Порой возникает необходимость подключиться к домашней или , используя всемирную глобальную сеть. Решением такого рода задачи будет установка в рамках локальной сети , который был бы доступен из Интернета для удаленного пользователя. Одним из основных требований при таком подключении является хорошая безопасность, ведь незащищенные данные могут быть перехвачены злоумышленниками и использованы во вред. Чтобы избежать этой неприятной ситуации VPN-шлюз шифрует данные на основании одного из алгоритмов криптования.
Одним из вариантов установки VPN-шлюза для создания локальной сети через интернет будет выделение сервера с операционной системой CentOS 6, на базе которой необходимо “поднять” и настроить сервис OpenVPN. Данный программный продукт является бесплатным с открытым исходным кодом.
Как создать локальную сеть через интернет: инсталляция OpenVPN
Итак, чтобы настроить локальную сеть через интернет, нужно иметь предустановленную ОС CentOS на вашем сервере.
Кроме того, также следует убедиться в работоспособности сервиса SSH, с помощью которого и осуществляется консольный доступ. Следующим этапом необходимо подключить репозиторий EPEL Linux. Для 32-битной версии CentOS это будет выглядеть следующим образом:
Необходимо снять комментарий со строки, начинающейся на “push” – это позволит вашим клиентским системам маршрутизироваться через OpenVPN.
То же самое нужно сделать и для строк, касающихся корневых DNS-серверов Google.
В дополнение, для улучшения параметров безопасности, запретите пользователю openvpn логиниться на ваш сервер, сняв комментарий со следующих строк:
Доступ к локальной сети через интернет: генерация ключей и сертификатов с использованием утилиты easy-rsa
После того, как вы закончите модификацию конфигурационного файла, нужно сгенерировать необходимые ключи и сертификаты. По умолчанию OpenVPN размещает необходимые скрипты в папке с документацией. Создайте папку и скопируйте в нее необходимые файлы:
vim /etc/openvpn/easy-rsa/vars
Ищем переменные, начинающиеся на “KEY_” – обычно они находятся внизу файла. Названия этих переменных интуитивно понятны – нужно просто заполнить необходимую информацию.
Иногда случается, что OpenVPN не может обнаружить версию OpenSSL, необходимую для создания сертификатов безопасности. Для этого скопируйте в рабочую папку необходимый конфигурационный файл и создайте Центр сертификации, после чего можно сгенерировать сертификаты сервера:
Также нужно сгенерировать ключи обмена с помощью алгоритма Диффи-Хелмана и вместе с сертификатами скопировать их в рабочую папку:
Теперь для доступа через интернет к локальной сети вам нужно создать сертификаты для VPN-клиентов, чтобы они имели возможность аутентификации на сервере. Данную процедуру необходимо выполнить для каждого клиента или устройства, подключающегося к локальной сети с помощью VPN:
Параметры маршрутизации и запуск OpenVPN сервера
Создайте правило для фаервола iptables, чтобы обеспечить правильную маршрутизацию вашей VPN-подсети (к примеру, 10.7.7.70/24). Также включите/проверьте возможность маршрутизации пакетов сервером, отредактировав файл sysctl.
Теперь для локальной сети через интернет у вас настроен полноценно работающий VPN-сервер.
Конфигурация клиентов OpenVPN
Чтобы подключиться через интернет к локальной сети для клиентской стороны следует получить с сервера следующие файлы: ca.crt, client.crt и client.key. Скопируйте их с помощью FTP или SFTP протокола в локальную директорию. Будьте внимательны, так как файлы client.crt и client.key называются автоматически на основе информации, указанной ранее с помощью директивы “./build-key”. Все необходимые файлы располагаются в папке /etc/openvpn/easy-rsa/keys.
Далее создаем другой файл client.ovpn с настройками клиента, такими как внешний IP-адрес VPN-сервера (заменяем “x.x.x.x” на действительный внешний адрес сервера), порт, протокол и т.д. Главное правило – хранить этот файл нужно очень тщательно и не позволять попасть ему в чужие руки – ведь таким образом злоумышленник может получить непосредственный доступ через интернет в вашу локальную сеть.
Таким образом, вся необходимая информация для установки подключения к локальной сети через интернет собрана в одном файле с расширением “.ovpn”.
Для клиентских ПК с ОС Windows нужно скачать инсталляционный пакет с официального сайта OpenVPN и поместить четыре вышеуказанных файла в папку с установленным клиентом, а также убедиться в наличии административных прав для запуска программы.
Для ПК с ОС Linux просто установите OpenVPN из официального репозитория и запустите с параметрами файла “.ovpn”:
Теперь Вы можете без проблем подключиться к локальной сети через интернет из любой точки планеты, где можно войти в глобальную сеть.
У меня на блоге уже была одна статья про организацию локальной сети через интернет при помощи , но сегодня мы поговорим про еще один сервис, используемый в подобных целях, - OpenVPN.
О чем вообще речь? О том, чтобы связать два или большее количество компьютеров, находящихся в совершенно разных местах, в единую локальную сеть. То есть физически то они будут далеко друг от друга, а виртуально - как будто в одной локальной сети. Что это дает?
- Возможность делиться файлами по сети;
- Возможность запустить какую-нибудь программу типа , обращающуюся с одного компьютера на другой;
- Возможность играть вместе в игры и многое другое.
Сама статья написана не мной, предложил мне ее один из постоянных участников нашего форума, NicromanseR, за что я ему очень благодарен. Сам я лишь немного подредактировал статью, чтобы она больше ложилась в стилистику этого блога.
Итак, как же сделать локалку через интернет с использованием OpenVPN? Задача не совсем простая и потребует некоторого количества манипуляций, но предлагаемая инструкция описывает их достаточно подробно.
Итак, скачиваем дистрибутив программы с официального сайта , распаковываем его и устанавливаем всё по умолчанию. Внимание! Нужно подтвердить установку драйвера сетевого адаптера TAP-Win32 Adapter V9, когда Windows это попросит.
Openvpn сервер
Один из компьютеров будет выступать в качестве Openvpn сервера, к нему будут подключаться другие компьютеры. Желательно, чтобы на нем был выделенный (постоянный) . Начнем с его настройки.
- Запустите окно командной строки Пуск – Выполнить (или Win+R) – cmd.exe
- Cамая сложная часть настройки – генерация сертификатов и ключей. Здесь нужно быть предельно внимательным и точно следовать инструкциям. В окне консоли вводим без кавычек «cd C:\Program Files\OpenVPN\easy-rsa» где C:\Program Files\OpenVPN\ папка с установленной программой. Окно консоли не закрываем.
- Вводим опять без кавычек «init-config»
- Реедактируем файл vars.bat и устанавливаем следующие параметры:
KEY_COUNTRY, KEY_PROVINCE, KEY_CITY, KEY_ORG, KEY_EMAIL.
Эти параметры нельзя оставлять пустыми, остальные можно оставить по умолчанию. Пример:
set KEY_COUNTRY=RU
set KEY_PROVINCE=MO
set KEY_CITY=Moskow
set KEY_ORG=GazProm
set [email protected]
set KEY_CN=changeme
set KEY_NAME=changeme
set KEY_OU=changeme
set PKCS11_MODULE_PATH=changeme
set PKCS11_PIN=1234В стандартном блокноте вам не получится отредактировать данный файл, поэтому я воспользовался программкой «Notepad++».
- Вводим по очереди команды «vars» «clean-all» и «build-ca». Последняя команда build-ca запросит значения параметров. Все параметры можно не менять, нажав Enter, кроме одного – Common Name. Здесь нужно ввести какое-нибудь имя, я ввёл название организации.
- Теперь сгенерируем сертификат и ключ для сервера, выполнив команду: «build-key-server server» Также, как и в предыдущей команде, все параметры можно принять по умолчанию, но для Common Name введите слово «server». На последние два вопроса "Sign the certificate? " and "1 out of 1 certificate requests certified, commit? " ответьте утвердительно, нажав "y"
- Теперь сгенерируем ключи для клиентов, выполнив команды:
«build-key client1»
«build-key client2»
(это команды для двух филиалов, по аналогии можно сделать ключи для большего количества) - Как и в прошлый раз, принимаем все параметры, кроме Common Name, для которого указываем client1 и client2 соответственно. На последние вопросы опять ответьте утвердительно. Осталось выполнить еще одну команду: «build-dh»
- Итак, в результате выполнения всех команд, мы получим в папке C:\Program Files\OpenVPN\easy-rs\keys ряд файлов ключей и сертификатов. Зайдите на сервере в папку C:\Program Files\OpenVPN\config и скопируйте туда содержимое папки.\easy-rs\keys. Скопируйте отдельно следующие файлы для клиентских машин: ca.crt, client1.crt, client1.key, client2.crt, client2.key в безопасное место, затем их нужно будет перенести на компьютеры подключаемых клиентов.
Вот и все с сервером, можно запускать службу OpenVPN Service, можно сделать автоматический запуск службы при необходимости (через Пуск- Панель управления – Службы), но осталось сделать конфиг для сервера.
Сразу хочу сделать замечание, что на Windows клиентах и серверах путь надо прописывать через ДВОЙНОЙ «\\». И так, зайдём в папку C:\Program Files\OpenVPN\config и создадим там файл «server.ovpn», его содержание должно быть примерно следующее:
port 5194
proto udp
dev tun
topology subnet
ca C:\\Program Files\\OpenVPN\\config\\keys\\ca.crt
cert C:\\Program Files\\OpenVPN\\config\\keys \\server.crt
key C:\\Program Files\\OpenVPN\\config\\keys \\server.key # This file should be kept secret
dh C:\\Program Files\\OpenVPN\\config\\keys \\dh1024.pem
server 10.218.77.0 255.255.255.0 # vpn subnet
ifconfig-pool-persist ipp.txt # Тут будут храниться ip адреса клиентов
push "route 192.168.78.0 255.255.255.0"
keepalive 10 120
comp-lzo
persist-key
persist-tun
status openvpn-status.log
log-append openvpn.log
verb 4
mute 20
client-to-client
client-config-dir C:\\Program Files\\OpenVPN\\config\\keys
Конфиг готов, осталось создать ещё 1 файлик с именем «ipp.txt» и следующим содержанием:
client1,10.218.77.10
client2,10.218.77.11
client3,10.218.77.12
Всё, от сервера OpenVPN можно пока отстать. Переходим к настройке клиентской части для создания локалки через интернет.
Openvpn клиент
Чтобы настроить Openvpn клиент, Заходим в папку по адресу C:\Program Files\OpenVPN\config и создаём там файлик «client.ovpn» со следующим содержанием:
remote my_server 5194
client
dev tun
proto udp
topology subnet
persist-key
persist-tun
ca C:\\Program Files\\OpenVPN\\config\\keys \\ca.crt
cert C:\\Program Files\\OpenVPN\\config\\keys \\client1.crt
key C:\\Program Files\\OpenVPN\\config\\keys \\client1.key
comp-lzo
verb 4
mute 20
Тут Вам надо поменять значение «my_server» на IP адрес вашего сервера. Скопируем файлы ca.crt, client1.crt, client1.key в папку C:\Program Files\OpenVPN\config\keys для пользователя «client1» и файлы ca.crt, client2.crt, client2.key для второго клиента (если у вас планируется больше двух). На этом настройка OpenVPN клиента закончена. Пробуем подключиться.
Примечание (Сандер) : Если вы все правильно настроите, то после запуска службы на сервере и сеансов на клиентах, ваши компьютеры окажутся в одной локальной сети. Технически это будет выглядеть как будто в у вас появился новый сетевой адаптер, который функционирует как локалка через интернет. И еще. OpenVPN - это бесплатный продукт с открытым кодом, так что вы работаете не через черный ящик, не завязаны на чужие сервера, в общем, при помощи этой технологии вы получаете настоящую защиту от внешнего мира. Кроме того, OpenVPN прекрасно работает под , так что вы даже сможете связать друг с другом в одну компьютеры с совершенно разными операционными системами.
Если у вас будут вопросы, пишите, мы постараемся помочь.
Здравствуйте.
Еще лет 10-15 назад - наличие компьютера было чуть ли не роскошью, сейчас же даже наличие двух (и более) компьютеров в доме - никого не удивляет… Естественно, что все преимущества ПК появляются при подключении его к локальной сети и интернету, например: сетевые игры, совместное использование дискового пространства, быстрая передача файлов с одного ПК на другой и т.д.
Не так давно мне «посчастливилось» создавать домашнюю локальную сеть между двумя компьютерами + «расшарить» интернет с одного компьютера на другой. О том, как это сделать (по свежей памяти) расскажу в данном посте.
1. Как соединить компьютеры друг с другом
Первое, что необходимо сделать при создании локальной сети - определиться как она будет построена. Домашняя локальная сеть, обычно, состоит из небольшого числа компьютеров/ноутбуков (2-3 шт.). Поэтому чаще всего применяют 2 варианта: либо компьютеры соединяют на прямую с помощью специального кабеля; либо используют специальное устройство - роутер. Рассмотрим особенности каждого варианта.
Соединение компьютеров «на прямую»
Этот вариант самый простой и дешевый (в плане затрат на оборудование). Соединить таким образом можно 2-3 компьютера (ноутбука) друг с другом. При этом, если хоть один ПК подключен к интернету - можно разрешить доступ и всем остальным ПК в такой сети.
Что понадобиться для создания такого соединения?
1. Кабель (его называют еще витая пара), длинной чуть более расстояния между подключаемыми ПК. Еще лучше, если сразу купить в магазине обжатый кабель - т.е. уже с разъемами для подключения к сетевой карте компьютера (если обжимать будете самостоятельно, рекомендую ознакомиться: ).
Кстати, нужно обратить внимание на то, что кабель нужен именно для подключения компьютера к компьютеру (перекрестное соединение). Если взять кабель для подключения компьютера к роутеру - и использовать его, соединив 2 ПК - работать такая сеть не будет!
2. В каждом компьютере должна быть сетевая карта (во всех современных ПК/ноутбуках она имеется).
3. Собственно и все. Затраты минимальны, например, кабель в магазине для подключения 2-х ПК можно купить за 200-300 р.; сетевые карты же есть в каждом ПК.
Останется только соединить кабелем 2 системных блока и включить оба компьютера для дальнейших настроек. Кстати, если один из ПК подключен к интернету через сетевую карту, то вам понадобиться вторая сетевая карта - чтобы использоваться ее для подключения ПК к локальной сети.
Плюсы данного варианта:
Быстрое создание;
Легкая настройка;
Надежность такой сети;
Высокая скорость при обмене файлами.
Минусы:
Лишние провода по квартире;
Чтобы был доступ в интернет - должен быть включен всегда основной ПК, который подключен к интернету;
Невозможность получения доступа в сеть мобильным устройствам*.
Создание домашней локальной сети с помощью роутера
Роутер - небольшая коробка, которая сильно упрощает создание локальной сети и подключение к интернету для всех устройств в доме.
Достаточно один раз настроить роутер - и все устройства смогут сразу же выходить в локальную сеть и получать доступ к интернету. Сейчас в магазинах можно встретить огромное число роутеров, рекомендую ознакомиться со статьей:
Стационарные компьютеры подключаются к роутеру через кабель (обычно 1 кабель всегда идет в комплекте с роутером), ноутбуки и мобильные устройства - соединяются с роутером по Wi-Fi. О том, как подключить ПК к роутеру, можно посмотреть (на примере роутера D-Link).
Более подробно организация такой сети расписана в этой статье:
Плюсы:
Один раз настроить роутер, и доступ к интернету будет на всех устройствах;
Нет лишних проводов;
Гибкие настройки доступа к интернету для разных устройств.
Минусы:
Дополнительные затраты на приобретение роутера;
Не все роутеры (особенно из низкой ценовой категории) могут обеспечить высокую скорость в локальной сети;
Не опытным пользователям не всегда так просто настроить такое устройство.
2. Настройка локальной сети в ОС Windows 7 (8)
После того, как компьютеры соединены между собой каким-либо из вариантов (будь то подключены они к роутеру или на прямую между собой) - нужно настроить ОС Windows для полноценной работы локальной сети. Покажем на примере ОС Windows 7 (самой популярной на сегодняшний день ОС, в ОС Windows 8 настройка аналогична + можете ознакомиться с ).
2.1 При подключении через роутер
При подключении через роутер - локальная сеть, в большинстве случаев, настраивается автоматически. Главная же задача сводится к настройке самого роутера. Популярные модели уже были разобраны на страницах блога ранее, приведу несколько ссылок ниже.
После настройки роутера, можно начать настройку ОС. И так…
1. Настройка рабочей группы и имени ПК
Первое что нужно сделать - задать уникальное имя каждому компьютеру в локальной сети и задать одинаковое имя рабочей группы.
Например:
1) Компьютер № 1
Рабочая группа: WORKGROUP
Имя: Comp1
2) Компьютер № 2
Рабочая группа: WORKGROUP
Имя: Comp2
Для изменения имени ПК и рабочей группы, зайдите в панель управления по следующему адресу: Панель управления\Система и безопасность\Система.
Свойства системы Windows 7
2. Общий доступ к файлам и принтерам
Если не сделать этот шаг, то какие бы вы папки и файлы не предоставили для общего доступа - никто к ним не сможет получить доступа.
Для включения опции общего доступа к принтерам и папкам, зайдите в панель управления и откройте раздел «Сеть и интернет «.
Теперь щелкните в колонке слева по пункту «изменить дополнительные параметры общего доступа «.
Перед вами появиться несколько профилей 2-3 (на скриншоте ниже 2 профиля: «Домашний или рабочий » и «Общий «). В обоих профилях нужно разрешить общий доступ к файлам и принтерам + отключить парольную защиту. См. ниже.
Настройка общего доступа.
Дополнительные параметры общего доступа
После внесенных настроек, нажмите «сохранить изменения » и перезагрузите компьютер.
3. Расшаривание папок для общего доступа
Теперь, чтобы пользоваться файлами другого компьютера, нужно чтобы пользователь на нем расшарил папки (дал общий доступ к ним).
Сделать это очень просто - в 2-3 клика мышкой. Открываем проводник и щелкаем правой кнопкой мышки по папке, которую хотим открыть. В контекстном меню выбираем «Общий доступ - домашняя группа (чтение) «.
Далее останется подождать около 10-15 секунд и папка появиться в общем доступе. Кстати, чтобы увидеть все компьютеры в домашней сети - нажмите на кнопку «Сеть » в левой колонке проводника (ОС Windows 7, 8).
2.2 При подключении напрямую + расшаривание доступа к интернету на второй ПК
В принципе, большинство шагов по настройке локальной сети будет очень похоже на предыдущий вариант (при подключении через роутер). Чтобы не повторяться, шаги которые повторяются, я буду помечать в скобках.
1. Настройка имени компьютера и рабочей группы (аналогично, см. выше).
2. Настройка общего доступа к файлам и принтерам (аналогично, см. выше).
3. Настройка IP адресов и шлюзов
Настройку нужно будет произвести на двух компьютерах.
Компьютер №1.
Локальная сеть дает возможность перемещать файлы между компьютерами, запускать и использовать игры и программы совместно, раздавать интернет. Соединение компьютеров в общую сеть позволяет обезопасить владельцев от проникновение вирусов в системы. Существует несколько способов объединения ПК с различными операционными системами в единую локальную сеть.
Аппаратное объединение компьютеров
При аппаратном объединении используются технические приспособления, с помощью которых несколько ПК получают доступ к общей сети.
Через кабель
Самый простой вариант соединения. Для объединения понадобится специальный кабель, кросс-овер. Оба конца кабеля включаются в компьютеры. Одно из устройство передает интернет соединение на другой, что и объединяет их в сеть.
Основные минусы способа:
- Объединить можно только 2 устройства;
- Есть ограничение по длине кабеля;
- Дополнительный кабель мешает, может запутываться.
Через роутер
С помощью роутера локальной сетью можно объединить любое количество компьютеров и ноутбуков. К одному из устройств подключается роутер, он будет раздавать сеть на остальные ПК. Важно, чтобы эти устройства поддерживали режим подключения к Wi-Fi. При этом настройка IP-адреса и доступа между ПК устанавливается автоматически.
Единственное, что требуется от пользователя, это ввести одинаковые имена компьютерам в центре подключений.
Если в памяти устройства хранятся важные файлы, к которым не должно быть доступа у других пользователей сети, достаточно кликнуть правой кнопкой мыши по папке и перейти в настройки доступа.
Настройка локальной сети
Включить устройства, подсоединить кабель или роутер к ним – не единственные действия, необходимые для создания локальной сети. При объединении важно правильно настроить компьютеры.
При подключении через кабель
Приведенный ниже алгоритм отстройки необходимо провести на обоих компьютерах, к которым подключен кабель.
Настройка рабочей группы и имени ПК
Это действие позволит задать одинаковые имя для устройств, соединенных кабелем. Для этого необходимо:
- Нажать сочетание клавиш Win+R;
- 2. В поле для ввода вписать универсальную команду sysdm.cpl (подходит для любой версии Windows );
- Нажать кнопку «Изменить»;
- Ввести имя для компьютеров рабочей группы (обязательно латиница);
- Сохранить.
Такое же имя вводится на втором устройстве.
Настройка IP, шлюзов и масок, DNS
На современных операционных системах Windows 8-10 эта процедура заключается в простой установке галочек в центре управления сетями.
Владельцам ПК с версиями систем старше необходимо пройти алгоритм:
После этого компьютеры объединятся в единую сеть.
Открытие доступа к файлам, папкам, принтеру
Как уже говорилось выше, на Windows 8-10 процедура расшаривания доступа и настройки сети сводится к выбору параметров в центре подключений. Дополнительно можно установить общие пароли для ПК.
На других версиях Windows:
- Кнопка Пуск;
- Панель управления;
- Параметры папок;
- Кликнуть по пункту использования мастера общего доступа;
- Сохранить и закрыть;
- Перейти в окно «Мой компьютер»;
- Найти имя ПК, кликнуть правой кнопкой мыши и нажать «Изменить»;
- В настройке нажать галочку напротив соотношения устройства с рабочей группой;
- Перейти во вкладку доступа, подтвердить разрешение для устройств.
Доступ к интернету на втором ПК
Если компьютер донор подключен к интернету, второе устройство также можно подключить к сети. Для этого нужно выставить аналогичные настройки соединения, как и на доноре.
При подключении через роутер
В этом случае от пользователя требуется меньше действий по настройке соединений на компьютерах. Wi-Fi подключение менее требовательно к настройкам, устанавливается автоматически.
Проверка связи с компьютерами
Необходимо перезагрузить роутер с помощью кнопки на задней панели. Таким образом настройка самого роутера будет правильной, такой, как ее задали производители. Роутер автоматически присваивает адреса компьютерам, которые находятся в зоне его сети.
Проверить, все ли компьютеры подключены к роутеру по Wi-Fi, можно следующим способом:
- Открыть браузер, в адресной строке ввести 192.168.1.1;
- Войти во вкладку DHCP;
- Найти IP-адрес ПК, который будет подключен к локальной сети;
- Запустить командную строку, ввести «ping IP другого ПК»;
- Дождаться окончания проверки.
Существует множество причин, по которым необходимо получить доступ к собственной локальной сети из глобальной сети интернет: кому-то необходимо подключиться, чтобы была возможность просматривать удаленной файлы и папки, некоторым нужен доступ к системам безопасности, камерам и прочим объектам, кто-то «поднял» веб-сервер и не хочет платить за хостинг, а кому-то нужен совет по настройке компьютера с удаленным подключением. Причин множество, также, как и вариантов решения проблемы.
Постановка задачи
Согласно теории сети, для доступа к ресурсам сервера или отдельно взятого компьютера используются два основных параметра - это IP адрес и порт, на котором работает служба, обеспечивающая подключение к ресурсу по определенному протоколу. Поэтому необходима осознанная настройка маршрутизатора, компьютера и сервера, для обеспечения совместной работы и корректного доступа.
Общепринятыми стандартами доступ по каждому протоколу происходит по следующим портам:
- Веб-сервер или доступ по HTTP протоколу. Удаленное подключение обеспечивается по TCP портам 80 и 8080.
- Защищенная передача данных к веб-серверу - 443 порт.
- Основной протокол для передачи файлов или FTP использует порт 21.
- Защищенный протокол для доступа из терминала SSH по порту 22. Обычно используется для выполнения настроек устройств.
- Открытый протокол для подключения к удаленному терминалу TCP - порт 23.
- Доступ к почтовым серверам SMTP и POP3 используют порты 25 и 110 соответственно.
Специализированные программы используют свои собственные порты, например, чтобы получить доступ из интернета в локальную сеть используя программу VNC нужно открыть порт 5900, Radmin - 4899, а для подключения к встроенной службе удаленного рабочего стола Windows (RDC) - 3389.
Стоит отметить, что открытие портов на сервере добавляет уязвимости и привлекает злоумышленников. Поэтому открытие портов производится исключительно по мере необходимости, т.е. если нет необходимости в использовании доступа по протоколу, то и порт, используемой службой необходимо закрыть. Хорошей практикой является такая, что изначально закрывается доступ к любой службе, а по мере необходимости производится настройка доступа к службе. Особо уязвимыми являются порты, не предусматривающие авторизацию пользователя, например, 21-й порт в Windows по умолчанию открыт, что дает возможность несанкционированного подключения.
После того, как будут определены конкретные цели, т.е. для чего и к каким ресурсам нужен доступ, можно приступать к настройке удаленного доступа.
Настройка маршрутизатора - трансляция адресов
Трансляция или проброс адресов необходим для того, чтобы роутер переключил внутренний локальный адрес на внешний. Это означает, что при подключении будет указываться IP, который «смотрит» в интернет. Внешний IP адрес бывает «серым» (динамическим) или «белым» (статическим), но особенности настройки маршрутизатора по каждому из случаев выходят за рамки статьи, поэтому в качестве примера условно будет использоваться настройка на статическом адресе.
Настройка доступа производится на примере роутера Zyxel семейства Keenetic с версией прошивки v2. Этот роутер хорошо подходит для реализации поставленных задач. Чтобы выполнить настройку необходимо зайти через веб-интерфейс на страницу конфигурации.
Компьютер подключается к роутеру по DHCP. Это означает, что каждый раз при запросе добавить в сеть он получает новый IP адрес. Чтобы обеспечить доступ к локальной сети через интернет необходимо закрепить IP за каждым устройством. Это делается на главной странице во вкладке «Домашняя сеть» путем нажатия зеленой стрелки (при наведении появляется подсказка — «Закрепить IP адрес за устройством»).
Далее в конфигурации выбирается пункт меню «Безопасность» и вкладка «Трансляция сетевых адресов». На этой вкладке необходимо добавить для каждой выбранной службы свое правило доступа и трансляции сокета в интернет. Сокет - это связка IP адреса и номера порта, например, 192.168.1.1:8080 для подключения к Веб-серверу.
В открывшемся по нажатию кнопки «Добавить правило» окне нужно указать конкретные поля для создания правила:
- «Интерфейс» - из выпадающего списка выбирается WAN интерфейс. Вариантов выбора может быть несколько в зависимости от настроек провайдера: PPTP, PPPoE, L2TP или ISP (Broadband Connection).
- «Протокол» - выбирается из списка протокол для удаленного подключения входящих соединений.
- «Перенаправить на адрес» — указывается локальный адрес машины, для которой необходимо сделать перенаправление.
- «Новый номер порта назначения» — номер локального порта указанного компьютера.
Эти действия необходимо выполнить для каждого устройства в локальной сети и для каждого протокола, т.е. каждое устройство и служба на нем будут иметь отдельное правило. Не стоит забывать нажимать кнопку «Сохранить». После того как все нужные правила будут добавлены можно приступать к настройке конкретного компьютера.
Настройка доступа на компьютере с ОС Windows
Для настройки компьютера нужно на нем открыть порты для входящих соединений. Это делается в программе стандартной поставки «Брандмауэр Windows». Программа запускается из «Панели управления - Система и безопасность - Брандмауэр» или «Пуск - Выполнить - cmd - firewall.cpl».
Открытие портов происходит следующим образом:
- В программе нужно выбрать пункт меню «Дополнительные параметры».
- Откроется новое окно, которое позволит настроить расширенные параметры защиты компьютера.
- При нажатии кнопки «Правила для входящих соединений - Создать правило» открывает модальный диалог «Мастера создания правила».
- Первый пункт диалога позволяет выбрать тип правила: для конкретной программы (обычно при установке программы самостоятельно добавляют правила для корректно работы), для порта, предустановленные правила и настраиваемые правила.
- Выбирать нужно переключатель «Для порта».
- Выбирается тип протокола (TCP или UDP), и в соответствующее поле вносится конкретный порт или диапазон портов через дефис.
- После выбора порта создается само правило, т.е. разрешается или запрещается подключение. В нашем случае при открытии порта нужно поставить переключатель напротив «Разрешить подключение».
- Определяется профиль сетевого соединения. Можно проставить галочки напротив всех профилей.
- На последнем пункте нужно придумать имя для правила и нажать «Готово».
Таким образом открывается порт на компьютере. Аналогично, как и в роутере для каждого порта нужно создавать отдельное правило. Чтобы не добавлять доступ к каждому порту, можно полностью отключить брандмауэр, но делать это категорически не рекомендуется.
Настройка доступа с использованием сторонних программ
Для доступа к локальной сети из интернета при использовании сторонних специализированных программ обычно не требуется специальных знаний или навыков. Достаточно того, чтобы программа была установлена на машине клиенте и запущена на сервере. В некоторых случаях потребуется открыть для трансляции адреса на маршрутизаторе.
В качестве примера можно привести популярную программу TeamVewer. Она позволяет подключаться к удаленному рабочему столу, передавать и скачивать файлы и другие функции. Для подключения достаточно знать UserID и пароль компьютера, к которому необходимо подключиться.
