Какой протокол VPN выбрать для удаленки?

Question

[greenlittlefrog]

Нужно организовать рабочий стол для удаленщиков. Раньше пользовались Pritunl с OpenVPN, но с некоторых пор доблестные ребята из РКН начали нам его замедлять. Есть ли какие-нибудь альтернативы с другим протоколом и вебмордой? Wireguard насколько слышал тоже замедляют в Центральной России, поэтому не вариант.

P.S. Гневное письмо в РКН отправили, но шестеренки госструктуры крутятся уж слишком медленно.

Comments

[DoctorCat92]

Вы можете и дальше использовать vpn свой который и использовали. Просто маскируйте его обфускацией. Можно установить v2ray и использовать reality для маскировки.

Подключается к openvpn он как прокси . получается трафик с вашего пк на нем же заворачивается в клиент v2ray там маскируется и на выходе ничем не отличается от https

Answer 1

[Константин Фролов]

Попробуйте для начала SSTP.
Для РКП его трафик выглядит как HTTPS.

Comments

[nApoBo3]

Последнее время с ним тоже начались сложности на отдельных локациях, пока единичные, но тенденция неприятная.

[DoctorCat92]

Это не совсем так. Sstp в современное время сильно палится что он VPN

Answer 2

[Drno]

SSTP \ ocserv
Zerotier

Answer 3

[My_Second_Nickname]

Использую OpenVPN. Чтобы не блокировали:
"письмо на адрес [e-mail] вот такого содержания. Дальше уже они ответят, что нужно.
"Здравствуйте. Наша организация использует протокол OpenVPN для организации защищенной корпоративной сети. Уже неоднократно этот протокол подвергался блокировкам, со стороны провайдера.
По совету провайдера, обращаюсь к вам, для внесения наших серверов в т.н. "белый" список.
Что для этого нужно?"

Мне прислали экселевскую табличку, которую заполнил, и отправил обратно.
Там название ЮЛ, ФИО представителя, контактные данные, провайдер/IP адрес/протокол, и цель использования.

Comments

[MikeHail]

Напомнило случай один. Как то хотел зарегистрироваться что обрабатываю персональные данные, подготовил всё, отправил, а мне место физического хранения сервера запросили. Естественно я не знаю где находится физически сервер контур.Бухгалтерии. Хотя заполнял всё по инструкции от Контура и вроде как проблем не должно было. За время публикации инструкции до моего заполнения видимо что то поменялось в правилах заполнения заявления. Короче забил на это всё дело. Как бы у них снова не поменялась форма заявления.

Answer 4

[ky0]

Для удалённого рабочего стола не нужен VPN, RDP сам умеет нормально шифроваться.

Comments

[greenlittlefrog]

Там не только RDP

[ky0]

greenlittlefrog, тогда добавьте это в вопрос.

[greenlittlefrog]

ky0, а там написано что это RDP или вы уже просто свои фантазии додумываете?

[ky0]

greenlittlefrog, в тэгах есть RDP - зачем что-то додумывать, автору вопроса же виднее, он наверняка мозг перед публикацией включал. Для других видов есть другой тэг.

[Артем]

ky0, RPD открытый наружу шифроваться? Завязывайте бухать

[ky0]

Артем, бухать ещё рано :) Почитайте про TLS, в который умеет RDP уже сто лет.

[Артем]

ky0, Да это самоубийство, выставлять рдп на ружу.

[Сергей Сахаров]

ky0, Что толку, что он типа "умеет"? Выставьте RDP наружу и посмотрите, когда к нему подберут пароль. Обычно на второй неделе уже...

[ky0]

Артем, Сергей Сахаров, уже третий год у меня торчит RDP с домашнего компа наружу на стандартном порту. RDPGuard (аналог fail2ban) всё радостно режет - а когда убрал стандартные TLS 1.0 и 1.1, оставив только 1.2 - вообще долбиться перестали.

[Сергей Сахаров]

ky0, Спасибо, интересно. RDPguard не пользовал, даже не слышал.
Только стандартный виндовый файрволл и проброс порта.
А вот про то, что RDP часто ломают - наслышан.

[Quqas]

если вместо(е) RDPguard всунуть прослойку стандартного rdgateway - всё становится ещё более-лучше
трабл лишь в необходимости своего но общедоступного домена
чтоб те же серты от certbot'a получать

из коробки нативная а не через твики смена порта (tcp. udp тоже меняется но нет клиентов которые это понимают) и попытка дополнительно спрятать за reversproxy (нежизнеспособно)

[Pb_hard]

Артем, RDP надежный протокол в современном его виде. Ни разу не слышал и не сталкивался чтобы его ломали.
Пароли подбирают - это естественно, поэтому при использовании RDP должна быть грамотная парольная политика.

Ну и самое главное - кто вам мешает избавиться от подбора?
Если белые адреса всех клиентов известны их можно занести в белый список.
Если нет - есть такие штуки как порт кнокинг и хонейпот для исключения перебора паролей.
Так же вполне действенный метод ограничение по адресам регионов. Например если у вас все клиенты в России можно на фаерволе блокировать весь зарубежный трафик RDP а это 95% всех ботов по перебору

[Pb_hard]

Сергей Сахаров, Мне тут надо было оценить защиту от шифровальщика - выставил виртуалку с RDP Логин Administrator пароль 123. Отключил защиту от подбора портов .
Заразили виртуалку через 3часа.

Но это же не значит что RDP плохой. Просто пароль 123 не самый лучший вареант.
Подобрать же 8 и более знаков в пароле уже не реально. Шансы есть только для популярных словарных паролей.

[Артем]

Pb_hard, ну месяц два три тебя не взломают, но сиди так год и более всё равно ломанут.

[Сергей Кузнецов]

ky0, fail2ban вроде как бесполезен, когда подбор идет через ботнет и каждая попытка приходит с нового IP.

[MikeHail]

Сергей Сахаров, арендовал vps под Windows 8 и удаленным рабочим столом для нужд 1С бухгалтерии, доступ на две учётки - мне как админу, а кадровику урезанные права и у всех удаленный рабочий стол, никаких проблем и взломов...
А так TeamViewer и anydesk использовал ещё.

Answer 5

[Сергей Сахаров]

Если вся команда в России - Континент-АП.
https://www.securitycode.ru/products/skzi-kontinent-ap/

.... по крайней мере мы именно так и работаем.

Comments

[Константин Фролов]

А товарищ майор теоретически может к трафику внутри него иметь доступ?

[Артем]

Константин Фролов, если вы нужны товарисчу майору он от пк до провайдера трафик посмотрит

[AntHTML]

Константин Фролов, А кто запретит внутрь православного континента запихать буржуйский ipsec со всем трафиком?
Так и делаем - называется "Ни нашим ни вашим"

Answer 6

[CityCat4]

У меня прекрасно работает IPSec. Правда, только в РФ (в Казахстане не заработал - кто его там банил - то ли КазахКомНадзор, то ли наш РКН - хз)
Москва, Анапа, Владивосток - как из пушки

Answer 7

[Ptah Oziris]

Использую Openconnect , порт 443 внутри РФ не блокируется. Внутри тоннеля всё что угодно. RDP, клиент-серверные прилодения и тд.