Как автоматизировать подключение к VPN?

Question

[Artcifra]

Как можно упростить для пользователя подключение по RDP ?

Кратко: на сайте пользователь оставляет заявку ему присылают доступ к windows компьютеру для возможности "потыкаться" в специализированном ПО.

Хотели отправлять пользователю *.rdp файлик со всеми настройками и паролем, который он должен будет ввести. Но для безопастности всего этого компьютеры поставили за VPN.

Настроить VPN не для всех очевидная и простая задача.

Есть возможность создать скрипт(bat, powershell ), который запустит пользователь и у него:

1. пропишется VPN соединение
   
2. сохранися в системе
   
3. подключит VPN что бы трафик шел через него
   
4. запустит .rdp фаил для подключения
   
5. далее при RDP подключении уже будет запрошен пароль
   

• Интересуют больше всего первые три пункта это возможно?
  
• Для win8 и win10 разные будут скрипты?
  
• Скрипт может учитывать, что такое VPN уже создан и переходить к пункту три сразу?
  
• Какие могут быть еще подводные камни?
  
  

P.S.
в вопросе не стал писать, что пароли будут меняться переодически, поэтому про безопасность передачи паролей в скриптах просьба не писать, это к вопросу не относится.

Comments

[Никита]

сейчас у меня рдп на не стандартном порту и это 2М дропнутых пакетов в месяц на роутере. Сам жалею что открыл рдп.

Answer 1

[res2001]

Видимо используете микрософтовские стандартные варианты ВПН?
У микрософта есть такая штука CMAK помогает созадавать установщики ВПН соединения.
Так же создать ВПН соединение можно с помощью powershell скрипта используя апплет Add-VpnConnection.
Тут и тут пишут, что можно и просто в cmd (т.е. батником) создавать соединения.
Подключить ВПН соединение с помощью rasdial, запустить RDP - mstsc.

Если использовать openvpn, то можно уйти от паролей и сделать ВПН на ключах. Распространять уже преднастроенную сборку openvpn. Клиентские ключи можно регулярно банить и генерить новые. Новые выкладывать на сайте.
Логин/пароль на винду лучше не прописывать в скрипте а публиковать на сайте и так же регулярно менять - пусть пользователь вводит их ручками. На всякий случай - сохранить логин/пароль для RDP соединения можно с помощью утилиты cmdkey.

Comments

[Artcifra]

штука CMAK

хорошая, но она завязана тоже на майкрософт. А у меня железка с VPN по проще .

я рассчитывал на powershell решение, за ссылки спасибо, но там махинации с "подменой файла" где прописаны все VPN соединения, так можно навредить пользователю если майкрософт внесет изменения/новый фишки в него.

[res2001]

Artcifra,

но там махинации с "подменой файла" где прописаны все VPN соединения

Вам же не обязательно подменять файл. Я так понял файл текстовый - парсите его, если вашей настройки нет - добавляйте в конце, если есть пропускайте. Это можно сделать в батнике стандартными средствами.

[res2001]

Artcifra,

хорошая, но она завязана тоже на майкрософт. А у меня железка с VPN по проще .

У вас железка, поддерживающая ВПН, которое поддерживает клиентская винда?
CMAK - как раз для клиента, а не для сервера. Поэтому, возможно, вам (вашим клиентам) вполне подойдет.

[Artcifra]

Всё уперлось в новую политику безопастности мелкософта(хотя разумная)
Теперь, что бы запускать на компе скрипты нужно снять блокировки в powershell и командной строке. Без этого скрипты не запускаются, причем не всегда юзеру понятно, что для этого нужно разрешить им доступ на выполнение.
Настройка VPN на фоне этого уже не сложная задача.
Но если так дело пойдет на window пропадут вирусы ))

[Artcifra]

res2001,

CMAK

не поддерживается и на win 10 с костылями запустится.
Бесплатные продукты у майкрософт долго не живут )

[Spotegg]

Artcifra, объясняете в ролике как запустить powershell от имени админа, дальше юзер вводит там Set-ExecutionPolicy RemoteSigned и жмет ентер, и отвечает yes to all. После этого открывает ваш *.ps1 скрипт и жмет RUN

Answer 2

[CityCat4]

Наверное, через VBS/PS можно решить - через VBS вообще много чего можно сделать, в том числе весьма неординарного. Но мне неизвестно - это долгое рытье MSDN.
Вынести комп из-за VPN. И отключить его от сети конторы (физически или на уровне vlan - главное, чтобы не на компе).
Повесить RDP на нестандартный порт - его конечно все равно найдут, но школоту отсечет.
Не ставить на него ничего, кроме того софта, который демонстрируете и после каждого юзера накатывать бэкап (а еще лучше завести виртуалку и ее после логоффа автоматом из снапшота подымать, убивая старую)

Comments

[Artcifra]

Наверное, через VBS/PS можно решить - через VBS вообще много чего можно сделать, в том числе весьма неординарного. Но мне неизвестно - это долгое рытье MSDN.

я это понимаю, обратился с вопросом, что бы избежать долгого рытья в MSDN

[CityCat4]

Artcifra, Это вряд ли. Очень уж нестандартная задача :)

Answer 3

[Станислав Валсинатс]

Сам интересуюсь этим вопросом - попробуйте такую штуку, как ниже (работает только на Вин10, там версия PowerShell должна быть выше чем на 7)

$VpnName = "Тест проверка TEST"
$gateway = "8.8.8.8"
$psk = "123456"
$regp = 'HKLM:\SYSTEM\CurrentControlSet\Services\PolicyAgent' #if VPN server is behind NAT, otherwise comment out this line.

#add l2tp vpn
Add-VpnConnection -Name $VpnName -ServerAddress $gateway -TunnelType L2tp -AuthenticationMethod MSChapv2 -EncryptionLevel Optional -L2tpPsk $psk -Force -AllUserConnection -RememberCredential -SplitTunneling
New-ItemProperty -Path $regp -Name AssumeUDPEncapsulationContextOnSendRule -Value 2 -PropertyType 'DWORD' -Force

Создаем файл *.ps1 и запускаем в PowerrShell

Comments

[Artcifra]

Станислав Валсинатс спасибо, но запускать PowerShell скрипты пользователь обычный, по умолчанию не может ;( поэтому для пользователя проще выложить ролик как настроить VPN соединение.

Answer 4

[sanglyb]

Если доступ нужен только к rdp - не проще ли, и не лучше ли воспользоваться remote desktop gateway?

Comments

[Artcifra]

не проще для предприятия такое решение через пару лет станет ценой в скромный автомобиль, такая уж политика лицензий у мелкософта

Answer 5

[adonya]

rasdial [Имя_VPN_подключения] [имя_пользователя] [пароль]