eGroupware auf einem Rootsever per VPN erreichen

[noiz]

Hallo zusammen!

Ich möchte folgende Konfiguration installieren und möchte vorher wissen, ob sich eGroupware so “umbiegen” lässt, dass das auch funktioniert.

Es sollen 3 räumlich stark voneinander getrennte Filialen über das iNet per VPN vernetzt werden. Knotenpunkt dafür soll ein Rootserver im iNet sein, da keine der Filialen als Serverstandort geeignet ist. Auf dem Rootserver soll dann unter anderem auch eine Groupware-Lösung laufen, die allen 3 Filialen Zugriff auf die dort zentral gelagerten Daten bieten soll. Meine Frage ist nun, ob ich wirklich allen Komponenten, aus denen eGroupware besteht ein bestimmtes Netzwerkinterface zuweisen kann, so dass der Server wirklich nur auf dem TUN-Device des VPNs lauscht und nicht auf der Public-IP im Internet.

Danke und Grüße

Nicolas Dorwig

[Karsten]

noiz schrieb:

Es sollen 3 räumlich stark voneinander getrennte Filialen über das
iNet per
VPN vernetzt werden. Knotenpunkt dafür soll ein Rootserver im iNet sein, da
keine der Filialen als Serverstandort geeignet ist.

Gewagt. Ist der Rootserver geknackt, steht der Einbrecher direkt im LAN.
Auf eGroupWare kann auch über einen öffentlichen Webserver sicher per
HTTPS nebst IP-Beschränkungen zugegriffen werden.

Auf dem Rootserver soll
dann unter anderem auch eine Groupware-Lösung laufen, die allen 3 Filialen
Zugriff auf die dort zentral gelagerten Daten bieten soll. Meine Frage ist
nun, ob ich wirklich allen Komponenten, aus denen eGroupware besteht ein
bestimmtes Netzwerkinterface zuweisen kann, so dass der Server wirklich nur
auf dem TUN-Device des VPNs lauscht und nicht auf der Public-IP im Internet.

Das Zauberwort heißt bei Apache “virtuelle Hosts” nebst der Direktive
"Allow from". Hat also mit eGroupWare gar nix zu tun, sondern mehr mit
dem Vermögen, einen Webserver sicher zu konfigurieren.

Gruß
Karsten

---

Heaven is, where the police are British, the chefs Italian, the
mechanics German, the lovers French and it’s organized by the Swiss.

Hell is, where the police are German, the chefs British, the mechanics
French, the lovers Swiss and it’s all organized by the Italians.

---

This SF.net email is sponsored by: Microsoft
Defy all challenges. Microsoft® Visual Studio 2005.
http://clk.atdmt.com/MRT/go/vse0120000070mrt/direct/01/

---

egroupware-german mailing list
egroupware-german@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-german

[noiz]

Das Zauberwort heißt bei Apache “virtuelle Hosts” nebst der Direktive
"Allow from". Hat also mit eGroupWare gar nix zu tun, sondern mehr mit
dem Vermögen, einen Webserver sicher zu konfigurieren.

Demnach erfolt die Anbindung bei eGroupware nur über HHTP(s)? (Evtl Sorry für die Frage: Hatte leider bis jetzt noch keine Gelegenheit es zu installieren) Ich habe bis jetzt nur mit opengroupware.org rumexperimentiert und da brauchte man zig offene Ports (Backend für Webinterface, Backend für Outlook-Sync etc. etc.)

IP-Beschränkungen könnten schwierig werden. Jede der Filialen hat einen DSL-Anschluss, mit täglich wechselnden IP-Adressen…

Trotzdem danke für Deine Tipps.

Grüße

Nico

[Karsten]

noiz schrieb:

Demnach erfolt die Anbindung bei eGroupware nur über HHTP(s)?

Servus

also, ich brauchte folgende Anbindungen:

• • einen lokalen/externen IMAP-Server über IMAPS (Port 993)
• • beim IMAP-Server gibts auch 'nen Sieve für benutzerdefinierte
    E-Mail-Filter (Port 2000)
• • einen lokalen/externen SMTP-Server (Port 143)
• • einen lokalen MySQL (Port 3306, Zugriff nur von localhost, also nicht
    nach Außen offen)

Die Mailserver sind sowieso nach Außen offen, sonst macht das ja wenig
Sinn. Der Sieve muss meist noch freigeschaltet werden und bedarf
eventuell eines Portfilters, z.B. wenn außerhalb einer DMZ.

Alle Anbindungen, die ich bislang getestet habe, also iCal, GroupDAV und
XMLRPC, laufen über HTTPS und brauchen kein extra Protokoll.

IP-Beschränkungen könnten schwierig werden. Jede der Filialen hat einen
DSL-Anschluss, mit täglich wechselnden IP-Adressen…

Das ist schlecht. Für Unternehmen gibt es spezielle Angebote, meist mit
statischer IP. Einen Home-Anwendertarif für eine Firmenfiliale zu nutzen
ist aus o.g. Grund (dyn. IP) blöd - und meist laut den Verträgen der
Provider auch illegal und nicht erlaubt. Aber egal, das ist ein anderes
Thema…

Gruß
Karsten

---

Heaven is, where the police are British, the chefs Italian, the
mechanics German, the lovers French and it’s organized by the Swiss.

Hell is, where the police are German, the chefs British, the mechanics
French, the lovers Swiss and it’s all organized by the Italians.

---

This SF.net email is sponsored by: Microsoft
Defy all challenges. Microsoft® Visual Studio 2005.
http://clk.atdmt.com/MRT/go/vse0120000070mrt/direct/01/

---

egroupware-german mailing list
egroupware-german@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-german

[pv1]

noiz wrote:

Demnach erfolt die Anbindung bei eGroupware nur über HHTP(s)? (Evtl Sorry

ja. eGroupWare ist PHP. Im “Backend” muss der eGroupWare-Server noch auf
einen MySQL- und IMAP-Server zugreifen können (was in eurem Fall
vermutlich localhost ist).

Bzgl. VPN vs. HTTPS:

wir haben beides in Betrieb, nicht jedoch gemischt.

a) VPN besteht unabhängig von der Groupware, die Firewalls in den
Filialen erlauben ausschliesslich Port 443 auf $groupware-Server nach
Aussen. Der Rest wird im VPN gerouted.

b) Groupware steht im VPN. Dann sind auf der Maschine aber auch keinen
anderen Services nach Aussen offen, d.h. die Maschine ist "von Aussen"
nicht erreichbar. In der Praxis ist meist der sshd davon ausgenommen
oder die Maschine ist virtualisiert und ich kann auf das Host-System
zugreifen.

mfg
Peter

Design a fool-proof system, and they’ll just make better fools.
[gpg @ http://ps1.at/~peter]

---

This SF.net email is sponsored by: Microsoft
Defy all challenges. Microsoft® Visual Studio 2005.
http://clk.atdmt.com/MRT/go/vse0120000070mrt/direct/01/

---

egroupware-german mailing list
egroupware-german@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-german

[noiz]

b) Groupware steht im VPN. Dann sind auf der Maschine aber auch keinen
anderen Services nach Aussen offen, d.h. die Maschine ist "von Aussen"
nicht erreichbar. In der Praxis ist meist der sshd davon ausgenommen
oder die Maschine ist virtualisiert und ich kann auf das Host-System
zugreifen.

Genau diese Konfiguration strebe ich an. Einzig der Port für das VPN soll in das “böse” Internet offen sein, Zugriff nur über Zertifikate, somit sieht der Server nach außen auch “nur” wie ein VPN-Gateway aus. Alle anderen Dienste sollen wirklich nur innerhalb des VPNs nutzbar sein, unter anderem der Apache. (Wie ich in einem anderen Posting gelesen habe brauche ich demnach nur den Apache.

Aber danke schon mal an Euch beide (auch an Karsten) für die schnelle Beantwortung meiner Fragen!

Grüße

Nico

[pv1]

noiz wrote:

Genau diese Konfiguration strebe ich an. Einzig der Port für das VPN soll in
das “böse” Internet offen sein, Zugriff nur über Zertifikate, somit sieht

Der einzige Nachteil dieser Konfiguration ist, dass evtl. Handies oder
Palms und Co nicht gesynced werden können wenn deren VPN-Client nicht
kompatibel ist mit deiner Lösung.

mfg
Peter

Design a fool-proof system, and they’ll just make better fools.
[gpg @ http://ps1.at/~peter]

---

This SF.net email is sponsored by: Microsoft
Defy all challenges. Microsoft® Visual Studio 2005.
http://clk.atdmt.com/MRT/go/vse0120000070mrt/direct/01/

---

egroupware-german mailing list
egroupware-german@lists.sourceforge.net
https://lists.sourceforge.net/lists/listinfo/egroupware-german

[noiz]

noiz wrote:

Genau diese Konfiguration strebe ich an. Einzig der Port für das VPN soll in
das “böse” Internet offen sein, Zugriff nur über Zertifikate, somit sieht

Der einzige Nachteil dieser Konfiguration ist, dass evtl. Handies oder
Palms und Co nicht gesynced werden können wenn deren VPN-Client nicht
kompatibel ist mit deiner Lösung.

mfg
Peter

Das stimmt wohl, entfällt ab aber bei der vorliegenden Konfiguration, da keine Mobilclients zugreifen werden. Trotzdem danke für den Hinweis

Grüße

Nico