Installation VPN

[pierrotori]

le must en https , on peut envoyer une commande https dans une application de geofencing par exemple

[lost]

j’ai garde mon vpn (docker wireguard)que j’active a la demande via domoticz pour resoudre des problèmes techniques

Pour cet usage, un simple serveur ssh dont on ouvre le port à la demande fait le job et même plus. Et on l'a même déjà de base.

[pierrotori]

De ce que j'ai pu lire le port ssh est très souvent attaqué,(brut force). Ayant découvert wireguard il ne faut pas s'en priver installation en 5 min alors qu'auparavant je mettais 1 heure à mettre en place un vpn, certificat, la ce n'est plus une contrainte.
je ne m'occupe meme plus de l'ip car quand je monte le service ici le container docker il recalcul la nouvelle clé par rapport à l'ip en cours
D'ailleurs depuis l'ouverture en https, j'utilise très peu le vpn

[lost]

Le ssh est en effet très attaqué, mais pour ma part je n'ouvre le port qu'a la demande (via un script attaché à un switch virtuel), pour 1 minute.
Cela laisse le temps d'établir sa connexion.

Le script tout con sur un ufw déjà utilisé/configuré par ailleurs (qui peut déjà contenir une règle autorisant le ssh sur le réseau local, genre "22 ALLOW 192.168.1.0/24" en ufw status), nommé :sshFwOnOff.sh

Code : Tout sélectionner

#!/bin/bash

case "$1" in
"On")
    DEL_RULE=""
    ;;
"Off")
    DEL_RULE="delete"
    ;;
*)
    DEL_RULE="delete"
    ;;
esac

ufw $DEL_RULE allow ssh

Et le pushbutton virtuel, avec le délai d'extinction correspondant à la durée d'ouverture attache les actions On/Off à des appels "script:///PATH/sshFwOnOff.sh On" et "Off".

On peut alors rebondir via cette connexion sur son réseau local, utiliser les possibilité de port-forwarding ou proxy socks (utile par exemple pour connecter un navigateur, d'un clic pour passer par le proxy socks v5 configuré sur le localhost et le port indiqué à la connexion ssh, à son réseau local comme si on y était: On peut reconfigurer des caméras IP ou autre comme si on était à la maison etc...).

Et c'est déjà là, les clients ssh sont dispo sur toute plateforme y compris mobiles (ConnectBot sur Android...). Le VPN c'est quand même l'artillerie lourde en comparaison surtout pour l'usage cité, qqsoit sa facilité de mise en oeuvre (ce qui peut aussi vouloir dire des pré-configurations mal maîtrisées: Des entreprises se font avoir).

[pierrotori]

tu laisses le port 22 ouvert sur ta box et gère l'activation du firewall du serveur sur lequel ton port est translaté, c'est ca ?

[lost]

Exact, vers le seul PI. Idem pour le 80/http utilisé par lets encrypt...
Plus facile à gérer (si simplement possible), que côté livebox.