Установка Kerio Control на vServer от Hetzner.

[cshyka]

Установка Kerio Control на vServer от Hetzner.

Хочу установить Control на виртуальный сервер. Но беда в том что установка собственных образов у Hetzner не поддерживается.
Собственно я могу установить практически любую OS. Список доступных очень широк. Но вот как потом "преобразится" в Kerio OS понимания пока нет.
Предположу что надо сначала установить чтонить из того что дают, а потом чтото попробовать заменить...

Предвещая вопросы "нафига!!!" отвечу, что хочу использовать данный узел как VPN Server. Особенности установки и работы при 1 сетевом интерфейсе уже изучены и протестированы, все работает отлично.
А выбор пал именно на керию исключительно потому что мне этот продукт хорошо знаком и понятен, а курить тот же OpenVpn желания пока нет.

[HOG]

cshyka, предвосхищая вопросы вообще могу спросить сразу: уважаемый, ты минимальные системные требования к Kerio вообще читал?? Насколько мне типа как вспоминается, там указаны два типа гипервизоров: MS Hyper-V и VmWare ESXi, и не более того. Если, как ты говоришь, в системе твоего виртуального гипервизора на хостинге (!!!!!!!) можно установить

Цитата

Сообщение от cshyka

практически любую OS

То у тебя есть единственные варианты - Kerio Software Appliance, да и то, я полагаю, что не вариант, что все у тебя заработает, или вариант для *NIX систем, в том случае, если подлиневые варианты совместимы с Debian 9.1 минимальная/LAMP*, Ubuntu 16.04.2 LTS минимальная, Ubuntu 16.04.2 LTS Nextcloud, Ubuntu 17.04 минимальная, CentOS 6.9 минимальная, CentOS 7.3 минимальная, openSuSE 42.2 минимальная. Далее по тексту от ТС

Цитата

Сообщение от cshyka

хочу использовать данный узел как VPN Server

ВПН сервер, при соответствии произрастания рук можно поднять на любой операционной системе, взять ту-же винду, донастройка займет 10 минут. А использовать, простите, систему безопасности периметра (читай FIREWALL) корпоративной сети в качестве VPN сервера, это как минимум идиотизм основанный на использовании говна и палок. Ну, и работать оно все будет соответственно.

[cshyka]

Работать то оно будет. Вопрос в том, как именно произвести инсталяцию.
Все дистрибутивы подразумевают установку на голое железо с CD или с флешки.
А вот подсунуть свой образ возможности как раз нет...

Что касается минимальных требований, то «работоспособность не гарантируем» не всегода означает что не работает, в данном случае работает.
А на тему впн на винде за 10 минут, все же можно пофлудить.
У меня есть три локальные сети, все сидят за керио, между ними настроены и работают тунели. Мне нужен ВПН сервер который бы принимал на себя внешних клиентов (не из этих сетей), при этом предоставлял им доступ разный в зависимости от принадлежности к группам. И что крайне желательно, чтобы не светились внешние адреса моих сетей (паранойя присутствует).
Реализовать маршрутизацию при помощи керию я понимаю как. (Гипотетически)
Собственно схема рабочая, на арендованных железках работает. Все дело в цене, за железку надо платить 30 евро а за виртуалку 3.

[HOG]

Цитата

Сообщение от cshyka

Реализовать маршрутизацию при помощи керию

невозможно, ибо в любом случае керио, маршрутизация осуществляется именно средствами операционной системы, ибо керио занимается фильтрацией трафика, а маршрутизацией занимается операционка.

Цитата

Сообщение от cshyka

подразумевают установку на голое железо с CD или с флешки

что мешает нарезать ISO файл что на CD что на FLASH?

Цитата

Сообщение от cshyka

Мне нужен ВПН сервер который бы принимал на себя внешних клиентов

Цитата

Сообщение от cshyka

чтобы не светились внешние адреса моих сетей

Ты уж прости, но тогда КУДА будут соединяться с твоим ВПН сервером эти самые внешние клиенты?? Как ты себе это представляешь?? Не находишь какой-то глупостью??

Бля, это реально какой-то костыль из говна и палок - хочу внешний ВПН чтоб к нему внешние клиенты подключались, но вот адреса сервера я им не скажу... Ебагуццо, грибочег.

[cshyka]

Я рад, что вызываю веселье в твоей голове.
Но ты совершенно не пытаешься понять суть и смысл затеи, и любое настандартное применение тебе кажется какимто костылем.
Керио отлично справляется и с фильтрацией и с маршрутизацией, и это тебе известно.
А насчет куда, дык как раз на этот самый впн.
Впринципе внешних клиентов на себя может принимать любой из трех фаерволов, но тогда как раз будут засвечены их адреса, я же хочу светить только четвертый, за которым ничего нет.
Нарезать CD или Flash ничего не мешает, только вот на целевую виртуалку я не могу воткнуть ни Cd ни flash. Могу только смонтировать cd с операционкой из списка, который предлагает hetzner, а там есть все что угодно, кроме керио.

[HOG]

cshyka,

Цитата

Сообщение от cshyka

не пытаешься понять суть

Да нет, я то как раз пытаюсь понять суть, ибо само наличие костыля в системе, не предназначенной для твоей схемы - именно и есть костыль, особенно учитывая то, что ты не знаешь каким хером туда собстно сам файрвол засунуть. Есть вариант установки, например 7.4.2 на обычную винду на виртуалку твоего хетцера, но стоит учитывать то, что софт будет от 03 декабря 13 года, со всеми вытекающими, хотя, и за той версией багов вроде-бы как особо не замечено.

Цитата

Сообщение от cshyka

отлично справляется и с фильтрацией и с маршрутизацией

Для тех кто на танке повторяю - маршрутизацией занимается операционная система, на которой стоит керио, а не он сам. Керио - это фильтрующий файрвол, а не маршрутизующий, и маршрутизация осуществляется средствами операционки, будь то винда, либо любой линь, но! только средствами ОС, и никак иначе. Посмотри элементарную таблицу маршрутизации ОС при установленном керио и сам это все поймешь (несмотря на то, что об этом факте на этом форуме уже говорилось не один, и не два раза).

Цитата

Сообщение от cshyka

я же хочу светить только четвертый

что должно помешать пользователю обратиться к первому-же ВПН серверу и тупо посмотреть таблицу маршрутизации и/или настройки интерфейсов?? Или ты думаешь, что имея доступ к одной точке сети нет возможности "вскрыть" реальную адресацию??

Цитата

Сообщение от cshyka

есть все что угодно, кроме керио

Естественно

P.S. Что должно помешать, не изобретая костылей, поставить на виртуалку ту-же самую винду, поднять на ней RRAS и тупо соединиться по L2TP c "центральной точкой" твоей ВПН сети не изобретая костылей?? Думаю, не нужно говорить, что свежие Керио и L2TP ВПН сервера??Так не думал?? Вообще страно, ты тут уже седьмой год, а о элементарных вещах не знаешь, а когда о них говорят (причем не только я, да и настолько неоднократно, что уже запомнить можно наизусть), не слышишь.

[cshyka]

С виндой заморачиватся не хочу, да и к томуже 7 версия керио сильно проигрывает 9 как разв плане возможностей ВПН сервера.

Насчет посмотреть настройки маршрутизации на центральной точке присоединенным клиентом поясни, тоесть если как ты говоришь все ипы будут вскрыты то мне это тогда вообще не надо.
Схема примерно такая точка 1 имеет ван1 и лан1, точка4 имеет ван4, настроен тунель ван1 актив > ван4 пассив. Клиент конектися к ван4, потом по рдп конектится на машинку в лан1, сама машинка в инет выходит опятьже через ван4.
Клиент сможет вычислить ип ван1?
Я то как раз заморачиваюсь тунелями с основной целью скрыть реальное расположение ван1. (Не подумайте ничего плохого)
То что задачу можно решить и другими средствами я понимаю, но керио мне нравится больше, и если я не смогу засунуть его на виртуалку, то тупо арендую железку.
А если я гдето реально торможу, то прошу не бить палками по голове, я итак туповат от природы.

[HOG]

Цитата

Сообщение от cshyka

7 версия керио сильно проигрывает 9 как разв плане возможностей ВПН сервера.

А какая разница?? Ты что, туннель поднять с 9-ой не сможешь?? А клиенты пусть клиентом от Керио пользуются.

Цитата

Сообщение от cshyka

посмотреть настройки маршрутизации

Ну а как ты хотел?? Или внешним клиентам нужно будет вообще все на входном сервере закрывать, либо попросту успокоиться на этот предмет. Вообще не вижу смысла прятать белые IP номера в случае их хорошего прикрытия по безопасности файрволами. Тем более, что как ты говоришь, у тебя там везде стоят Kerio Control, а при его нормальной настройке все должно быть окей и так.

Цитата

Сообщение от cshyka

Клиент сможет вычислить ип ван1?

Конейчно, тем более, что он у тебя актив. Достаточно поставть, например iptools и посмотреть active connection.

Цитата

Сообщение от cshyka

скрыть реальное расположение ван1

Повторюсь - зачем??

Цитата

Сообщение от cshyka

но керио мне нравится больше

Ну, если нравится городить систему из говна и палок, то - are welcome

Цитата

Сообщение от cshyka

тупо арендую железку.

проще втихую купить, например 1U дохленький сервачек на intel платформе и поставть туда все что душе будет угодно, и отдать его на колокейшн.

[naliman]

а и нструмента конвертирования виртуальной машины нет у этого гипервизора?

[cshyka]

2 naliman. К сожалению нет.
2 HOG.
9 керио имеет много всяких плюшек касаемо управления именно впн клиентами, в частности что для меня важно, это исключить множественное подключение для 1 учетки, и это сделано только совсем недавно.
Что же касается вопроса зачем, то тут все просто, руководство опасается изъятия серверов. В свое время был прецендент, и с тех пор задача скрыть их реальное местонахождение ставится по умолчанию, на всякий случай.
Собственно такая «схема» мне досталась в наследство, в ней много спорных вопросов и собственно критике со стороны никогда не подвергалась ибо сама схема будет скомпрометирована.
Если есть желание пофлудить на эту тему, опишу вкратце.
1. Рабочее место это пустой комп с настроенным впн и рдп.
2. Точка входа впн4, это арендованный за рубежом сервер (виртуальный или физический)
3. Вся остальная инфраструктура размещена в трех разных местах, точка1 это хост виртуалок пользователей связан тунелем со всеми узлами, точка2 сервисы всякие, связана тунелями с т1 и т3, точка 3 бэкапы, связана с т1 и т2.
4. Самые ценные это т2 и т3 ибо вся инфа там, на т1 только виртуалки юзверей которые легко разворачиваются на другой площадке, не содержат ничего полезного.
5. Точка входа т4 (она же точка выхода в интернет для лан1) вообще расходник, ее можно менять хоть раз в месяц.
Собственно вопрос в студию, имея доступ на машинку в лан1 можно ли «вскрыть» реальные айпи т1, т2 и т3? И можно ли эффективно этому противостоять?
Собственно шлюзы везде Керио, машинки на Вин7, права паверюзер у всех.
Готов даже сделать стенд и погонять на практике.

А насчет колокейшена, то это не вариант, потому как дешевле арендовать выделенный сервер, а на нем все что угодно можно мутить. За 25 евро можно арендовать сервер с 4 ядерным Xeon е5, 32 гига оперативы, и 2 трехтерабайтных винта. Как вы понимаете, для керио более чем достаточно.

[HOG]

Цитата

Сообщение от cshyka

руководство опасается изъятия серверов

установите серверы домой к своим сотрудникам, либо вообще к их родственникам/своим друзьям и так далее, и оплачивайте им инет на 100М и прямой IP. Одно дело изъять сервер в рамках ОРМ (Оперативно-Розыскных Мероприятий) из офиса компании в случае того-то и того-то, а вот провести ОРМ в жилище конкретного физического человека - это санкция судьи исключительно, да и то, что получить ее возможно только в рамках уже существующего уголовного дела. Ни один судья/прокурор такой санкции не даст, ибо доказать причастность физлица к деятельности кого угодно - нереально. А упороть такой косяк "за просто так" - на это не пойдет ни один опер. Даже из БСТМ.

Так у меня дома стоит виртуалка с 1С БД конторы моего другана. Они оплачивают мне инет. За 4 года ни единого поползновения со стороны силовиков, как ты говоришь. Хотя обыски у них в офисе бывали, равно как и изъятия разнообразные.

Цитата

Сообщение от cshyka

схема будет скомпрометирована

Ну, если уж на то пошло, то ты ее уже скомпрометировал, развернув обсуждение здесь, и вообще озвучив ее существование? А вообще, бояться изъятия оборудования есть смысл только тогда, когда на нем БД 1С, либо АСУ предприятия. Вот тебе твой "егерь" (хетцер) тут в помошь - поднимайте ВМ на винде и ставьте потребное ПО на них напрямую, поднимайте зону ДНС и работайте по именам. В случае изъятия оборудования убивайте обе зоны ДНС и не парьтесь насчет доступа. Теперь кроме вас никто не будет знать о IP номерах вообще - у мусоров будет ERR_NAME_NOT_RESOLVED и все.

Цитата

Сообщение от cshyka

Вся остальная инфраструктура размещена в трех разных местах, точка1 это хост виртуалок пользователей связан тунелем со всеми узлами, точка2 сервисы всякие, связана тунелями с т1 и т3, точка 3 бэкапы, связана с т1 и т2.

Достаточно просто иметь сервера за бугром. И работать с ними напрямую. По той схеме, что я написал выше. Без ДНС - хуй им по всей морде.

Цитата

Сообщение от cshyka

Собственно вопрос в студию, имея доступ на машинку в лан1 можно ли «вскрыть» реальные айпи т1, т2 и т3? И можно ли эффективно этому противостоять?

Нет смысла. Повторюсь, при исчезновении прямой зоны ДНС из интернета, прямо сразу по изъятию оборудования доступ к серверам с данными по именам, а у тебя будет настроено именно так (принимая в учет схему описанную мной выше) доступ по ним будет невозможен, так как система не сможет разрешить имена в IP номера. Вот и все.

[cshyka]

Устанавливать домой можно, частично так и сделано, но это не отменяет задачи прятать расположение сервака. То что без решения суда сделать нельзя, можно сделать за деньги, если ИГИЛ проспонсирует. Говорить о вероятности такого сценария смешно, но тем не менее на всякий случай...
Располагать серваки за рубежом тоже нехотят, вдруг война?
Вобщем абсурдность некоторых задач я устал уже обсуждать, но тем не менее их приходится решать.
Что касается зон днс... то как они помогут скажем, если получен доступ к клиентскому компу, с него удалось зайти в работающую систему и подключится к тачке в лан1.
Пока зону не грохнешь все вычисляется одинаково что с зоной что без.

По сабжу, кстати, нашел решение.
Написал в саппорт хетцнера и они просто добавили дистрибутив керио в список возможных для монтажа. Красавцы!!!
Через 10 минут я уже все поднял, ща тестить буду.

[HOG]

cshyka, ну вот, молодец, решил свой вопрос без костылей, говна и палок. Респект тебе.

З.Ы. Вопрос решен, тема закрыта.

[naliman]

Цитата

Сообщение от cshyka

Написал в саппорт хетцнера и они просто добавили дистрибутив керио в список возможных для монтажа. Красавцы!!!
Через 10 минут я уже все поднял

крутяк!