server casalingo

[forrestG]

Salve a tutti
ho una domanda da porre.

Vorrei creare sul mio computer di casa (w2k) 3 cose:

1 - web server a cui accedere io singolarmente (con pagine web ad esempio di riepilogo contatti, bookmark, appuntamenti e varie ed eventuali)
2 - ftp server per la condivisione dei file che puntualmente lascio a casa e che dovrei portarmi in giro, nonchè magari qualche file che vorrei sharare con gli amici intimi quindi nessun utente anonimo etc etc
3 - un accesso remoto con VNC per il remoting del desktop

Ovviamente la bellezza starebbe nell'avere dei client portabili per l'accesso da qualsiasi computer senza dover installare software e sporcare "l'ospite" con file e chiavi di registro.

Vorrei sapere un po' di opinioni per non accogliere a braccia aperte l'intera popolo di internet e mantenere una certa comodità di utilizzo.

Io ho pensato di installarmi openssh per win per gestire il criptaggio dell'ftp. Non so ancora se esiste un client portatile comodo non a riga di comando (visuale).

per il VNC puntavo su ultraVNC con il modulo di criptaggio. Ha un viewer portatile che decripta.

E per il web?? Se installo apache e apro la mia porta 80 sul router, che rischi corro? Vorrei usare l'autenticazione per accedere alla webdocs così da poter entrare solo io. E' sicura? Non lo è?

Ovviamente mi chiedo anche il livello di sicurezza delle precedenti pensate.

Ragionando un po' stavo inoltre pensando alla creazione di una VPN, ma se dall'ufficio potrebbe andarmi bene, non è più vero da computer non "sicuri", in quel caso dovrei settare delle configurazioni non eliminabili "al volo" quando ho finito di pasticciare dal cliente...

Sono un po' confuso anche perchè sono completamente nuovo a queste cose...

vi ringrazio per le eventuali delucidazioni e spero di aver azzeccato il forum con dell'argomento giusto...

Grazie
Ciao
Yuri

[billiejoex]

web server a cui accedere io singolarmente (con pagine web ad esempio di riepilogo contatti, bookmark, appuntamenti e varie ed eventuali)

Puoi usare IIS 6.0 o il porting di Apache per windows. Per avere solo accesso locale puoi:
- lasciare il demone in ascolto sulla sola interfaccia di loopback.
- lasciare il demone in ascolto sulla sola interfaccia LAN, nel caso tu abbia due interfacce di rete e voglia accedere da un'altra postazione interna alla LAN.

ftp server per la condivisione dei file che puntualmente lascio a casa e che dovrei portarmi in giro, nonchè magari qualche file che vorrei sharare con gli amici intimi quindi nessun utente anonimo etc etc

Anche qui puoi usare lo stesso IIS. Abbi cura di negare l'accesso anonimo e di levare dal banner di benvenuto i dati relativi al demone e la sua versione che potrebbero essere visti dal client remoto.

3 - un accesso remoto con VNC per il remoting del desktop

Puoi anche vagliare la possibilità di usare il remote desktop integrato nel sistema (win 2k ce l'ha o comparso solo con l'avvento di XP? Non so...).
Il vantaggio nell'optare per qusta soluzione consiste nella maggior velocità rispetto a VNC e la sicurezza di avere un windows update che ti aggiorna in automatico il componente, cosa che non avviene con VNC in quanto software di terza parte.
Di contro hai che con remote desktop non hai la possibilità di criptare la comunicazione cosa che invece puoi fare VNC tunnellando su SSH.

[quote]Io ho pensato di installarmi openssh per win per gestire il criptaggio dell'ftp. Non so ancora se esiste un client portatile comodo non a riga di comando (visuale)[
Si, pare ci sia. Non è in italiano ma si capisce:
http://www.unav.es/cti/guias/guiaftp/
Per il server ti tocca la linea di comando ma non è niente di difficile.

per il VNC puntavo su ultraVNC con il modulo di criptaggio. Ha un viewer portatile che decripta.

La versione di VNC criptata non è più freeware.
Puio prendere la versione free e tunnellarla su SSH. Ho trovato questo:
http://www.shebeen.com/vnc_ssh/

E per il web?? Se installo apache e apro la mia porta 80 sul router, che rischi corro? Vorrei usare l'autenticazione per accedere alla webdocs così da poter entrare solo io. E' sicura? Non lo è?

La sicurezza di un qualunque demone, anche se è limitante dirla in questi termini, si può riassumere in un solo basilare concetto: aggiornamento.
Se hai cura di mantenere i tuoi demoni sempre aggiornati alla loro ultima versione difficilmente avrai problemi di exploiting.
Ovvio che anche la parte di configurazione ha la sua grande importanza ma con un buon tutorial puoi cavartela più che dignitosamente (imho).
Per quanto riguarda l'autenticazione non so se IIS la supporta (credo di si cmq) ma con apache quasi sicuramente potrai settare l'autenticazione sotto forma di policy in apache.conf.
Anche in questo caso, optando per un applicativo nativo di windows, puoi beneficiare del fatto che a occuparsi degli aggiornamenti ci sarà windows update mentre con apache dovrai essere tu ad avere cura nell'aggiornare alle nuove versioni manualmente (su linux non avresti questo problema in quanto ad occuparsene ci sarebbero package managers come apt o yum, ma tant'è...)

Ragionando un po' stavo inoltre pensando alla creazione di una VPN, ma se dall'ufficio potrebbe andarmi bene, non è più vero da computer non "sicuri", in quel caso dovrei settare delle configurazioni non eliminabili "al volo" quando ho finito di pasticciare dal cliente...

Personalmente tendo sempre ad evitare la soluzione VPN, quando possibile. Molto spesso si adotta tale soluzione quando non ve ne è un effettivo bisogno, senza contare che la gestione di una VPN è decisamente più complicata di altre come possono essere, ad esm ftp.
Se è la cifratura, quella a cui punti, te la cavi più che dignitosamente con un tunnel di ftp su ssh.
Per chiudere, se quello che ti preoccupa è lasciare un demone alla stregua di chiunque, in internet (posso capirti), valuta la possibilità di impiegare il port knocking a livello firewall. In quel caso non ti so dire come muoverti in ambienti Windows dato che il più delle volte questo genere di cose si implementa su sistemi *nix tramite iptables.

Saluti

[forrestG]

grazie per la risposta.

Io sono dietro ad un router che, anche se no ci capisco molto, mi dicono abbia un firewall integrato molto affidabile che utilizza proprio le ip table (dovrebbe avere una... (??) linux box).

Internamente alla LAN sto sperimentando, ma Apache è già in ascolto sulla porta 80 del mio "server" e riesco ad accederci da qualsiasi computer della LAN digitando l'ip dello stesso. Indi funziona pure l'autenticazione di Apache. Purtroppo però Ancora non sono riuscito a forwardare il router per affacciarmi dalla rete... e sono in mare aperto. In più ho un ip dinamico e mi devo appoggiare a no-ip. Troppe variabili che non ho mai affrontato per capire qual è il problema.

forse è questione di terminologia, ma con loopback intendi Apache disponibile solo in localhost del server??? e per lasciare il demone in ascolto sulla lan intendi quel che sto già facendo ora?? Giusto per capirci... sono saltato un po' giù dalle nuvole. Ripeto, per me quello delle reti è un mondo nuovo...

Testerò subito il server ssh per l'ftp... e ti segnalo questo che metto in coda:
http://sshwindows.sourceforge.net/
che comprende anche altri servizi.

per quanto riguarda il Remote Desktop l'ho visto in funzione e mi è sembrato molto comodo. Il problema è che per Win2k cè solo in versione client. Non è possibile installarci un server.

mi hai convinto ad ascludere la VPN, non so configurare un forwarding sull'80 figurati qualcosa di più complesso.

Grazie mille questo week end lungo comincio a sperimentare ... e ad informarmi sulle migliaia di sigle che sto incontrando...

ciao
Yuri

[billiejoex]

Ancora non sono riuscito a forwardare il router per affacciarmi dalla rete

Non è difficile.
L'interfaccia web di configurazione del tuo router dovrebbe avere una sezione chiamata port forwarding in cui dovrai specificare:
* la porta su cui il router dovrà routare le connessioni
* eventualmente l'interfaccia (del router) che ovviamente dovrà essere quella WAN.
* l'ip di destinazione del client su cui è aperto il demone
* la porta dello stesso.
Sulla documentazione del tuo router ci sarà sicuramente scritto. Dacci un occhio.

forse è questione di terminologia, ma con loopback intendi Apache disponibile solo in localhost del server??? e per lasciare il demone in ascolto sulla lan intendi quel che sto già facendo ora??

Si, è quello che stai facendo ora.
Se attualmente il tuo server è in ascolto sulla LAN potrà essere contattato dai client della rete ma non dal tuo stesso computer e il risultato di un "netstat -an" sarà una cosa di questo tipo:

Proto  Indirizzo locale       Indirizzo esterno       Stato
TCP    192.168.0.1:80         *:*                    LISTENING

Se il server fosse stato attivo solo in loopback l'unica macchina possibilitata a connetersi sarebbe stata quella su cui lo stesso demone risiede (la tua):

Proto  Indirizzo locale       Indirizzo esterno       Stato
TCP    127.0.0.1:80           *:*                    LISTENING

Se fosse stato attivo sia in loopback che in LAN sarebbe stato raggiungibile da entrambe le parti (tipico caso di server pubblico, sia esso riferito a internet (wan) o alla rete privata (lan):

Proto  Indirizzo locale       Indirizzo esterno       Stato
TCP    0.0.0.0:80             *:*                    LISTENING

Questo è un aspetto molto importante a cui bisogna prestare estrema atteenzione e che molte volte ho visto ignorato o semplicemente trascurato. Esempio: se si ha un server che monta due interfacce (WAN: 80.0.0.1, LAN 192.168.0.1) che dovrà offrire un servizio di web-server esclusivamente ai client della rete LAN (classica azienda con sito web interno, ad es.l) si dovrà aver cura di lasciare il demone in ascolto solo ed esclusivamente sul'interfaccia 192.168.0.1.
Se al risultato di un netstat compare una cosa del tipo:

Proto  Indirizzo locale       Indirizzo esterno       Stato
TCP    0.0.0.0:80             *:*                    LISTENING

...significa che il demone è in ascolto su tutte le interfacce (4): wan, lan e loopback di entrambe, e ovviamente sarà contattabile sia da intranet che da internet.
Quando hai a che fare con i server presta sempre attenzione a questo aspetto tramite il netstat.

per quanto riguarda il Remote Desktop l'ho visto in funzione e mi è sembrato molto comodo. Il problema è che per Win2k cè solo in versione client. Non è possibile installarci un server.

Acc! Peccato! Essendo anche io interessato all'argomento ho cercato un po e ho scoperto che è possibile tunnellare anch'esso tramite SSH:
http://www.bitvise.com/remote-desktop.html

Saluti