доброго времени суток!

есть некий "офис" из нескольких компов (192.168.1.20, 21, ... ) + сервер терминалов 2003 (192.168.1.111)
все станции воткнуты в роутер, на котором стоит прошивка dd wrt
в порт wan роутера воткнут инет со статическим ip

все компы ходят на сервер по rdp...

задача : извне подключать к серверу терминалов для работы...


понятное дело, что можно поставить форвадинг с wan на порт 3389 сервера терминалов или использовать dmz

но тогда в логах сразу станет видно, как боты пытаюсь подобрать логин-пароль к какой-нибудь учётке

хочется обезопасить сервер для доступа извне и завернуть внешний rdp-трафик в защищённый канал ssh

как это сделать?

поставить 2008 сервер - там безопасность рдп можно настраивать гораздо шире

Поднимаешь openssh сервер. делаешь проброс порта 22 на какой-нибудь икзотический к примеру 8001. Потом подключаешься к rpd через этот ssh сервер.

http://s020.radikal.ru/i704/1410/75/cbfc980ee534.png

(0)А в чем проблема? заведи нужных пользователей да подключайся.

(0) Поставь нестандартный порт

зачем вообще так делать? правильно через vpn

(1) потом

(2) я вот думал на роутере поставить sshd-сервер
чтобы извне можно было подключаться по рдп к серверу

но тогда возникает вопрос
на удалённой машине извне создаю туннель до роутера через putty
как трафик по rdp оставить в туннеле, а остальной в него не шёл ?

(3) с мегасложными паролями ?

(4) боты же перебирают и порты

хочется создать туннель до роутреа
а далее в mstsc вбить 192.168.1.111 и подключиться к серверу

видел статьи типа : http://habrahabr.ru/post/116214/

но там весь трафик идёт через удалённый роутер

(7)Ну можешь и с мегасложными паролями, хотя проще и безопасней по ключам.

(6)Дык он там уже стоит, нафига его ставить?

"как трафик по rdp оставить в туннеле, а остальной в него не шёл ?" - очень просто.
Когда тоннель делаешь на putty пробрасывай удаленный порт RDP на какой нибудь  порт на localhost.
Подключаться будешь localhost:нужный_порт.

(2), (4) - смена номера порта на нестандартный это абсолютно бесполезное занятие. Чисто поразвлечься.
Безопасности это никак не добавляет.

(11) в 2003 это есть ?

а vpn аутентификация только по логин-паролю ?

(12) localhost в твоём предложении  это кто ?

(16)127.0.0.1

(14)А при чем тут 2003? Ты вроде спрашивал про ssh

(17) как пробросить удалённый порт на локальный
не совсем понял

(18) так в 3 что ты посоветовал

(20)Завести нужных пользователей, сделать им ключи или пароли и подключаться.

(21) на сервере терминалов есть уже нужные пользователи

сервер терминалов мне сделать наружу ?

(22)Какой нафиг сервер терминалов?
ты в (0) написал что у тебя есть роутер с dd-wrt и ты хочешь поднять на нем ssh и ходить через него в терминал
Так вот заходишь на роутер, заводишь пользователей, по паролю или с ключами как удобней  на sshd и подключаешься.

(23) где заводить пароли ?

*пользователей

+ (25) не нашёл где

(26)В консоли вестимо.

это как ?

значит так. берешь древнюю как кал мамонта тачку, втыкаешь в нее 2 сетевки, в одну втыкаешь интернет, во вторую пихаешь роутер, и ставишь на нее http://en.wikipedia.org/wiki/PfSense
далее настраиваешь на нем vpn, заводишь пользователей и пароли для них и пробрасываешь впн в роутер.

(28)telnet как же еще.

(30) ищу пример, как https://www.google.ru/search?q=dd+wrt+настройка+sshd+создать+пользователей -- ничего найти не могу

(29) это лишнее

(31)Ну..
Вообще то ssh работает с системными пользователями.
DD-WRT это банальный линукс. Соотвественно стандартные команды линукс шелла.
А по поводу настройки ssh на dd-wrt вот - http://www.dd-wrt.com/wiki/index.php/Telnet/SSH_and_the_Command_Line

я всегда знал что одинэсники любят правой булкой выключателем под потолком щелкать

(34)Это как?

(35) видимо стоя на руках

(33)

понял

пусть
usr1
usr2
usr3
удалённые пользователи, которые будут подключаться к роутеру извне по ключу

как тогда запретить юзеру root соединяться извне, а оставить доступ к консоли роутере внутри?

(37) А если запретить ICMP, то по ключу можно будет достучатся до роутера ? Если да, то почему бы не блочить ICMP ?

(38) так я хочу, чтобы root по ключу или логину-паролю по wan был не доступен, а внутри сети по lan был доступен по логин-паролю

а если отключить ICMP, то как управлять роутером внутри сети ?