Как вэб сервер может узнать имя пользователя домена при входящем запросе от пользователя RPD?

Quqas, да, все на винде. В итоге решили попробовать все это на IIS, т.к. там проще с включением в домен и доверием к другим доменам.

Как вэб сервер может узнать имя пользователя домена при входящем запросе от пользователя RPD?

Valentin Barbolin, учту, спс
А если будет несколько доменов?
Просто апач подружить со всем доменами и должно работать как и с одним?

Как вэб сервер может узнать имя пользователя домена при входящем запросе от пользователя RPD?

Получается, если верить статье на хабре, то процесс запущенный в rdp от имени доменного пользователя будет во все исходящие http запросы к удаленному апач добавлять в заголовки поле access token?

Как вэб сервер может узнать имя пользователя домена при входящем запросе от пользователя RPD?

Valentin Barbolin, да, гляну описание kerberos

Тогда получается, если я буду действовать по плану
По идее план такой:

• настроить доменную авторизацию на апаче и включить его в домен
  
• настроить апач так, чтобы он в заголовки входящего запроса добавлял поле с именем пользователя домена, от которого будет происходить входящий запрос
  
• обработать имя доменного пользователя и выдать нужный мне результат
  

по идее все должно сработать нормально как для случая отдельного компа, так и для случая пользователей из rdp?

Как вэб сервер может узнать имя пользователя домена при входящем запросе от пользователя RPD?

Valentin Barbolin, прочитал, там упоминания rdp нет..
Я в замешательстве.
Рассуждаю так:
- для того чтобы однозначно определить пользователя ан стороне апаче нужно какое-то поле прописывать автоматом во все исходящие запросы от имени пользователя в rdp сеансе
- апач, получив такой входящий запрос, может по этому уникальному полю(access token?) сделать запрос в АД и получить имя пользователя

но вроде как-то не секьюрно получается, если винда автоматом access token в заголовки добавляет

Как централизовано управлять запуском скриптов на виртуальных машинах?

Drno, а все таки какой вариант реализации с использованием Linux вы видите?
Я ведь могу все это развернуть как на proxmox, так и просто рядом поставить сервер на linux.
Текущая автоматизация скриптами на питоне уже выполняет скрипты на гостевых windows через ssh.
Просто от решения хочется некоторой универсальности, чтобы самому не писать оркестратор со сбором отчетности

Как централизовано управлять запуском скриптов на виртуальных машинах?

Drno, если речь про скрипты - то не хочется изобретать велосипед. Да и передавать на поддержку потом сложно

Как можно сделать механизм, который контролирует внешний IP и запрещает выход в интернет, если внешний IP не равен заданному?

Армянское Радио, сеть выглядит так
- ВМ(192.168.0.х), смотрит на pfsense
- роутер pfsense, смотрит в сеть с ВМ(192.168.0.х), в интернет(1.1.1.1), поднимает OVPN туннель(172.20.20.х) до роутера на firtsvds(2.2.2.х), делает nat всего трафика от ВМ через OVPN туннель
- на роутере на firtsvds(2.2.2.х) есть OVPN сервер, для всего трафика из туннеля (172.20.20.х) делаем nat через wan

Для каждой ВМ поднимается индивидуальный OVPN туннель до своего роутера на firstvds, т.е. для каждой ВМ будет:
- свой OVPN туннель
- свой роутер на firstvds
- свой отдельный набор правил на pfsense

Как можно сделать механизм, который контролирует внешний IP и запрещает выход в интернет, если внешний IP не равен заданному?

Drno,

FragMaster, подождите ка... если
Почему бы просто не заблокировать всем ВМ выход в интернет кроме одного адреса "OVPN сервер(внешний IP)" ?
Нет VPN - нет интернета.
у Вас сделано, то ВМ не сможет выйти в инет... чисто физически...

ВМ доступ в интернет не имеет, потому что OVPN канал поднимается на pfSense и сам pfSense уже маршрутизирует трафик до OVPN сервера с конкретной ВМ

Ну как вариант попробуйте микротик и далее маркировкой трафика... ну тоесть до микротика доступ у ВМ есть, а само правило NAT появляется только при подключении OVPN клиента, соответственно добавляется NAT правило. Либо NAT сразу прописать, а добавлять\удалять роут... динамически

В принципе сейчас оно так и работает, только вместо mikrotik используем pfsense

Как можно сделать механизм, который контролирует внешний IP и запрещает выход в интернет, если внешний IP не равен заданному?

Andrey Barbolin, собственно сейчас так и работает, но
вот 1
вот 2

Как можно сделать механизм, который контролирует внешний IP и запрещает выход в интернет, если внешний IP не равен заданному?

Армянское Радио, от контрольного механизма все равно не уйти, потому что я не знаю, как свести к 0 риски:
- человеческого фактора
- багов ПО(в данном случае pfSense)

PS: мы несколько месяцев жили в полной уверенности, что все работает как надо, т.к. были чек листы настройки и проверялось перед запуском 2 раза все и если внести настройки в 2-х местах не верно, то трафик не ходил... Нам думалось, что все хорошо, но после запуска скрипта отслеживания мы выявили, что уже какое-то время некоторые ВМ ходят НЕ через свой IP при падении OVPN канала(хотя от пользователей получали жалобы, причиной которых был упавший OVPN - значит система работала), хотя настройки это прямо не разрешают.

PS2: если есть предложение, по проекту системы, которая исключит такие ошибки, я только с радостью, мы с ребятами уже голову сломали

Как можно сделать механизм, который контролирует внешний IP и запрещает выход в интернет, если внешний IP не равен заданному?

Армянское Радио, не совсем так, потому что, если мы и решим вопрос с таким поведением pfsense, то это:
- не гарантия того, что при следующих изменениях настроек pfsense проблема не повторится
- тупо человеческий фактор при настройке новых машин
- повторюсь, в идеале ВМ никогда не должна выходить в интернет НЕ через свой адрес

PS: я б честно говоря вообще OVPN клиента поднимал на самой ВМ - пусть это усложнение рутинной настройки, но ошибиться сложнее и эффект от неверных настроек будет влиять только на 1-2 ВМ

Как можно сделать механизм, который контролирует внешний IP и запрещает выход в интернет, если внешний IP не равен заданному?

Sergey, через wan интерфейс самого pfSense...
Словили такое поведение:
- правила настроены корректно и не позволяют трафику ходить через wan pfSense
- при падении OVPN канала до сервера OVPN трафик пошел через wan pfSense
- ребутнули pfSense, поведение при падении OVPN канала не повторяется....

Теперь хочется еще перестраховаться...

Как можно сделать механизм, который контролирует внешний IP и запрещает выход в интернет, если внешний IP не равен заданному?

Alexey Dmitriev, мне кажется идея не оч хорошая потому что:
- единая точка отказа - что то поменяли в скриптах, повлияло на все ВМ, в идеале хочется добиться независимой настройки для каждой ВМ, т.к. нужно добиться, чтобы механизм работал без ошибок ВСЕГДА и если уж ошибся, то на минимальном количестве ВМ
- не знаю как со скоростью реагирования этого скрипта будет...
- с pfSense уже ловили проблему, когда по настройкам не может так трафик ходить, а он ходит, после ребута не воспроизводится, в общем нету доверия pfsense - потому и думаем новый механизм, топорный и простой, пускай будет больше ручной работы, но обеспечена нулевая ошибка работы