен шлюз, который будет контролировать подключение. На нем:
Запретите все входящие пакеты из подсети VPN по всем протоколам, кроме tcp (но не установление соединения), по icmp пусть отвечает только шлюз.
Запретите все исходящие пакеты в эту сеть, кроме icmp и нужного ip по протоколу tcp на нужный порт (или даже протоколу http/https, если есть такая возможность).

Есть ли решение элегантнее и проще?

Проще, шлюз без форвардинга, на нем nginx как proxy. При желании и его можно закрыть от сети VPN.

Comments

[Drno]

ну и я бы послал вас нафиг с таким впн. т.к. при подключении к нему отвалится инет... либо не делать его основным шлюзом

[Vitsliputsli]

Drno, я бы написал, что автор в вопросе поднял отдельный шлюз специально для vpn, поэтому про шлюз в интернет речи не идет, можно конечно и на шлюзе в интернет это сделать, но тут уж просто точно никак не получится. Хотя лучше просто пошлю вас взаимно.

Answer 2

[Drno]

через ВПН, собственно как и сделал контрагент

ну еще можно юзверям RDP дать, до сервака который подключается к этому сайту

Comments

[comradeRecky]

хочется чтоб от пользователя требовалось только перейти по ссылке в браузере, ничего лишнего

[Drno]

comradeRecky, тогда поддержу коментатора ниже. можно сделать прокси с авторизацией
ток не который socks прокси. а который в веб сервере можно сделать. что то типа reverse proxy + авторизашка