Consiglio configurazione Raspberry + PPPoE TIM + VPN

stonex I miei amici per ora non hanno nulla. Mi stai suggerendo di creare un utente "admin" e uno "normale" condiviso?
Scusa le inesattezze, non sono espertissimo

era giusto per capire se ti convenisse mettere qualche firewall sul raspberry che blocca traffico verso la tua lan. Se non necessitano di essere sudoers linux per portare avanti il progetto, valuta di installarci qualche firewall di facile gestione

So che forse non è l'opzione più "delicata" del mondo, ma se il router permette di configurare DDNS non puoi semplicemente fare un port forwarding del Raspi? Così l'unica cosa a cui possono accedere dall'esterno risulta solo quello, e non "sguazzano" nella LAN se tutti gli altri dispositivi non sono esposti

stonex Devo tutelare il raspi in qualche modo (esempio firewall o altro da installare?) oltre a scegliere ovvimanente user e psw un minimo complessi?

Su firewall non ti saprei dire, ti direi anche che non è troppo importante secondo me.
Sul DDNS gratuito io avevo provato Duck DNS.

stonex
Se apri una porta (ad esempio la 22) del Raspberry, chi apre una sessione ssh da lì può poi tranquillamente raggiungere gli altri apparati della tua LAN a meno che tu non lo segreghi in dmz.

wtf E questo è anche vero effettivamente

@stonex

Faccio un passo indietro: quali servizi vuoi rendere accessibili all'esterno?

stonex
Tieni sempre presente che qualsiasi cosa esponi su Internet in breve sarà esposto a continui tentativi d'accesso non autorizzati, quindi valuta bene cosa fare.

Per farti un esempio pratico, esponendo un server linux con una porta per SSH (non la 22 standard), nel giro di poco tempo avevo centinaia di tentativi di brute force che ho dovuto arginare usando fail2ban e regole sul firewall per bloccare intere classi IP da Russia, Cina e decine di altre location.

stonex

Tailscale sul RPI e condividi la Tailnet.
0 sbatti

enrigi

Non per forza. Dipende da come imposti le regole nella Tailnet.

Lorenzo1635 Giusto.

stonex Tutto corretto?

Si.

stonex Vantaggi di Tailscale rispetto a Wireguard?

Si occupano della Key distribution e del NAT traversal.

Ma questo setup deve andare in produzione o solo roba di test?

stonex Quindi il port forwarding lo accantoniamo definitivamente?

Con una soluzione come Tailscale, a cui non avevo effettivamente pensato, direi di si. Il port forwarding secondo me è una “soluzione di fortuna”, ci sono metodi più eleganti

scusate se mi intrometto adesso, ma qual é l'obiettivo esatto che si vuole raggiungere?
Sono state tirate in ballo diverse soluzioni, ognuna con il suo perché ed ognuna adatta ad una situazione diversa.
Ma senza un chiaro obiettivo vien difficile suggerire qualcosa di specifico.
Tailscale é una VPN alla fine, quindi a meno di specifica configurazione, puó portare o meno gli stessi problemi di un'altra VPN.

Se peró chiarisci con esattezza cosa vuoi fare, ti si possono dare consigli piú chiari.

Hai detto "i miei soci devono accedere al RPi": che intendi per accedere? loggarsi sul RPi via SSH? collegarsi via VNC al desktop? collegarsi ad un servizio specifico che gira sull'RPi?

Perché se un utente effettua un vero e proprio login sull'RPi, allora avrá accesso alle sue risorse (e per esempio potrebbe collegarsi ad altri host nella sua/tua LAN). In questo caso devi per forza isolare l'RPi ( ci sono vari modi).

Se invece si collegano solo ad un servizio specifico, senza un vero login sul sistema, isolare l'RPi potrebbe non essere necessario ed allora basta port forwarding o VPN. (Preferisco la VPN per evitare di esporre su Internet un servizio nudo e crudo).

Questo solo per dire che, almeno a me, lo scopo é ancora un po' fumoso

stonex non ho ancora capito che servizio useresti per dare accesso all'interfaccia grafia del RPi.
Ma quel che dici mi pare di capire che i tuoi amici si debbano loggare in qualche modo sul RPi.
A questo punto serve una separazione a livello di rete, perché chi si loggerá sull'RPi vedrá tutte le interfacce di rete e potrá comunque da lí eseguire comandi vari.

Come han suggerito, potrebbe essere opportuno mettere l'RPi e l'altro dispositivo in una LAN a se stante. poi all'RPi puoi accederci via VPN.