Gleicher Port für mehrere Rechner über noVNC (Browserzugriff)

[srkn61]

Hallo,

wir haben 10 Rechner hinter einem Router, diese Rechner müssen alle über den selben Port 80 mit noVNC erreichbar sein. Unser Problem ist, dass wir eine öffentliche IP Adresse zur Verfügung haben. Wir benötigen eine Methode, wie wir die einzelnen Rechner mit noVNC und den selben Port erreichen können.

Da einige noVNC Clients Firewall besitzen, ist es die einzige Möglichkeit die Rechner über den Browser / Port 80 zu erreichen. Mit nur einem Computer stellt es ja kein Problem dar, allerdings bei mehreren Rechnern mit VNC und selber Port und einer IP Adresse muss eine andere Lösung her.

Kennt jemand eine Lösung? Wenn ja wie einfach lässt sich sowas realisieren bzw. gibt es hierfür eine Anleitung?

Eine Herangehensweise von meiner Seite würde wie folgt aussehen:

xxx.noip.com/rechner1:80
xxx.noip.com/rechner2:80
xxx.noip.com/rechner3:80
.....
....
...
..
Quasi eine Zusaztabfrage / Prüfung, das erkennt, welcher Rechner im heimischen Netz gemeint ist, wenn auf die einzelnen Rechner über Internet zugegriffen wird. Ich freue mich auf eure Rückmeldungen und bin für jeden Tipp dankbar.

 

[konkretor]

Benutze bitte ein VPN irgendwelche Ports direkt ins Internet zu hängen ist keine gute Idee.
Dazu schau dir mal diese Lösung an
https://guacamole.apache.org/

 

[BFF]

Einwahl per VPN in das Netzwerk und dann auf die Ziele ist keine Option?

 

[Luftgucker]

Normalerweise kann man bei VNC doch den Port ändern, also Rechner1 Port 80, Rechner2 Port 81...
(So macht es VNC ja bei mehreren Sessions auf demselben Rechner ja auch.)

Wenn das nicht geht musste halt bei der Portweiterleitung am Router mappen:

Router Port 1000 -> Rechner 1 Port 80
Router Port 1001 -> Rechner 2 Port 80
..

 

[srkn61]

Kann man mit diesem Tool, die Verbindung nur über eine Passwort-Authentifizierung erlauben? Nicht jeder Benutzer darf auf einzelne Rechner zugreifen.

Übrigens sollen auch gleichzeitig mehrere Verbindungen möglich sein.

Ergänzung (31. Januar 2024)

VPN kommt leider nicht in Frage, da nur ein Browser clientseitig zur Verfügung steht. Es muss genau Port 80 sein für alle Rechner, da wir clientseitige Firewall Einschränkungen umgehen möchten.

 

[Mojo1987]

Das das Harakiri ist wenn man nicht weis was man tut, ist euch hoffentlich klar?
Ansonsten, mit Basismitteln kann das nicht funktionieren. Der Port kann nur einmal belegt werden, ihr werdet vermutlich eine Maschine dazwischen benötigen die in der Lage ist das dann zu "verteilen".

Das genannte Guacamole ist ein guter Ansatz.

 

[VDC]

Haproxy und ähnliche Reverseproxies können sowas, entweder über URI oder fqdn/called Name als Unterscheidung.

Aber bei so einer Harakirilösung sollte dir keiner ein Tutorial posten, das kriegst du schon hin. Eine schnieke ZTNA-Lösung könnte sowas sicher auch, da kommt man dann mit Ports und URL-Raten auch nicht weiter.

 

[Raijin]

VPN kommt leider nicht in Frage, da nur ein Browser clientseitig zur Verfügung steht. Es muss genau Port 80 sein für alle Rechner, da wir clientseitige Firewall Einschränkungen umgehen möchten.

Was denn jetzt? Steht nur ein Browser zur Verfügung und das ist euer Problem oder sorgt ihr euch um die clientseitige Firewall?

Wenn es nur um letzteres geht, kann man beispielsweise auch OpenVPN auf tcp 80 oder 443 laufen lassen. Sofern die Firewall vor Ort nicht mit DPI läuft, sieht der VPN-Traffic nach herkömmlichem http/https Traffic aus und wird durchgelassen. Das ist eine gängige Methode, um hinter restriktiven Firewalls dennoch eine VPN-Verbindung herstellen zu können. Bei WireGuard und IPsec ist das nicht ganz so einfach, weil diese auf UDP arbeiten und keine Option für TCP bieten.


Aber mal ganz von vorne: Wenn du uns etwas genauer erklärst worum es konkret geht und warum du meinst, so eine irrwitzig unsichere Bastellösung mit offenen VNC-Ports im www einrichten zu müssen, kann man zielgerichteter helfen und womöglich Alternativen vorschlagen, von deren Existenz du gar nichts wusstest.

 

[Der Lord]

da wir clientseitige Firewall Einschränkungen umgehen möchten

Das klingt mir irgendwie als würde eine Lösung auf eigene Faust gesucht ohne Absprache mit der zuständigen IT-Sicherheit?!

Da frag ich mich auch, wieso ist auf den Clients Port 80 eingehend offen, sind das Webserver? Aber dann würden ja Webserver auf dem Port lauschen.

Mit den Infos wirkt das alles wirklich ein wenig kurios.

Musterlösung: Keine VNC-Ports direkt nach außen öffnen, sondern VPN im Zielnetz aufsetzen und mit diesem verbinden. Je nachdem was zum Einsatz kommt könnte dann auch ein Reverseproxy mit aufgesetzt werden, der entsprechend auf die Wunschziele weiterleitet. Aber lass das jemand aufsetzen der Ahnung von der Materie hat, eine Bastellösung birgt zu viele Gefahren.

 

[Raijin]

So wie ich das verstanden habe geht es darum, dass auf Seiten des Clients eine restriktive Firewall umgangen werden soll.

Client -----Firewall_nur_tcp80_offen----> www -----> TE Internetanschluss -----> 10x VNC Server


Im Übrigen kann man wohl auch zB TeamViewer auf TCP 80/443 laufen lassen: Klick!

wir haben 10 Rechner hinter einem Router

Was genau heißt denn eigentlich "wir"? Es klingt irgendwie nicht so als wenn es sich da um die Familie srkn handelt, sondern wohl eher um eine Firma. Wenn dem so ist, solltest du dir mal überlegen ob du dann in einem Forum für Heimnetzwerke an der richtigen Adresse bist, noch dazu wenn du selbst offenbar nicht über ausreichend Kenntnisse verfügst.

Ein Unternehmen braucht entweder einen eigenen fachkundigen IT-Administrator oder einen IT-Dienstleister. Wer das in Eigenregie macht, weil er meint, dass das Einrichten einer Fritzbox bereits ausreichend KnowHow darstellt, ist sich nicht im Klaren darüber, dass das nicht mal 5% der Materie sind. IT-Admins haben nicht ohne Grund eine Ausbildung oder gar ein Studium hinter sich - die Themenwelt Netzwerke und Internet ist komplexer als Medizin und da kommt Otto Normal in der Regel nicht auf die Idee mal eben selbst den Blinddarm rauszuoperieren, aber IT-Admin ist ja easy going? joo..

 

[redjack1000]

bin für jeden Tipp dankbar.

Versuche es mal damit -> https://github.com/smasherprog/VNC_Proxy

CU
redjack

 

[DJKno]

Ich würde dir von dieser Konstruktion abraten.
Wenn du eine saubere Lösung möchtest, nimm VPN.
Alternativ kann man etwas mit Apache Guacamole basteln. Dann sollte aber wenigstens mal HTTPS verwendet werden. Mit Guacamole kann man den Zugriff Gruppenbasiert regeln und nur bestimmte Ziele freigeben.