2008 - VPN-Sicherheit

[ulliGT 10]

hi ihr!

 

ich nochmal mit einer weiteren -allerdings allgemeineren- frage zum windows small business server 2008: der kunden, für den ich diesen server gerade neu aufgesetzt habe, möchte gerne eines seiner CRM-tools von extern nutzen und braucht dazu VPN-access zu seinem netzwerk. und natürlich möchte er kein geld für eine richtige appliance ausgeben und deshalb auf die VPN-fähigkeiten des SBS-servers zurückgreifen.

 

dagegen spricht natürlich, dass es nicht gerade eine elegante lösung ist, seinen server, der der absolute mittelpunkt des unternehmensnetzes ist, mit port 1723 TCP ins internet zu stellen. zudem bereitet mir etwas kopfzerbrechen, dass PPTP allgemein als nicht wirklich sicher verschrieen war (oder sogar ist?).

 

um ihn zufrieden zu stellen, hatte ich jetzt die idee, nicht echte benutzer für das VPN freizugeben, sondern dummy-VPN-nutzer mit irrwitzig langen/komplexen passwörtern (oder besser zertifikaten). bei meiner sorge um den im internet direkt erreichbaren server hilft das aber nicht.

 

kann mir jemand sagen, ob das eine ganz schlechte idee ist und ich das lieber gleich vergessen soll?

 

danke!

ulli()

[IThome 10]

Naja, wenn er keine Appliance kaufen will, was bleibt Dir da noch ? Um es möglichst sicher zu machen, spendiere dem Server eine zweite NIC und konfiguriere NAT/Firewall und VPN. Benutze L2TP/IPSec mit Zertifikaten, welches die sicherste VPN-Variante mit dem Windows-Server ist.

PPTP ist nicht unsicher, wenn man die Kennwörter entsprechend lang und komplex macht. Mit PPTP kann man auch Zertifikate benutzen, Benutzerzertifikate ...

[Userle 145]

Du solltest noch einmal drastisch auf die Gefahren hinweisen. Möglicherweise hilft das ja doch noch zur Einsicht und zur Investition in eine Appliance.

 

BTW, wie wird der I-Net Zugang eigentlich zur Zeit dort realisiert ? Und wie ist der gesichert ?

 

Greetings Ralf

[solinske 10]

Wenn es VPN direkt sein soll, dann nur L2TP IPSec.

Aber dann nicht am Server sondern am Router, vielleicht kannst du einen 2. Router einsetzen, der als reines VPN Gateway funktioniert, wenn er keien Appliance kaufen möchte.