Verbinding opzetten thuis->werkcomputer->werkdatabase

[Tjeerd]

Ik kan even geen duidelijkere titel verzinnen voor het onderwerp, maar zal het proberen uit te leggen. Ik kan prima toegang krijgen met Teamviewer om zo mijn werkcomputer vanuit thuis over te nemen. Maar dan werk ik nog steeds op afstand en dat gaat niet echt soepel genoeg qua beeldopbouw. Wat ik wil is vanuit thuis direct een verbinding kunnen maken met de serverdatabase die normaal gesproken alleen van binnen uit het werk benaderbaar is.

Teamviewer heeft een VPN-mogelijkheid, hierbij wordt een IP-adres gegeven waarmee ik dan vanuit huis direct kan verbinden naar mijn werkcomputer. Maar daarmee kan ik nog steeds niet vanuit huis bij de serverdatabase die alleen vanuit het netwerk op het werk zelf benaderbaar is.

Ik dacht handig te zijn door een SSH-server op te zetten op mijn werkcomputer op poort 443 en een soort van (reverse) tunnel op te zetten tussen mijn thuiscomputer en de werkcomputer. Ook dit werkt niet, omdat waarschijnlijk de router ook kijkt naar inhoud en alleen HTTP(S)-verkeer doorlaat op poort 80 en 443. Poorten speciaal voor mij anders instellen of een 'echte' VPN-aansluiting zijn momenteel geen alternatieven.

Ik vroeg me dus af of het nog op een andere manier mogelijk is om vanuit mijn thuiscomputer via mijn werkcomputer een directe verbinding met de interne werkserverdatabase te kunnen maken? Simpele schets:

[thuiscomputer]<-internet->[werkcomputer]<->[werkserver+database]

[lier]

Waarom regel je dit niet met systeembeheer? Zij zullen een reden hebben dat dit niet standaard gefaciliteerd wordt. Überhaupt al bijzonder dat Teamviewer wel lukt...

Inhoudelijk...probeer je de databaseserver op IP te benaderen? Wat is je route print output als je verbonden bent?

Weet je zeker dat er geen firewall actief is op de database server?
Waarom heb je een snelle beeldopbouw nodig voor de presentatie van gegevens?
Betere vraag: wat probeer je te doen?

[Freezerator]

Het heeft vaak een reden dat een database server niet direct bereikbaar wordt gemaakt via internet of vpn. Je wil hier op ze minst een bastion host tussen hebben om enige veiligheid te implementeren.

Weet de werkgever wel wat je van plan bent? Als je dit soort dingen bij ons op werk zou proberen komt de sysadmin met een zweepje achter je aan

[leuk_he]

Directe verbinding gaat uiteraard al net iets sneller dan via de teamviewer servers. Ga toch maar eens verder vogelen poort 443 thuis open zetten, en kijken of er op het werk geen proxy ofzo tussen zit. Als je thuis op poort 443 kunt connecten met ssh, dan kun je ook een openvpn daarover leggen

Afgezien daarvan: Je beeldopbouw zou wel eens traag kunnen zijn door de beperkte bandbreedte. En een database die opeens over een trage vpn met hoge ping wordt geopend ipv lokaal met een lage ping kan soms ook wel eens heel traag blijken te zijn.


Maar bovenal: Waarom is een echte vpn geen optie? omdat je iets gebouwd hebt wat IT niet ondersteund/toestaat? hmmm.....

[Tjeerd]

lier schreef op zaterdag 28 september 2013 @ 12:33:
Waarom regel je dit niet met systeembeheer? Zij zullen een reden hebben dat dit niet standaard gefaciliteerd wordt. Überhaupt al bijzonder dat Teamviewer wel lukt...

Inhoudelijk...probeer je de databaseserver op IP te benaderen? Wat is je route print output als je verbonden bent?

Weet je zeker dat er geen firewall actief is op de database server?
Waarom heb je een snelle beeldopbouw nodig voor de presentatie van gegevens?
Betere vraag: wat probeer je te doen?

Teamviewer is geen probleem en wordt officieel ook toegestaan. En ik begrijp prima dat vanuit veiligheidsoogpunt alles ingesteld is zoals het nu is. Wat ik zou willen en mij afvroeg is of ik vanuit mijn thuiscomputer via mijn werkcomputer naar het IP-adres van de database toe kan verbinden. Normaal als ik achter mijn werkcomputer zit maak ik direct verbinding met het IP-adres van de database om daar tegen aan te ontwikkelen. Nu wil ik dat dus vanuit mijn thuiscomputer kunnen doen en dacht dat ik wel een simpele oplossing te kunnen opzetten d.m.v. een tunnel of iets dergelijks en mijn werkcomputer als 'tussenstation' te kunnen gebruiken.

[Anoniem: 203842]

Vraag aan je manager om remote toegang. Indien dat wordt toegestaan, en je manager dat goed vindt, krijg je dat.

Maar een andere vraag: Waarom wil jij vanuit huis met je werk zaken doen? Een kantoor (de meeste dan) zijn open van 9:00 tot 17:00.... Daarna gaat iedereen naar huis, eten, biertje pakken, BBQ, TV kijken (VI, MCW, en andere "programma's")...
Waarom wil jij je eigen privé tijd besteden aan je werk?

Indien je thuis mag werken van je baas, dan moet hij ook een laptop / PC tot je beschikking stellen, met volledige remote toegang (dat wordt dan door IT afdeling ingesteld).

[Puch-Maxi]

Tjeerd schreef op zaterdag 28 september 2013 @ 12:46:
[...]
Teamviewer is geen probleem en wordt officieel ook toegestaan. -knip- Nu wil ik dat dus vanuit mijn thuiscomputer kunnen doen en dacht dat ik wel een simpele oplossing te kunnen opzetten d.m.v. een tunnel of iets dergelijks en mijn werkcomputer als 'tussenstation' te kunnen gebruiken.

Aangezien je al Teamviewer hebt/gebruikt kun je gewoon gebruik maken van TeamViewer VPN .

[DJSnels]

Ik weet dat SimpleHelp (een soort van TeamViewer, maar dan betaald) dit kan. Je kunt je werkcomputer "overnemen", en vervolgens een portforward maken van localhost:xxxx (je thuis PC) naar databaseserver:dbpoort
Op deze manier kun je een verbinding leggen op elke gewenste poort. Neem een hoge poort en hij is wellicht niet gefirewalld.

[Tjeerd]

Bedankt voor de reacties tot nu toe. Het is me op zich gelukt om voor elkaar te krijgen wat ik wilde, maar omdat de database waarnaar ik verbind via JDBC meerdere poorten tegelijk wil gebruiken, is de oplossing uiteindelijk niet toereikend genoeg. Dat wordt dus toch een echte VPN-verbinding regelen waarschijnlijk. Toch wil ik nog wel even de oplossing delen zoals ik nu een tunnel heb kunnen leggen en dat op zich ook leerzaam is geweest.

De opstelling is nu als volgt: werkcomputer<-reverse tunnel->thuisserver<-tunnel->thuiscomputer

Oftewel, op mijn werkcomputer verbind ik een reverse tunnel naar mijn thuisserver:

ssh -R 5555:databaseserveripadres:databasepoortnummer gebruiker@thuisserveripadres -p4444 -vvv

-R = reverse tunnel
5555 = poort zoals die bekend zal worden op de thuisserver
databaseserveripadres = ip-adres dat alleen vanuit mijn werkcomputer te benaderen is (intern dus)
databasepoortnummer = poortnummer waarop database luistert
gebruiker = SSH-gebruiker op mijn thuisserver
thuisserveripadres = IP-adres van mijn thuisserver (die benaderbaar is vanaf buiten/internet via poort 4444)
-vvv = voor uitgebreide debugging

In mijn geval wordt het dan:
ssh -R 5555:10.0.0.1:8470 [e-mail] -p4444 -vvv

Al het verkeer dat nu binnenkomt via deze tunnel wordt specifiek doorgesluisd naar de database. Op dit moment heb ik de reverse tunnel gelegd vanuit mijn werk naar mijn thuisserver.

De volgende stap is het maken van een tunnel vanuit mijn thuiswerkcomputer naar mijn thuisserver:

ssh -L databasepoortnummer:localhost:5555 gebruiker@thuisserveripadres -vvv

-L =lokale client
databasepoortnummer = poortnummer waarmee ik op mijn thuiswerkcomputer verbinding zal maken, voor het gemak zelfde poortnummer zoals op de databaseserver
localhost = waarop de thuisserver de tunnel heeft draaien
5555 = poort waarop thuisserver de tunnel heeft draaien
gebruiker = SSH-gebruiker op mijn thuisserver
-vvv = voor uitgebreide debugging

In mijn geval wordt dit dan:
ssh -L 8470:localhost:5555 [e-mail] -vvv

Verbinden vanaf mijn thuiscomputer kan ik controleren/testen door bijvoorbeeld een telnet te doen op de thuiscomputer, als het goed is kan ik dan in ieder geval verbinden. Ook is te zien op mijn werkcomputer dat SSH binnenkomt (omdat ik met -vvv debugging aan heb staan) en dat hij wil doorsturen naar de database (10.0.0.1, poort 8470).

telnet localhost 8740
Trying 127.0.0.1...
Connected to localhost.
Escape character is '^]'.

[ppl]

Houdt er rekening mee dat dit soort zaken niet alleen niet ondersteund zullen worden door systeembeheer maar dat de baas dit ook niet gaat waarderen. Er zijn bedrijven te over waarbij dit soort gedrag "beloont" zal worden met ontslag op staande voet. Er zit het nodige aan wet- en regelgeving achter waardoor bepaalde zaken niet kunnen omdat het niet mag (denk aan privacy wetgeving). Het is dan ook lang niet altijd bedrijfspolicies die het verhinderen. Het breken van de wet en/of bedrijfspolicies is een legitieme reden voor ontslag op staande voet. Gezien het huidige financiële klimaat is dat voor sommige werkgevers een geschenk.

Doe het netjes en vraag eerst systeembeheer om advies. Dan voorkom je gezeik met de baas en krijg je ook de beste oplossing. Het kan zijn dat er het nodige aangepast moet worden door systeembeheer of dat je gewoon iets verkeerd doet. Men is doorgaans ook een stuk bereidwilliger als je ze direct aanspreekt ipv alles achter hun rug om doet. Let ook even op de verbinding op kantoor en thuis. De zwakste schakel is hierin bepalend. Een VPN verbinding met RDP kan een goede oplossing zijn. RDP kan goed rekening houden met slome verbindingen. Dat doet een Teamviewer minder. Zoals gezegd: leg dit even voor aan systeembeheer, wellicht hebben zij al een setup voor je.

[ Voor 14% gewijzigd door ppl op 06-10-2013 21:40 ]