Настройка безопасной удаленной системы

Нами было разработано решение для организации безопасного удаленного рабочего пространства для сотрудников одной компании.

Для этого был выделен один сервер, на котором:

  1. Был поднят RAID10 для того, чтобы обезопаситься от утраты диска, но и не потеряв в производительности.
  2. Организован encrypted root — т.е. полное шифрование диска. Данная возможность имеется, например, и в штатном инсталяторе Debian, однако, это решение требует наличия KVM для ввода пароля после перезагрузки. KVM стоит денег, также очень сложно ввести длинный пароль, нередко происходят ошибочные многократные нажатия клавиш и узнается это постфактум, так как вводимого пароля не видно.

    Мы же используем для разблокировки зашифрованного диска небольшой SSH-сервер. После перезагрузки с помощью ключа клиент подключается к серверу по SSH, вводит одну команду с указанием пароля от диска, после диск «открывается», и система продолжает грузится дальше, после чего на стандартном порту SSH становится доступен SSH-сервер уже самой системы.

  3. Для организации непосредственно рабочих мест использована виртуализация Xen. С помощью него из образов были подняты VPS сервера с установленной на них Windows.
  4. Установлен и настроен OpenVPN сервер. Используется он для организации доступа к Windows VPS-серверам, что повышает безопасность в связи с дополнительным слоем шифрования, а также повышает ваш контроль — аккаунты OpenVPN можно с легкостью отключать если возникают какие-либо подозрения.

    Т.е. необходимо скачать приложение OpenVPN GUI, загрузить по выданной нами ссылке набор конфигурационных файлов для OpenVPN, распаковать это в определенную папку и подключиться к серверу. После чего по специальным IP из каких-либо внутренних подсетей, например, 192.168.0.0/24 будут автоматически доступны ваши Windows VPS.

    Также учитывая, что L2TP клиенты уже идут вместе с операционной системой можно заменить OpenVPN на него. Тогда для настройки необходимо добавить L2TP подключение и ввести логин с паролем и IP.

  5. Для общения сотрудников настроен Jabber-сервер, который тоже доступен только через OpenVPN и не виден снаружи. Позволяет безопасно обмениваться сотрудникам сообщениями, включая jabber клиента, как непосредственно на Windows VPS-ках, так и локальном компьютере, на котором включен OpenVPN.
  6. Для совместной работы с файлами на сервер устанавливается owncloud. Доступа к которому извне нет — только через OpenVPN/L2TP, что также снижает риск кражи данных.