Порекомендуйте централизованную систему удаленного доступа?

Question

[Роман]

Существует скажем 5 машин в локальной сети, доступа в интернет/из интернета в ней нет. К этой сети по ВПН подключаются клиенты.


Существуют ли решения, подобные RDS? И желательно тонкие (без необходимости установки какого-либо клиента).

Необходимо, чтобы к одному рабочему столу могло подключаться несколько пользователей одновременно (в основном для просмотра, но должна быть возможность выполнять действия).


Пока был опробован Microsoft RDS — громоздко, надо доступ 2-3 пользователям на 5 машин


Еще попробовал www.cybelesoft.com/access-point/ — не умеет NLA, нужно отдельно вести учетки (нельзя брать из службы каталогов).


Radmin — нет централизованного гейтвея… пока идеи закончились :)


Решение может быть платным, но не невероятно дорогим (тимвьюер, к примеру — стоит овер 10к$ =) и не совсем подходит)

Answer 1

[0000168]

Решений может быть много, в любом случае это дополнительный выделенный сервер.

(без необходимости установки какого-либо клиента).

Тут сложнее, тем более что RDP — но формально это тоже клиент, только встроенный.

Radmin — нет централизованного гейтвея… пока идеи закончились :)

Но Radmin можно использовать как шлюз, т.е. через radmin вывешенный в интернет идет подключение к локальным пк (пароль вводится 2 раза — от шлюза и клиента). Аналог RADMIN — Remote Office Manager, но по скорости первый будет существенно быстрее.

Comments

[Роман]

через radmin вывешенный в интернет

— это как? мне такое нравится, только я хочу вывешенный не в интернет а в интранет.
2 раза пароль вводить в некотором смысле — ОК, для РАдмина, он позволяет несколько одновременных подключений…

Пойду посмотрю что за ROM

Answer 2

[0000168]

Сессии позволяет устанавливать.
На мужу смотрит один порт по умолчанию или любой свой. Про безопасность можно не переживать, она на высоте. У radmim есть сайт с открытым наружу портом для «взлома» — еще не сломали.
2 пароля — тут я подразумеваю что на 5 компах нет AD, следовательно авторизация локальная, на серые торчащим наружу и конкретном компьютере.

Вот и решение Вашего вопроса.
P.s. но без клиента не обойтись

Comments

[Роман]

Если клиент позволит реализовать весь функционал — можно и с клиентом

[0000168]

Ну тогда вопрос решен)

[Роман]

На компах есть AD, но например Радмин - во первых коннектится к консольной сессии, которой на удаленной машине может и не быть (в нее изначально заходят ремоутом, т.е. консоль надо отдельно инициировать походу :( ) - а во вторых - два раза авторизация - на хосте и на шлюзе.... + не самое удобное управление. Идеально - это эдакая страничка/акцесс поинт, в которую заходить юзером из АД, и с этой же авторизацией выбираешь доступную машину из списка и вперед...

[0000168]

Ну тогда проще полноценный VDI развернуть. 2 раза ввести пароль - это нормально, наверное вы не сталкивались с многофакторной авторизацией. про консольную сессию - да, ну я так полагал что подключаются к своим компам. следовательно сессия одна. Страничка входа это хорошо, но ее тоже надо защищать, + вход на локальный пк.

Answer 3

[Александр]

Ammyy Admin посмотрите

Comments

[Роман]

Интернета на машинах нет.
Я не уверен, но АММИИ вроде работает через их специфический шлюз в интернете…

[Константин Фролов]

Роман: в интернете есть шлюзы, можно поставить в локалке

[Константин Фролов]

Константин Фролов: точнее, можно скачать шлюз :)

[Роман]

Я нашел более интересное решение, называется Guacamole

Answer 4

[Ilya Evseev]

Radmin — нет централизованного гейтвея…

Любой TCP-прокси или DNAT — легковесная бесплатная замена шлюзу.
Один порт = один сервер.
Авторизация уже обеспечивается VPN.

Comments

[Роман]

Ок, а куда я запишу «Один порт = один сервер»? Или мне каждому подключающемуся клиенту говорить — вот 5901 — это компьютер А, а вот 5902 — компьютер Б?

Ищется что-то графическое… зашел на сайт, юзер/пароль ввел, нажал на компьютер из списка — и вуаля, ты внутри

[Ilya Evseev]

Нечто подобное нетрудно сделать через Веб-интерфейс с Java-апплетом VNC,
но VNC-сервер для Windows работает крайне медленно.

[Роман]

Вряд ли это медленнее VDI в Hyper-V on ESXi =)

[Ilya Evseev]

Отлично, тогда делайте Веб-страницу со ссылками, каждая ссылка запускает Java-апплет VNC со своим набором параметров, тот подключается к соответствующему серверу. Бесплатно и сердито.

[Роман]

Вот. А есть такая «веб страница» / аппликация — которая уже готова. Чтоб не надо было делать, а только настроить? :) Можно и не бесплатно

[Ilya Evseev]

Фигурные скобки замените на угловые и сохраните в index.html

{html}
{head}
{title}Select VNC server{/title}
{/head}
{body}
{h1}Select VNC server{/h1}
{table border='0'}
{tr}
{td}{a href='s1.html' alt='Server1'}{img src='server1.png'}{/a}{/td}
{td}{a href='s2.html' alt='Server2'}{img src='server2.png'}{/a}{/td}
{!--… другие серверы… --}
{/tr}
{tr}
{!--… в несколько строк… --}
{/tr}
{/table}
{/body}
{/html}

s1.html:

{html}
{head}{title}S1{/title}{/head}
{body}
{h1}S1{/h1}
{APPLET CODE=VncViewer.class ARCHIVE=VncViewer.jar WIDTH=1024 HEIGHT=768}
{PARAM NAME='HOST' VALUE='10.20.30.40'}
{PARAM NAME='PORT' VALUE='5901'}
{/APPLET}
{/body}
{/html}

Параметры взяты из www.tightvnc.com/doc/java/README.txt

Можно и не бесплатно

Вы серьезно?

[Роман]

А почему бы и нет?
ВПН в эту сеть пробрасывается не мной, а значит я не могу опираться на авторизацию того впна.
Значит мне надо сайт, который будет уметь проверять пользователей и пароль, желательно через АД — и в зависимости от настроек внутри сайта — давать доступ к определенным машинам.

[Ilya Evseev]

Можно закрыть AD-авторизацией Веб-страницу, но если нехороший клиент догадается запустить у себя VNC-клиент с нужными параметрами, то его пропустит.

Получается, что после успешной Веб-авторизации надо создавать в файрволле на шлюзе разрешение для клиентского IP.

[Роман]

Хм… вот поэтому апплет должен выполнятся на страничке, она должна быть инициатором — и в фаерволле разрешить только доступ с гейтвея

[Ilya Evseev]

Апплет по определению выполняется в клиентском веб-браузере.

[Роман]

Вот поэтому хочется гейтвей. Который будет показывать картинку пользователю, а исполнятся на гейтвее… как-то так.

Answer 5

[Rowdy Ro]

я использую logmein.com, может вам подойдет.

Comments

[Роман]

LogMeIn Требует интернет, надо без интернета.