Vlákno názorů k článku
X window a terminálový server na FreeBSD

"Problem ale bude s prenosovou rychloti. Na lokalni siti je to ok, ale pres internet? Zalezi na konektivite, ale obecne je to straaasneeee pooommallleee."

Jak se to vezme. Dnesni internet je uz relativne rychlej, vetsinou ale z Inetu k userovi (download). Pokud bys tak chtel neco z Internetu spravovat nekomu doma, tak s tim budes mit problemy s rychlosti.

Jedna moznost je nastavit vysokou komprimaci u SSH (-o Compress=yes,CompressLevel=9). Druha moznost je nespoustet ty aplikace primo, ale spustit si na cilovym servery spis VNCserver, pripojit se pres vncviewer a pracovat takhle.

Jednak jde nastavit opet kompresi, take (napr. u tightvnc) jde vybrat urcity druh kodovani (osobne mam dobre zkusenosti s kodovanim tight:)) a tightvncviewer umoznuje taky zadavat kvalitu obrazu (JPG). Takze pokud ti nejde o kvalitu, tak se da nastavit treba "2" - obraz je pak mirne rozmazany a detaily se zaostrujou az pri pouziti, ale jede to i na pomalejsich linkach.

Druha vyhoda je, ze pokud ti spadne spojeni, tak se ti rozdelana prace neztrati padem aplikace, ale bezi v pohode ve vncserveru dal.

Mimochodem, mozna to taky stoji za uvahu, aby se na tenkym klientu nespoustel primo WindowManager, ale vncviewer, ktery se pripoji na server na VNCserver. Uzivatele tak mohou nechat rozdelanou praci, aniz by museli ukoncovat vsechny programy a window manager, a pouze ukonci viewer a jdou. Pokud se nepletu, tak vncserver umi take XDMCP, takze by to taky bylo reseni a mozna by odpadl problem s rychlosti napr. OpenVPN tunelu.

Pokud vim, tak XDMCP bezi na UDP, cili na SSH tunnel nebo stunnel zapomenme.

Osobne jsem taky premyslel, jak sifrovat komunikaci mezi bezdiskovou stanici a server nejen na XDMCP, ale take na NFS, a porad mi v hlave lezi myslenka, ze stanice si ze serveru stahne kernel a svuj initrd, ktery je pote nahraje a spusti. V tomhle initrd bude samozrejme startovani nejake VPN (osobne mam rad OpenVPN, ale mam dojem, ze tun umi pouze 10Mbps, coz by mozna mohlo byt poznat pri praci). Pres ten VPN by pak probihala veskera komunikace se serverem. VPN certifikat a klic pro stanici by byl ulozen v tom initrd, klic by byl zasifrovany nejakym udajem unikatnim pro stanici a zjistitelnych pouze lokalne (netusim, co by se dalo pouzit, neco jako ID procesoru, desky nebo tak). Samozrejme by byl zakaz bootovani z cehokoliv jineho, takze pripadny utocnik by nemohl ziskat klic, aby si nahodil vlastni VPNku z vlastniho stroje.

Slo by to takhle? Da se donutit OpenVPN aby pouzival nejaky rychlejsi virtualni interface? Bylo by to dostatecne rychle s OpenVPN nebo by bylo lepsi IPsec (nebo neco jineho)?

"Nechci vas strasit, ale v principu to je nesmysl, protoze musite prenest klic bezpecnym zpusobem na terminal. Dale musite zabezpecit, ze se k tomu klici nikdo nedostane (napr. nepodvrhne jadro nebo root FS) atd."

Ted mi nejak nedochazi, jak to myslis.

ad prenos klice nesifrovanym kanalem) nejsem zase tak velkej prebornik na bezpecnost a sifrovani, takze nevim, jestli je hodne velkej problem, kdyz poslu klic zasifrovanej dostatecne silnym heslem pres nechranenej kanal. Mozna posilat klic od el.bankovnictvi zasifrovany slabym heslem (rozumnej 5-7 pismen a-z, max. jedno velky) emailem je asi dost velke riziko, ale poslat klic zasifrovany dostatecne dlouhym heslem (coz muzou byt kombinovane najeke ID dilu pocitace) pres lokalni LAN, navic klic ktery ma slouzit pouze k pripojeni pro lokalni VPN, to snad nebude tak velke riziko, ne? Prakticky je jedno, jestli se klic prenasi nesifrovanym kanalem, protoze ve realu bude initrd ulozene na tftp, takze by zrejme utocnik mohl mit moznost si ho stahnout sam.

ad ze se k tomu klici nikdo nedostane) teoreticky pokud na tom stroji nedokaze spustit jiny system (to je asi myslene tim "nepodvrhne jadro nebo root FS") tak by nemel mit pristup k tomu klici, navic i kdyby, tak by klic mel byt pouze v sifrovane podobe.

Jedina hrozba, kterou bych ja videl by byla v pripade, ze by utocnik mohl do site zapojit vlastni stroj s DHCP serverem.

No, me osobne trapila hlavne myslenka, ze v pripade nasdileni systemu pres NFS muze kdokoliv nabootovat treba z LiveCD a jako root pak udelat na tohle NFS bordel. Samozrejme, ze jde hackovat hodne do hloubky, ale me spis slo o zabezpeceni NFS stromu proti tento uplne jednoduche metode.

jelikoz se tady bavime spise u uzivatelske siti nez o siti v bance, kterou protekaji skutecne citliva data, mohlo by tohle resit. Predpokladem bude:

- na siti je muj DHCP server
- zadny cizi (neprovereny, neduveryhodny) pocitac se do teto casti site nepripoji
- stanice nepujde nabootovat z jineho media