Чудех се къде да отворя тема и накрая не знам защо реших да е в Мрежи-те, но как да е, минавам натам. Споделям следната задачка за играчка, на която прилагам схема само с илюстративен характер, но важното е да се разбере принципа на положението.

С две думи - няколко града, с няколко места, с по няколко компютъра и един сървър:

Допълнителна информация:

- От сървъра и само от него има по някакъв организиран админ достъп до всички машини и рутери, независимо къде се намират. На него се правят и бекъпи за някои машини.
- Сървъра е  Линукс, а допълнително вървят Аpache, MySQL, php, Mail server.
- Споделянето на файлове през сървъра няма и като цяло не се предвижда такава възможност. Т.е. не може Пешо да качи файл на сървъра, за да си го изтегли Вики.
- Единствената услуга с отворен порт през NAT-a e Secure Shell (SSH) + Необходимите портове за услугите на сървъра при Място 1.
- Повечето машини са с Линукс, но има и такива с Уиндоус.
- Рутерите/NAT са с Линукс фърмуер (например като dd-wrt). Имат възможност и за VPN.
- Всички офиси по градовете имат статичен публичен IP адрес.

Целта е:

- С минимално "разбутване" на сегашната ситуация да се разработи или намери начин за отдалечено управление (т.е. извън локалната мрежа) за потребителско включване и изключване  на всяка една от машините в дадената примерна схема.
- Целта не е само трансфер на файлове.
- Решението да е просто за използване от потребителя и да не се налага хората да извършват сложни за тях манипулации, които по принцип са работа на админи.

Условия:

- Задължително условие е, всичко това да е максимално защитено. Имам предвид, че решения от сорта на TeamViewer и подобни, които работя със сървър посредник извън контрола на локалните администратори, директно отпадат.
- Задължително условие е, тази работа да е организирана с някакви права за съответните потребители. Т.е. например да речем да не може Пешо, който е потребител в град 2/комп.1 да включва машини отдалечено дори и да знае примерно MAC адреса на някоя от машините. Или пък Гошо - потребител в град 3/копм.1 да може да включва само определени машини. Разбира се всеки потребител трябва да може отдалечено да включва собствената си машина.
- Задължително условие е, че потребителите, които ще могат да включват/изключват машини, трябва да могат да правят единствено това и не трябва да имат достът до никаква друга услуга като VNC, RDP, SSH, и т.н. освен права за трансфер на файлове м/у машините по SFTP до определена директория на дадената машината.
- Задължително условие е, ако за потребител с първоначални права за управление на машина се наложи да му бъде ограничен достъпа до дадена машина или изобщо да няма такива права, то това да става по възможност веднага и по най-лесния начин. Демек да не се налага цялостно преконфигуриране на схемата.

Хубаво би било:

- Когато някой пусне или спре дадена машина, то нейният титуляр да получава някакво известие за това, да речем по е-мейл или sms, че машината е пусната или спряна.

Бюджет:

- Не е предвиден.

Пускам темата с идеята ако на някого му хрумва как може да се организира подобно нещо, или иска да помисли и да предложи начин, или има готово решение, или просто иска да се включи с мнение ще се радвам да сподели, за което ще съм благодарен. Мисля също, че за всеки с интереси към подобни начинания ще е любопитно решаването на нещо подобно, най-малко, че според мен има поле за размисъл и евентуално породилата се дискусия да е полезна за някого. Също така си мисля, че  би било приложимо за персонални, приятелски или семейни файлови трансфери. Ето един пример, който ми идва на първо четене. Да речем всеки от нас има родини, приятели, познати, които живеят в чужбина. Известно е, че на места с филми, музика и подобно съдържание е малко трудно да се сдобиеш. Иска да даде възможност на някого да си тегли файлове от персоналния му компютър например, но не може да го остави работещ непрекъснато, все пак това не е сървър. Супер би било ако може някой от тези хора когато реши да си включи машината, да си дръпне файла, който му е свален предварително и да я загаси.

Тук е редно да не крия, че аз вече от няколко часа го мисля и имам груба форма на идея как може да се направи всичко и даже бих казал, че вече имам работещ на практика тестов метод, но пак ще се повторя, че ако на някого му хрумва нещо, нека сподели. Моята идея е много грубовата и недодялана и съм сигурен, че има по-елегантни решения именно за това пуснах тема, за да обсъдим. А за финал, може да не прозвучи възпитано, за което предварително се извинявам, но искам да избегна излишните постове. Задачата е включване и изключване на машините. Въпроси ама защо искате да ги изключвате и включвате, не може ли да работят нон-стоп, или да намерите друго решение, или, или... Може, разбира се много неща и има алтернативни подходи и решение на всеки казус и за всяко нещо, които в много случай са подходящи, но на този етап това е задачата и е дълго за обяснение защо точно такова решение се търси.

Редактирано 27 юли 20179 г. от exwol (преглед на промените)

Погледни това:
http://hacking.elboulangero.com/2015/12/11/wake-on-wan.html
https://github.com/sandrodz/wake-on-wan
Ще има проблем с настройките на BIOS за WOL. HP имат инструменти за настройване на BIOS от ОС, но другите дъна/машини без физически достъп май...

Редактирано 27 юли 20179 г. от ExaFlop (преглед на промените)

Благодаря за линковете (метнах им едно око) и за това, че ме подсети, че съм пропуснал да спомена. Дъната и картите на машините поддържат WOL и повечето са тествани вече. Също така началната конфигурация не е задължително да се направи от разстояние. Може ако се наложи да се ходи на място. Инак относно линковете, WOL е ясно как да се конфигурира за различните ОС, това е лесната част. Друго, е че не трябва да пропускаме условието за изключване на порт пренасочването. Идеята е да не може всеки потребител да пали отдалечено дори да знае MAC, IP, Port

Жалко, че не се получи никаква смислена дискусия по темата и никой дори не се престраши да помисли в/у  казусчето или поне да опита. Смятах, че може би ще е останал все пак някой, на когото би му било интересно и за това пуснах темата с тази идея. Явно обаче форума тотално се превърнал от място за хора с интереси в IT, в място подобно на слабоумна социална мрежа с празни приказки и безсмислени политически пропаганди. Предвид това не знам дали изобщо си заслужа поне да споделя как аз подходи в решаването на задачата.

...или по-скоро никой не е толкова навътре в нещата... Всъщност то хора има, ама явно не са видели темата.

Лично аз я прочетох, но за съжаление не съм толкова компетентен откъм мрежи. Съжалявам, че не мога да помогна.

А и сезонът е такъв...

преди 27 минути, Stoyannnov написа:

...или по-скоро никой не е толкова навътре в нещата... Всъщност то хора има, ама явно не са видели темата.

Лично аз я прочетох, но за съжаление не съм толкова компетентен откъм мрежи. Съжалявам, че не мога да помогна.

Тя темата седи отворена от миналия четвъртък. Едва ли аз съм най-компетентния тук, пък и по принцип не познавам хора компетентни във всичко. Идеята да пусна темата бе просто да си поговорим. Едни са компетентни в една област, други в друга и така. Мислех си, че решаването на подобна закачка би обхванала доста неща и все по нещо ще се научи. Аз решение съм намерил колкото и да е недодялано, просто си помислих, че може да има дискусия и да видим как може да се подходи по принцип. Инак няма за какво да съжаляваш, че не си помогнал. Ти помагаш достатъчно в твоята си област.

 

преди 17 минути, ExaFlop написа:

А и сезонът е такъв...

Е да прав си отпускарско е вярно, ама то който си го влече си сяда пред компа по принцип. Въпреки, че и аз докато бях почивка 2 седмици не съм пускал никаква машина.

Ще видим, ако в крайна сметка никой нищо не предложи, ще покажа аз как го направих и така.

Редактирано 31 юли 20179 г. от exwol (преглед на промените)

Виж как сам си отговаряш  

на 31.07.2017 г. в 22:28, ExaFlop написа:

Виж как сам си отговаряш  

Да, явно и по темата сам ще си отговарям  Инак мерси поне, че писахте с  Stoyannnov, да не седи на началния чаршаф

Поради различието в казуса - не се наемам да кажа дали би работил при тебе такъв вариант, но как е направено при мен (1 място, един статичен адрес, много машини, само windows среда без рутера и някои от сървърите). При мене казуса е - машините да могат да бъдат палени и обслужвани отдалечено от админа (аз и още един) посредством локален ремоте десктоп в извънработно време след получаване през деня на сигнал за проблем, който не е фатален и поправянето му би ощетило фирмата от вида потребителя не си е свършил работата, защото админа му попречил. Това не е точно твоя казус, но как е реализирано при нас това: VPN от домашните IP адреси (статични) на двамата админи до машина седяща запалена и зад ups в локалната мрежа. Оттам - ремоте десктоп през локалната мрежа до проблемния компютър. Ако е загасен - палим го през мрежата. Ами това е накратко... Дали ще ти е полезно - ти си прецени...

Все пак ми е чудна идеята как ще убедиш ръководството, че потребителя Пешо ще трябва да може да пуска отдалечено компютъра на Мария и ще може да и омаже работните файлов хубаво примерно чрез криптовирус от собствения си домашен компютър, до който има достъп и 10 годишното му дете с пълни права???? Аз не бих разрешил такъв експеримент, който противоречи на всякакво правило за сигурност...

Редактирано 4 август 20179 г. от krassleto (преглед на промените)

на 4.08.2017 г. в 13:43, krassleto написа:

Поради различието в казуса - не се наемам да кажа дали би работил при тебе такъв вариант, но как е направено при мен (1 място, един статичен адрес, много машини, само windows среда без рутера и някои от сървърите). При мене казуса е - машините да могат да бъдат палени и обслужвани отдалечено от админа (аз и още един) посредством локален ремоте десктоп в извънработно време след получаване през деня на сигнал за проблем, който не е фатален и поправянето му би ощетило фирмата от вида потребителя не си е свършил работата, защото админа му попречил. Това не е точно твоя казус, но как е реализирано при нас това: VPN от домашните IP адреси (статични) на двамата админи до машина седяща запалена и зад ups в локалната мрежа. Оттам - ремоте десктоп през локалната мрежа до проблемния компютър. Ако е загасен - палим го през мрежата. Ами това е накратко... Дали ще ти е полезно - ти си прецени...

Все пак ми е чудна идеята как ще убедиш ръководството, че потребителя Пешо ще трябва да може да пуска отдалечено компютъра на Мария и ще може да и омаже работните файлов хубаво примерно чрез криптовирус от собствения си домашен компютър, до който има достъп и 10 годишното му дете с пълни права???? Аз не бих разрешил такъв експеримент, който противоречи на всякакво правило за сигурност...

Ей супер, първо благодаря, че се включваш в темата и че споделяш! Инак да наистина казуса при мен е доста по-различен. В твоя случай тази реализация е стандартна и общо взето се прави  лесно със стандартните инструменти. Клиент (Админа) -> VPN Server -> Локална мрежа -> RDP -> Машина, но  разлика тук е в това, че вие администрирате машините и имате RDP достъп , а при мен  целта е само отдалечено включване и изключване на машинa от потребители с ограничени права, като задължително се спазят поставените условия още в началния пост. Едното от тях е именно потребителите, които ще могат да включват/изключват машини, трябва да могат да правят единствено това и не трябва да имат достът до никаква друга услуга като VPN, VNC, RDP, SSH, и т.н. освен след включването да имат права за трансфер на файлове м/у машините по SFTP.

Що се отнася до въпроса за сигурността, съгласен съм напълно, че резонно го повдигаш и има за какво наистина. Но все пак търся общо рестрикнтато решение и съм помисли и за нея, и смятам, че за момента е на прилично ниво. Има още няколко неща, които мога да пипна, но за сега базово мисля е добре. Това с крипто вирусите изобщо не ме притеснява на този етап. Реализацията е именно, че Пешо в град3 може да пуска на Мария машината в град1, логва се и си взима какъвто файл/проект му трябва и после си работи в/у него с последните нанесени промени от Мария , а ако на Мария след това и трябва или иска си го изтегля при нея с нанесените вече промени от Пешо. После пък Пешо пак взима файла за доработка, обаче Пешо е работил последно по файла, ама отива на море, тогава Гошо в град 2 се налага да го замести и той да работи по проекта, няма проблем - пуска машината на Пешо, взима файла и т.н. Тази колаборация е приложима когато целта е да няма сървър посредник, а се налага няколко човека от няколко различни градове и места да работя по един проект/файл. Файловете примерно са с размер до 2-3-4-5 ГБ и по мейл е трудно да се прикачат, а за качване в облак извън контрола на локалните админи примерно изобщо не може да става дума. Това е принципна схема. За да се върна на сигурността почти съм сигурен, че нямам как  да заразиш или скапеш файловете на отдалечената машина. Ако искаш имам един тестов акаунт, ще ти дам достъп до схемата без никакви проблеми и можеш да си правиш опити да се гавриш с отдалечените файлове както решиш. Пробвай се да ги криптираш или намажеш или каквото решиш. Даже ако искаш ми дай някой .zip архив с парола или файл с някаква SHA сума за да го кача на машината и ти си се гаври, после го сравни, за да не кажеш, че съм ги подменил ако си успял да ги намажеш.

И така, още веднъж да ти благодаря, че сподели мнение. Именно за това пуснах темата, за да си поговорим кой как би решил подобна закачка и как би походил.

Редактирано 5 август 20179 г. от exwol (преглед на промените)

А защо някъде централизирано няма само един NAS за целите на файлообмена и ще отпадне нуждата от палене на отдалечените машини. Всеки ще си синхронизира работата  NAS-a.
Иначе казано фирмен сторидж тип облак.

Редактирано 5 август 20179 г. от ExaFlop (преглед на промените)

преди 13 минути, ExaFlop написа:

А защо някъде централизирано няма само един NAS за целите на файлообмена и ще отпадне нуждата от палене на отдалечените машини. Всеки ще си синхронизира работата  NAS-a.
Иначе казано фирмен сторидж тип облак.

Грешката е моя може би, че направих такава схема и описах нещата по този начин и въпреки, че казах, че е само с илюстративен характер, но като се замисля е подвеждащо и говори за фирмена работа, но като цяло не е, а е принципно решение. Въпреки това директния отговор на въпроса ми е за NAS e

1. Нужда от допълнителна инвестиция
2. Поддръжка и разходи за този облак
3. Файловите/проекти са предимно с растерни изображения (GIMP, Photoshop), 3D, Различни видео формати, PDF, CAD, Developer проекти и тук таме документи. Поне аз не се сещам за NAS, който да речем дава възможност в WEB да може директно да се редактират тези най-различни формати или ако има такова нещо, то предполагам няма да е никак евтино.
4. Сигурност. Ако е Обикновен NAS до който всеки един от работещите има права да качва вече обработените неща, то в един момент предполагам ще стане мазало. 

Въпреки това ако има нещо подобно може да споделиш, за да го погледна.

https://www.myqnapcloud.com/

https://www.myqnapcloud.com/

https://www.qnap.com/en/product
TS  серията

10x за линковете. Наистина полезно, аз м/у другото не бях срещал тия продукти, но в крайна сметка в тези сфера има голям избор. На пръв поглед изглеждат стандартно реализирани като многото други подобни, но все пак не съм разглеждал в детайли, обаче ще позачета може да има нещо полезно като опции. Друга обаче ми е мисълта, защото се отклонихме от основната тема и наблегнахме на файловия трансфер, а както писах още в началния пост това не приоритет в случая. Споделянето на файлове е просто допълнителна опция в моя казус, основно се търси решение за включване и изключване на машините, мониторинг на работата с тях. Достъп от вън до конкретна машина и нейния софтуер от определени лица, (в случая собственика на машина), както и още други. Идеята с две думи е основно достъп до машина, а не файл трансфер и именно за това пуснах тема с подобно заглавие, ако беше само за файл трансфер да съм го решил с един от известните облаци и да се е свършило.

Къса ми се сърцето като гледам темата, а ме мързи, ама много ме мързи да ти опиша в детайли до какво решение съм стигнал за себе си (подобен проблем, но и да мога да инсталирам/махам софтуер отдалечено,  да променям настройки етц.)

Накратко, ползвам софтуер за синхронизация на файлове между машините (вж бившия BitTorrentSync или Syncthing). По машините се разпространяват файлове, които са всъщност инструкции. Всяка машина си чете новопристигнал файл и ако намери себе си в инструкциите, изпълнява командите които са написани под името и. Това четене и изпълнение се върши от скрипт под акаунт който има права да инсталира. При завършване н акомандите се пишат логове, тия логове също се синхронизират и се получават при "сървърната" машина. От там вече можеш да имаш скрипт който ти праща мейл за изпълнена задача и каквото въобще ти хрумне.

преди 22 часа, Пaчo написа:

Къса ми се сърцето като гледам темата, а ме мързи, ама много ме мързи да ти опиша в детайли до какво решение съм стигнал за себе си (подобен проблем, но и да мога да инсталирам/махам софтуер отдалечено,  да променям настройки етц.)

Накратко, ползвам софтуер за синхронизация на файлове между машините (вж бившия BitTorrentSync или Syncthing). По машините се разпространяват файлове, които са всъщност инструкции. Всяка машина си чете новопристигнал файл и ако намери себе си в инструкциите, изпълнява командите които са написани под името и. Това четене и изпълнение се върши от скрипт под акаунт който има права да инсталира. При завършване н акомандите се пишат логове, тия логове също се синхронизират и се получават при "сървърната" машина. От там вече можеш да имаш скрипт който ти праща мейл за изпълнена задача и каквото въобще ти хрумне.

Разбирам, но аз не търся детайлно описание от типа 1. 2. 3 и т.н., а по-скоро начина/метода и технологията на решаването на задачката. Инак пак да напомня, че става дума само за достъп на потребител до конкретно действие - включване и изключване, без да има каквито и да е други права, особено за инсталиране или администрация на машината. Такива права може да има само нейния собственик, въпреки, че и това може да се ограничи. Защото в този ред на мисли администрацията вече е съвсем друго нещо и там има доста познати практики и възможности за подобен отдалечен достъп и контрол. Демек администратора на машината може да прави какво пожелае на нея независимо къде се намира.

Първо можеш да имаш RDP и VPN достъп и за ограничени потребители. В твоя случай проблема е от организационно-административно ниво във фирмата, за която говориш, а не технически - каквото и да направиш ще се опитат да му разширят функциите в последствие с типа въпроси и предложения (а не може ли и да ..... ти си допиши измислиците на потребителите). В твоя случай облак с централизирано разположение и бекъп и шеринг с правила на файловете/папките от него. И разбира се стриктен VPN отвън до облака и кой и какво достъпва.... Това е по-лесното и по-доброто решение в този случай....

Примерна схема на облака по директории:

\\root - пълен достъп на админите отговарящи за облака

\\root\potrebitel - пълен достъп на конкретния потребител до тази само директория и само реад достъп на група потребители използващи файловете му. Така си гарантираш, че конкретен потребител няма да повреди файловете на друг потребител. Ако му трябват и иска да си ги променя - изтегля си ги при себе си и си ги редактира.

Редактирано 7 август 20179 г. от krassleto (преглед на промените)

преди 10 часа, krassleto написа:

Първо можеш да имаш RDP и VPN достъп и за ограничени потребители. В твоя случай проблема е от организационно-административно ниво във фирмата, за която говориш, а не технически - каквото и да направиш ще се опитат да му разширят функциите в последствие с типа въпроси и предложения (а не може ли и да ..... ти си допиши измислиците на потребителите). В твоя случай облак с централизирано разположение и бекъп и шеринг с правила на файловете/папките от него. И разбира се стриктен VPN отвън до облака и кой и какво достъпва.... Това е по-лесното и по-доброто решение в този случай....

Примерна схема на облака по директории:

\\root - пълен достъп на админите отговарящи за облака

\\root\potrebitel - пълен достъп на конкретния потребител до тази само директория и само реад достъп на група потребители използващи файловете му. Така си гарантираш, че конкретен потребител няма да повреди файловете на друг потребител. Ако му трябват и иска да си ги променя - изтегля си ги при себе си и си ги редактира.

Добре тук има резон да се помисли в/у предлаганото решение и да се развие по условията на задачката. Нека за момента да оставим техническото изпълнение на файл трансфера на страна. За него е ясно и лесно да се организира с съответните права. Именно това, което си предложил за права само за четене е стандарта методика за ограничение и  точно това ми беше идеята като ти предложих да ти дам достът до директория с файлове, които принципно не можеш да манипулираш отдалечено. Минавам на съществената част, контрол за включване и изключване на машина. Да предположим, че контрола по включване и изключване може да се осъществи чрез RDP. Съгласен, съм че има начин и може да се организира рестрикната сесия, но имам няколко въпроса около това понеже никога не съм правил подобно нещо. Знам, че има добра документация за протокола, но все пак:

1. Може ли да се даде право на достъп само за включване и изключване от конкретен потребител без да има възможност да прави нищо друго по машината. Т.е. имам следния само пример. Потребител му трябва файл от конкретна машина. Може ли предварително да провери дали тази машина работи и има ли  вече логнати потребители на нея? Вариант първи: Машината е изключена - супер включва си я взима нужния му файл и трябва да я изключи. Възможно ли е да се логне по RDP и само да я изключи без да може да стартира някаква програма, например браузър. Вариант втори : Машината работи  и на нея вече има работещ потребител. Може ли да се вдигне RDP мултисесия и отдалечения потребител да се логне без този, който локално работи на машината да разбере,че някой се включва, а не да му се прекъсн сесията?  

2. Възможно ли е отдалечения потребител, който се е включил по RDP да не може да изключва машината когато не нея има друг потребител, който работи в момента, независимо от къде е логнат, т.е. дали друг отдалечен потребител или локално седнал пред нея?

3. Въпроса за сигурността на сесията няма да го повдигам, защото предполагам, че over SSL ще е абсолютно достатъчно като надеждност

Относно предложението за VPN също имам няколко въпроса.

1. Ако идеята ти е той да се ползва за включване на машини, може ли да се постигне следния пример. Пешо в град1 има право да пуска машината на Гери в град2/комп1, но да няма право да пуска машината на Петя град2/копм2. Тук резонно ми излиза въпроса, ако Пешо знае MAC адреса на машината на Петя, какво му пречи да я пусне и може ли това да се предотврати?

п.п. забравих да спомена, че проблема от организационно-административно ниво както си се изразил няма. Търси се метод/технология/и за техническо постигане на описаната задача в темата. И пак да вметна, че идеята ми за дискусия е да видим колко и какви методи/технологии може да се приложат за постигането на желания резултата. Съгласен съм, че всеки администратор може да измисли решение на дадена задачка по своя си начин и за това ми е интересно как вие бихте походили.

Редактирано 7 август 20179 г. от exwol (преглед на промените)

По принцип RDP се използва, ако ще правиш нещо по съответния компютър от административна гледна точка (като администратор). В твоя случай ти трябва пуснат VPN сървър на всяко едно място или на едно централно място, но с възможност да се достъпват като локални мрежи останалите ти локации (градове). Кой какво може да прави (вижда в мрежата ) се определя още след логването в този сървър. След логването на потребителя - той се опитва да достъпи искания файл на съответната машина през примерно SFTP. Ако не се получи - тогава машината е угасена и трябва да я запали... Ползва се магическия пакет и се пали. Пак пробва да достъпи машината - тегли си файла и бие шута на VPN конекцията (в 90% от случаите ще е така). Трябва да направиш скрипт, който при затварянето на VPN конекцията от потребителя да спира машината, която е пуснал. Но как да разбереш коя е тя в твоя случай??? Няма как. А дали има потребител зад нея? - Пак не знаеш.

Иначе VPN е най-сигурно с цифрови сертификати за двете страни... В твоя случай RDP май няма да ти трябва, освен ти да гасиш машините ръчно с команда...

Сега по RDP секцията от въпроси:

1. Може ли да се осъществи рестриктивна (ограничена като права) RDP връзка? - ДА, МОЖЕ. Зависи с какъв потребител ще се логваш на съответния компютър и той какви права има върху него.

2. Може ли да се разбере дали има логнат потребител в момента? - ДА, МОЖЕ. Даже преди да осъществиш RDP сесията те предупреждава, че има логнат потребител на съответния компютър и кой е той. Ако се логнеш отдалечено - ти прекратяваш локалната сесия на потребителя и той може да загуби работата върху която работи в момента. Затова не се препоръчва да се дава и използва RDP достъп на обикновени потребители без познания какво и как се прави. Но ти и нямаш нужда от това като гледам какво искаш да правиш...

Лошото в твоя случай е, че ще трябва да пренастройваш всичко на локално ниво на всеки компютър - понеже не си споменал домейн контролер в схемата... Което е доста трудоемко, ако има голямо движение на потребители и права по офисите...

Дано да съм бил полезен.

Редактирано 8 август 20179 г. от krassleto (преглед на промените)

на 8.08.2017 г. в 8:45, krassleto написа:

По принцип RDP се използва, ако ще правиш нещо по съответния компютър от административна гледна точка (като администратор)....

Т.е. за задачката в темата може би няма да е решение, основавайки се и на последващите ти пояснения около RDP. Относно полезността - всеки коментар съдържащ информация за практическо прилагане на дадена услуга е полезен, така че полезно да   Темата е да обсъдим възможностите. За VPN-на и организиране на комплекс за изпълнение на задачата мислех като вариант, но много трудно биха се дефинирали правилата за различни потребители, които правила да отговорят пряко на поставените условия и като цяло ми се стори трудно приложимо. Ако някой се сеща как може да се приложи VPN технологията бих се радвал да го сподели.

Инак понеже казах още в началния пост на темата, че аз го реализирах на практика и вече е работеща схема, която отговаря на поставените условия, мисля е редно да го споделя поне като процес, който може да се обсъди. В този ред какво мислите цялото това нещо да е уеб базирано? Ето според мен какви са му предимствата ако е уеб базирано,

1. Достъпно е от всякъде
2. Дава възможност за управление и контрол на потребителите и кой потребител коя машина може да включва и изключва
3. Не предоставя достъп до друга услуга като VNC, RDP, SSH и т.н.

което на практика покрива задължителните условия. Само за демонстрация заснех едно не до там добро видео, но целта беше да се придобие обща представа на какво решение съм се спрял. Видеото споделям по-долу, а самото то показва как се изпълняват условията на задачката. Примера е как от Град1/Място1 може да се включва/изключва машина в Град2/Място1 или машина в Град1/Място2. Показва кой потребител коя машина може да управлява. Също така се вижда, как може да се получи предварителна информация за моментния статус на дадена машина т.е. дали е включена или изключена и дали има логнати потребители на нея. Вижда се и, че всеки собственик на дадена машина може да получава мейл с информация за действието (дали е включена или изключена), дата и час кога е станало това, от кой потребител, с какъв IP адрес т.е. от къде се е случило - (тук нарочно не скрих IP-тата но това не ме притеснява). Това, което пропуснах да покажа, е че има още едно приложено действие, а именно ако на дадена машина има повече от един логнат потребител, то тя не може да бъде изключена отдалечено. Т.е. за да може да се изключи, всички потребителя трябва да са излезли от сесиите си независимо от къде са се логнали (т.е. дали са физически пред нея или отдалечено). Локалния потребител или с други думи този, който седи пред машината, ако си свърши работа и тръгне да гаси може да го направи, но преди това получава информация на дисплея си ако има някой включил се отдалечено.