Webdienste (Gitlab) hinter VPN?

[King-S]

Hallo

ich habe einen Server gemietet, um mit meinen Mitarbeitern zentral besser zusammenarbeiten zu können. Das Problem ist, dass wir kein Büro haben, sondern alle von anderen Standorten arbeiten.

Alle Dienste (ssh, ftp, etc.) sind alle nur via VPN erreichbar. Jedoch die Webseiten sind normal für jeden erreichbar (gitlab, owncloud), aber auch nur über https. Das ist wegen den Desktop/iPhone-Clients wichtig. Es sind nur die Ports 80, 443 und 25 offen. Der 25er-Port wird noch geschlossen.

Auf dem Server ist keine registrierte Domain eingerichtet, sondern ist nur per IP und der standard-domain des Hosters erreichbar - diese ist ja etwas "cryptisch"

Ich frage mich nun - gerade wegen gitlab - ob diese Absicherung reicht. Immerhin liegen in Gitlab alle Quelltexte. Oder ist gitlab im Login-Script sicher, sodass eine Technik wie fail2ban (Ideen gerne her) ausreicht?

Vielen Dank im Voraus!

 

[Whistler]

Die Sicherheit steht und fällt mit der Authentifizierung.
Von daher ist die Idee eines gekapselten Konzeptes (VPN und darin nochmal ein Login) absolut nicht verkehrt.
Auch ein iPad oder iPhone kann ein VPN terminieren.
Falls das nicht in Frage kommt kann z.B. auch mit clientseitiger Authentifizierung per Zertifikat (das man mit dem IPCU aufs iPhone bekommt) erfolgen.

 

[King-S]

Hi,

das denke ich mir auch. Habe openVPN auf dem iPhone und auch eine stehende Verbindung. Das Problem ist jetzt nur, dass ich Plesk verwende und die Dienste innerhalb einer jeweiligen Subdomain laufen, also owncloud. / gitlab.

Da Plesk's Apache auf den Servernamen hört, muss ich also die URL anstelle der VPN-IP aufrufen. Wie bekomme ich Windows und vor allem das iPhone dazu, diesen traffic, der an owncloud. gesendet wird, durch den Tunnel zu leiten? Denn ich >muss< ja anscheinend Servernamen verwenden. Ich hoffe, ihr versteht was ich meine.

Wenn ich in die Windows-host-Datei Einträge vornehme, dann kann ich zwar die gitlab. an 10.8.x.x auflösen lassen, dann komme ich aber auf der Apache-Default-Seite raus, da Apache nicht der richtige Servername (hier also gitlab.) übermittelt wurde.

Ich hoffe, ich konnte das Problem relativ verständlich erklären.

Danke

 

[hans01]

Ich kenne Plesk zwar nicht, aber wie wäre es mit einem eigenen DNS Server?

gitlab.server.vpnonly 10.8.0.1
asdf.server.vpnonly 10.8.0.1

dann kann der apache auf diesen vhosts lauschen...
die DNS Auflösung geht übers vpn

 

[King-S]

Hallo,

vielen Dank für eure Antworten und für die Idee mit dem DNS-Server. Sorry auch für die späte Rückmeldung, aber ich habe den DNS eingerichtet und die Idee von hans01 umgesetzt.

Also, super-gute Idee. Funktioniert perfekt und war recht easy einzurichten. Funktioniert sogar mit dem iPhone-OpenVPN-Client.

Ein herzliches "Dankeschön" an euch.