Guacamole - менеджер удаленных подключений SSH, RDP, VNC, K8s в браузере.

Guacamole - менеджер удаленных подключений SSH, RDP, VNC, K8s в браузере.
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Буду очень благодарен за поддержку в виде чашечки ☕️:
www.buymeacoff...
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
По предложениям пишите на: [e-mail]
Matrix: @romnero:matrix.romnero.de
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Команды в видео:
github.com/Rom...

[@pavel_dev]

Спасибо, брат гикан

[@RomNero]

Всегда пожалуйста 😉

[@1111047]

Уважаемый, спасибо за видео. Стоит добавить пару моментов. 1. Чтобы не заниматься фигнёй с CTRL+ALT+SHIFT, просто разрешите в браузере для этого сайта доступ к буферу обмена. 2. Даже если сервис работает во внутреннем периметре, я бы настоятельно рекомендовал настроить TOTP.

[@RomNero]

Спасибо за информацию и за полезные комментарии/ответы👍🙂

[@procopiismetanin4426]

Привет, подскажи, можно ли кастомизировать TOTP? Например, отключить двухфакторку для одной учетной записи, но оставить для всех остальных?

[@1111047]

@@procopiismetanin4426 Слушай, я как-то не задавался вопросом таким. Надо проверить.

[@MrKirill0702]

@@procopiismetanin4426 Да можно

[@dk8006]

Подскажите подробнее пожалуйста по буферу обмена, в хроме он заблокирован, включил принудительно в групповой политике для этого сайта. Теперь вижу слева где видно что подключение не защищено в этом всплывающем окне, что буфер обмена разрешен, но в настройках сайта он также заблокирован и в общем-то не работает. Попробовал в мозиле, в общем-то тоже самое.

[@yegorivanov5501]

Отличный канал! Одно видео полезнее другого! Спасибо большое за труд! 🙏

[@maxsuprun3299]

Спасибо большое. Очень полезное видео. Воспользуюсь Вашим мануалом 😊

[@RomNero]

Всегда пржалуйста👍

[@qudr0151]

Обязательно попробую, спасибо что рассказали , всех благ !

[@RomNero]

Спасибо за отзыв😉👍

[@РустамНуриев-ю9т]

Здравствуйте. Интересная тема, записывайте больше разборов сервисов пожалуйста

[@RomNero]

Спасибо. Здесь как получится. Иногда есть действительно очень интересные сервисы👍

[@Простойкакбумага]

Ты такой инструмент для меня открыл, большое спасибо!

[@RomNero]

Всегда рад помочь😉

[@serhiidiachuk696]

Спасибо тебе за труды. Очень интересно и познавательно !

[@RomNero]

Спасибо за отзыв 👍

[@k0t1k]

Только что настраивал SSH на VM's. Спасибо сейчас посмотрим лайк с лёту :D

[@RomNero]

Спасибо 👍

[@MrShadowaka]

спасибо! На работе на следующей неделе попробую развернуть. Не знал про такой сервис

[@RomNero]

Успехов в использовании👍

[@MenkarX]

Спасибо, отличное видео! Взял на заметку, попробую поэкспериментировать.

[@AlexanderArzner]

Хорошая тема! Давно использую...

[@RomNero]

Приятно слышать. Я тоже в одной фирме использовал много эту систему. Она для определённых окружений отлично подходит👍

[@valarg5756]

Спасибо большущее! :)

[@RomNero]

Всегда пожалуйста😉

[@ОлегДемченко-л2к]

Спасибо

[@Spaceboy-oz7gh]

Красава!

[@МурадовМурад-м2ц]

Спасибо за видео

[@MrShadowaka]

Ещё кстати по поводу RDP, необходимо ставить Security mode NLA(Network Level Authentication) он много где по умолчанию стоит на самих windows системах. А то думал чего не подключает.

[@procopiismetanin4426]

Почему-то не работает NLA(Аутентификация на уровне сети) для WS 2012, не замечали такого? Только с принудительным отключением NLA на стороне сервера и переключение на RDP-шифрование

[@adamdark1200]

как всегда - отлично!

[@RomNero]

Спасибо 😉

[@Саша-т9б5с]

Спасибо за видео, супер 🤘

[@RomNero]

Спасибо 🤘

[@maximbeloff8579]

Лучший tech-канал

[@RomNero]

Спасибо 😉

[@RaideN4242]

зря не упомянул про перенос файлов..... на вирт винду нужно ставить OpenSSH, далее в настройках подключения в sftp указать ip, port 22, логин и пароль от учетки винды. тогда появляется возможность закачивать файлы на сервер) криво косо, но работает)

[@RomNero]

Класс👍Спасибо за инфу. Будет точно полезно!!!

[@kovalenkosv40]

Реально искал такое видео

[@RomNero]

Нашёл 😉

[@kinostory]

Реально . эта штука - Бесполезная тупая херня.. задумка интересная.. но по сути - хрень. Где админ у которого 200 серверов и ему надо роздать их 20-ти админам ?? :)) ппц . Во первых несколько пользователей shh быть не могут. Чем больше всяких ламеров кому нужно консоль - тем больше проблем на сервере. Да и куда нужнее работа в 2-ух отдельно видимых окнах. Тоесть не переключатся постоянно. А когда окна рядом стоят и ты только глазами туда сюда водиш. А это, кроме патти которое отдельное соединение создает, как отдельно окно -пока никто не может. Но за инфу спасибо ))

[@kovalenkosv40]

@@kinostory а тут прикол не в 200 серверах, у меня например есть рабочие станции с внц, тут самое важное что оно работает с браузера.

[@alexp2020]

Спасибо, видео познавательно. А вы не задумывались прикрутить к гуаку двухфакторную защиту. Например Офелия или Аутентик? Я пробовал Офелию, но у меня не получилось. На ютубе есть несколько англоязычных примеров. Делал всё след в след, но у меня оно не взлетело. Почему-то... 😢

[@RomNero]

Немного позже сделаю видео по authentik. Понравился мне сервис👍

[@alexp2020]

@@RomNero оооо! Это было бы очень здорово! 👍👍👍

[@sergeyzinovkin7123]

@@RomNero Тоже очень хотелось бы увидеть реализацию с 2FA, на сайте проекта есть описание как это сделать, но немного не хватает знаний чтобы осмыслить написанное, и там естественно это указывается не для реализации через Docker. Так что очень жду ваше видео на эту тему или с TOTP или в любом другом виде.

[@moscowstyle6978]

Посмотрите предонтефикацию у nginx

[@1111047]

Проще всего подключить TOTP. Он там искаропки очень легко подключается.

[@NightOctan]

Подключился к виндовс по rdp, после входа в систему пишет «сервер удаленных рабочих столов закрыл соединение, так как оно конфликтует с другим соединением» и сразу закрывает сеанс Больше соединений нет, непонятно почему выскакивает ошибка

[@mskamFlint]

Шикарная подача материала! У Вас есть телеграмм канал?)

[@RomNero]

Спасибо 😉 Канал создал, но ещё ничего там не публиковал. Как начну его вести. Внесу в список контактов на канале.

[@alex_vande]

Всем привет, повторил все как на видео, но у меня не работают логи. Возможно ли что для логов нужно монтировать отдельный Volume?

[@disaonly]

А как быть с WoL. Контейнер же изолированный от хостовой сети. Можно ли guacd повесть на сеть хост, а mysql и guacamole оставить в bridge?

[@ThePil123]

Благодарю Вас, уважаемый RomNero за Вашу работу. Благодаря этому ролику запустил Guacamole. Подскажите, пожалуйста, почему у Вас в ролике используется mysql:8.0, а не :latest? Возможно ли этот 8.0 проапргрэйдить до latest? Если ДА, то подскажите, пожалуйста максимально доступно. Спасибо!

[@RomNero]

Спасибо за отзыв. При использовании databases, лучшей практикой является не использовать никогда latest. Так как может выйти новая версия DB, а приложение ещё не поддерживает новую версию. Да и вообще, если приложение не самостоятельное, то не стоит указывать latest, а обновляться вручную и смотреть Release notes.

[@Aldubl]

RDCMan супер штука, когда много rdp

[@RomNero]

Интересно спасибо. Не часто работаю с RDP. Но стоит посмотреть👍

[@DazmaLab]

А сетевое оборудование будет работать? Cisco, mikrotik, huawei

[@VusalMDadashzadeh]

А это вообще безопасно? На приактике этим пользуются ? Вот хочу у себя развернуть, а то хелпдеск задолбал как то ... нужен доступ туда, нужен доступ сюда.... Вот думаю поставить это .... Но меня терзают смутные сомнения....

[@RomNero]

Ой, как знакомо когда на фирме всё заблокировано 😄 Это безопасно, если соблюдать правила безопасности: добавить 2FA, выходить с аккаунты т.п. Ну или даже отключать сервис guacamole если он не используется.

[@MrKirill0702]

А подключиться не получиться по RDS Shadow (теневое подключение к RDP сессиям пользователей) ?

[@immickful]

Почему в ролике постоянно указывается в качестве примера "подключение к серверам". А к рабочим станциям подключиться нельзя?

[@RomNero]

Можно подключаться и к рабочим станциям.

[@РоманНикитин-щ4ю]

Привет подскажи пожалуйста как добавить хосты , настроил авторизацию через oidc но там нет возможности добавить хост . если сначала добавляешь хост а потом настраиваешь oidc то ничего не происходит

[@antoniomax3163]

Ну и как я писал, я бы посмотрел как вы бы организовали аспия, растдеск. Да, чуть не забыл. Есть такая фича, как клоудфларе туннель, но с дистрибутивом на винду, зачем это нужно? Какие варианты это может предоставить , кроме рдп? У таилскайл есть опенсорс проект, не расскажите про него?

[@Dmitriy_Zima]

Задумка не плохая, но просто менеджеров подключений и так много. Вот если бы они эту штуку научили подключаться через нат, к тем компьютерам где нет прямого доступа по белому адресу, то ей цены бы не было в тех поддержке

[@qMILSTORM]

Странный комментарий

[@nick_shakel]

Привет! Есть решение как решить проблему со сбоем команды protostar build? Нужно scrab пакеты устанавливать.... Вообще не понимаю в этом...

[@ToxaAdmin]

Спасибо за видео, не рассматривали ли meshcentral в качестве альтернативы?

[@cozma73]

Он разве бесплатный ?

[@haykera2338]

все установилось нормально, никаких ошибок нет, запускаю все докеры, но по ссылке с ip (взял его с 2ip) ничего нет, что не так - не понятно

[@sergeygr]

Всё классно, но как насчет того если у каждого пользователя свой SSH юзер для хоста?

[@RomNero]

Отличный вопрос. В таком случае раздаются только настроенные подключения (без указания пользователя и пароля). Либо делается mapping с использованием LDAP (ad).

[@antoniomax3163]

Скажи , пожалуйста, какие сетевые экраны используешь дома? Например, пфсенсен, опфсенсе или икс? Что-то интересное рассказать можешь/?

[@RomNero]

Очень хорошо зарекомендовал себя opnsense. Мне нравится количество возможных плагинов. Не нравится - функция поиска и меню. Но все перечисленные тобой Firewalls хороши.

[@antoniomax3163]

@@RomNero а вам интересно цикл небольших видео, какой-то стрим провести ? Я бы послушал, как вы бы организовали ту или иную конфигурацию сети у себя в различных вариантах

[@RomNero]

Я задумываюсь, сделать стрим)) нужно спланировать какие темы обсудить👍

[@antoniomax3163]

@@RomNero Ну я бы послушал о том, какие есть решения сетевых экранов в целом. Например, ситуация, ко\гда тариф 100тка домой и всякие тп линьки не интересны. Можно взять микрот, кенетик, можно вообще поднять решения на 775 сокете на нескольких сетевых в тотм же опнсенсе. Западные в основном пф показывают. В общем, решений и вариантов много. Я бы послушал, как организовать домашнюю сеть, если провайдер не выдает статический адрес(я тут про серый и нат). Например, у меня есть впс. Есть домент и клоудфлэр. Да у них есть возможность организовать тоннель, как я сделал до виртуальной машины дебиан(без докера), и имею доступ до pve proxmox через нее. Так же послушал по забикс, ну тем действительно много. Основное, что понравилось -сеть и туннели.

[@antoniomax3163]

@@RomNero так же и нтересно рассмотреть вариант, когда можно купить какой-то мини пк, что на али продают с 1 ланом. На его основе сделать влан , что возможно, вроде как, ну и подключить управляемый комок. Интересно? Да!

[@kovalenkosv40]

Сделай видео про openldap, ldap пожалуйста

[@RomNero]

Будет. Сейчас как раз интересную утилиту тестирую 👍

[@Codeman47Rus]

Вроде тема не маленькая.. не на один видос, а на целый сериал хватит. А что именно ты хочешь тут узнать? Просто любопытствую, сам его когда-то ковырял openldap..

[@fgor09]

А что и где надо поправить, чтобы открывалось просто по порту, то есть без /guacamole/ в строке браузера?

[@procopiismetanin4426]

тебе нужно обратный прокси настроить, примерно здесь /etc/nginx/sites-available/guacamole.conf

[@antoniomax3163]

Ромнеро, ты не мог бы рассказать про aspia и rustdesk? Оба нужно настраивать самостоятельно

[@msReferi]

вместо rustdesk обрати внимания на другое опенсорс решение - Remotely. Пробовал и то и то, остановился на ремотли.

[@SlishkomDavno]

Привет. Спасибо за видео. Очень интересно. А как можно скопировать файл из Windows по RDP на хост? И еще интересно, как запустить сервис в браузере с протоколом ssl?

[@RomNero]

Привет. Спасибо за отзыв. По копирования точно не помню как это реализовано в guacamole. А сертификаты SSL нужно добавлять в сам докей ронтейнер. Вернее, добавлять volume с сертификатами.

[@pridelander]

Отличное видео. Можно ли эту красоту интегрировать в свой проект?

[@RootRealm]

Спасибо огромное, Я завтра же настрою)

[@RomNero]

Всегда пожалуйста. Интересно будет узнать результат 👍

[@RootRealm]

Поставил, шикарная вещь. Жду интенсив по питону

[@kastyel1990]

А можно ли импортировать подключения? И можно ли подключаться по vnc с пробпосом портов. Например на многих серверах доступен только порт 22 для ssh. Кроме того из разных подсетей доступны только несколько серверов. Для решения этой задачи я сейчас написал программу для такого подключения. Сначала подключаюсь по ssh (если нужно, то через прокси) с проброшенным портом для vnc, а после подключаюсь к локалхосту к этому порту. А здесь подобное можно реализовать?

[@1111047]

На сколько мне известно, такой функционал не поддерживается. Однако, можно провернуть такой финт. Любым удобным и доступным способом организовать port forwarding с машины, например, с докером, а после настроить подключение VNC уже к этой машине. Других вариантов не вижу.

[@paganorth]

не заменит терминал .. или тожу mobaxtern

[@Essrom]

Такой вопрос, а если для подключения нужен VPN, то как оно выглядит, если подключение происходит с удаленного компа? Т.е. нужно по ssh подключаться к серверам, которые on-premise. Поэтому используются VPN-ы

[@RomNero]

Есть на канале видео о VPN kzbin.info/www/bejne/qYG7o2d-idmnoKcsi=lo-ddWYt9Ovl_gCW Возможно, поможет разобраться.

[@Essrom]

@@RomNero да, но пользователей несколько и включа VPN я разорву их соединение получается тоже? Или Guacamole подходит для внутренних сервисов внутри одной сети получается

[@1111047]

​@@Essrom Основная идея в том, что вам надо организовать подключение только машины с гвакамолью до сетей с вашими серверами. Остальное в вебе. Прикручиваете перед гвакамолью нжинкс или апач, прикручиваете сертификаты от летсэнкрипт и собственно всё! У вас единая точка входа на ваши вервера. Думайте о гвакамоле как о брокере подключений. То есть, чтобы вам получить доступ к вашим серверам, сначала организуйте доступ гвакамоле до ваших верверов. Мы на работе эту штуку пользуем по полной вместо ВПН. В последнее время на мобильных операторах блокируют впн подключения (думаю, многие в курсе проблемы).

[@Essrom]

Ключи как добавлять у пользователей?

[@SerhiiFedorov-v1l]

Могу ли я использовать skype, diskord, на RDP через Guacamole, будет ли передача моего голоса на удаленный ПК при таком использовании и смогу ли я слышать собеседника?

[@КонстантинГодзиш]

Решил вопрос?) А то у меня такой же

[@AlexandrLinux]

Разрабы даже не поудасужились сделать докер-композ адекватный. Вкорячил это дело кое как, но такое себе ShellNGN pro намного лучше.

[@GoXLd]

А в shellNGN есть логирование сессий пользователей? На бумаге в guac есть, но изначально она не работает в контейнере

[@aleksandrtimashov8145]

Для ssh лучшее на мой взгляд termuis

[@RomNero]

Тоже классная вещь. Позже и по ней сделаю обзор👍

[@Codeman47Rus]

Чет не осилил видос полностью... долговато как-то. Да и софтина чет не впечатлила. Вот сидит человек по ссш через нее, пишет passwd например и усе.. больше на мошинку никто не зайдет. Ладно можно пофиксить конечно, но это только то, что первым в голову пришло... Ограничение доступа в идеале должно реализовываться через централизованную систему авторизации.. т.е. должна быть персональная учетка с привязкой к группам безопасности(как именно это реализовывается в линуксах, хз не делал).. Буфер обмена для рдп ужасен. Единственное, что удобно, это список хостов для подключение с предварительно прописанными креденшелами... но если взять тот-же ссш, то я все время пользовался алиасами и сертами. Видос полностью не осилил, а значит по любому что-то пропустил... Apache же херни не выдаст..

[@RomNero]

Спасибо. Всё более менее верно написал. По авторизации: стоит либо не указывать никаких пользователей и паролей, тогда нужно вводить каждому пользователю отдельно (их можно сохранить в учетке); либо подключить LDAP (ad) и уже через него управлять логинами. И по copy paste - согласен полностью. При работе создаёт неудобства.

[@vanarasugriva7139]

А jump host можно там как-то замутить в подключении по ssh?

[@RomNero]

Да, такая возможность есть👍

[@savemysoul73]

Все работает по твоему видео, но я не могу через обратный прокси (traefik) запустить этот сервис. Почему-то не хочет с ним работать, с другими все нормально

[@RomNero]

Здесь нужно настраивать типа "TCP streem". Должно работать 😉

[@nurlybeksharipkhanmretn-2022]

Дока))

[@Vilayat_Khan]

вобще нне понял как подключаться через кубернетес? это не протокол же? или это тип подключение к кубер кластеру?

[@burundukoff8450]

На сколько быстро в терминале win работает? ощутимо медленнее чем через стандартный RDP ?

[@RomNero]

Работает отлично. Все зависит конечно от скорости сети, от самого сервера, где стоит guacamole и конечно же от количества одновременных пользователей.

[@kinostory]

@@RomNero это называется если админу скучно - оно начинает искать себе гимор на голову устанавливася сервера гуакамоле и прочую хрень. А зачем?

[@sergeyzinovkin7123]

Добрый день, спасибо за проделанную вами работу. К сожалению у меня не получается выполнить подключение ни к одному устройству ни по одному протоколу, ошибка в логах следующая - GuacamoleHTTPTunnelServlet - HTTP tunnel request failed: Non-numeric character in element length. На ресурсе разработчика в возможных причинах указан баг в guacd или libguac Однако для официальных образов эта причина кажется странной. Может быть у вас есть идеи? Или вы могли бы написать версии образов которые использовали в видео?

[@RomNero]

Видел, на форуме подобную проблему... К сожалению, не осталась информация по версиям образов (все были latest)

[@andrewmarkov952]

Очень глючная вещь к сожалению, ьпги у нового дебиана с рдп нужно костылить и также проблемы с секьюрити периодически

[@RomNero]

Что используешь для rdp в Debian? Xrdp?

[@Essrom]

Подскажите требования к серверу, ОЗУ, ЦП, ПЗУ

[@RomNero]

Что указано в официальной документации?

[@bairshirapov3449]

Спасибо, очень интересно. Немецкий акцент?

[@RomNero]

Спвсибо за отзыв. Да, немецкий 😄

[@МурадовМурад-м2ц]

Кеи работаешь если не секрет?

[@RomNero]

Я ответственный за Linux системы, виртуализацию и автоматизацию. Что-то между System engineering и devops

[@sovsemsinijezhik]

А чем не устроил Docker из репозиториев?

[@RomNero]

Версия намного ниже. Так же compose.

[@sergeyradaev3660]

Guacamole для подключения по RDP хорошее решение, но по SSH это боль, так как подключится можно только по логину и паролю, по ключу не работает. Guac не принимает последние форматы ключа SSH BEGIN OPENSSH PRIVATE KEY. Год назад можно было подключится по старому формату ключа BEGIN RSA PRIVATE KEY, но и это сейчас перестало работать. Вывод не доработанное приложение.

[@RomNero]

Спасибо за информацию 👍

[@WHAK]

Крутая штука но нет полноценной поддержки русского языка в ВНС.

[@RomNero]

Лучше всегда использовать английский, так можно избежать неправильного перевода и легче найти решения проблем 👍

[@WHAK]

@RomNero есть условно задачи нет возможности уйти от русского языка. И данный софт не подошёл только из-за того что нельзя печатать русский текст.

[@КостяБуланович]

Минус в том, что новые пользователи заходят на удалёнку с теми же учётными данными, которые мы вбивали в подключение

[@RomNero]

Если не указывать изначально учётные данные, то нужно будет всегда вводить свои данные. Это я забыл упомянуть.

[@АйсенЗахаров-ь4з]

значит кто контролирует сервер Guacamole контролирует все сервера которые к нему подключены

[@яилья-п8о]

Что? Вы вообще суть поняли?

[@kinostory]

Бесполезная тупая херня.. задумка интересная.. но по сути - хрень. Где админ у которого 200 серверов и ему надо роздать их 20-ти админам ?? :)) ппц . Во первых несколько пользователей shh быть не могут. Чем больше всяких ламеров кому нужно консоль - тем больше проблем на сервере. Да и куда нужнее работа в 2-ух отдельно видимых окнах. Тоесть не переключатся постоянно. А когда окна рядом стоят и ты только глазами туда сюда водиш. А это, кроме патти которое отдельное соединение создает, как отдельно окно -пока никто не может. Но за инфу спасибо ))

[@Dmitry-Fisher]

единственный умный человек!причем она дырявая... спасибо но лучьше SSH

[@kuzmich85]

Лучший!