Как сделать безопасный доступ из интернета к нескольким серверам в локальной сети?

Question

[Игорь]

Задача: есть несколько людей, которым необходимо обеспечить доступ к нескольким серверам компании, находящимся в локальной сети. Сервера находятся на разных локальных адресах. Причём обеспечить так, чтоб трафик от них до сети компании был зашифрован.

Конечно, как раз для таких случаев можно использовать ssh туннелирование:



Проблема в том, что в этом случае:
1. Пользователям нужно выдать какой-то ограниченный аккаунт на роутере. Как правильно его ограничить, чтоб на сервере не ползали и ничего не могли делать?
2. Пользователи смогут получать доступ ко всей локальной сети (не только к нужному web-серверу), чего не хочется.

Как решить задачку? IP пользователей из-вне неизвестны.

Answer 1

[4dmonster]

OpenVPN?

Comments

[Игорь]

VPN-сервер на web-сервере открывать не хочется. Его можно настроить на ssh-сервере
Тогда на ssh-сервере дополнительно нужно будет прописывать правило, которое позволяет от адреса VPN доступ только к web-серверу, верно?

[smartlight]

нет.
на роутере подымаете openvpn.
нет.
openvpn будет выдавать маршрут на локальную сеть, в вашем случае это 192.168.0.0/24, т.о. пользователи из-вне через openvpn будут получать доступ к ресурсам локалки просто по их ip адресам

Answer 2

[Sergey]

Варианты:
1) любое vpn-решение, от опенсорцных, до проприетарных
2) прикрутить к сайту HTTPS и авторизацию и просто пробросить нужный порт (443 или любой выдуманный, по желанию)

Comments

[Игорь]

HTTPS не подходит: в будущем планируется проброс нескольких разных сервисов

[Sergey]

тогда vpn, выбор конкретного решения уже отдельная тема. Можно и ssl-vpn решения рассмотреть.

Answer 3

[JDima]

Что за роутер, какой софт? Есть ли AAA сервер?

Answer 4

[Николай Васильчук]

Настройте на маршрутизаторе проброс портов. К примеру, порт 8022 будет вести на первый сервер, 8122 — на второй.

Comments

[smartlight]

очень несекурно

Answer 5

[Николай Турнавиотов]

1 правило — вынести все сервера в DMZ, другую подсеть, другой влан.
настроить проброс поддоменов/алиасов на конкретный сервер/сервис натом во внутреннюю сеть