Wohin mit dem Open VPN Access Server

[crazymetzel 11]

Hi

 

Ich habe hier ein Netzwerk welches per Endian Firewall abgeschotet ist.

Dort habe ich das Grüne Netzwerk für intern und das Orangene Netzwerk für Webserver etc. Openvpn Einwahl mache ich bisher direkt auf Endian, der den Tunnel ins grüne bereitstellt.

Jetzt möchte ich diese Aufgabe gerne von Endian auf den OpenVPN Access Server übertragen. Jetzt meine Frage, das Sicherheitsgefühl und Design betreffend:

 

Wo kommt er hin? Direkt in Grün und den einen Port den er zum Client Connecten braucht im Endian zu dem OVPN Server durchrouten oder

In Orange. Wenn in Orange, wie komme ich dann von Orange nach Grün?

Eine weitere Option wäre Den OpenVPN server mit 2 Karten auszustatten, eine Grün eine orange und auf dem OVPN Server Routen anzulegen von orange nach grün für die eingewählten Clients.

 

Letztere wäre meiner Meinung nach aber die Problematischste was die Sicherheit angeht.

 

Wie löst ihr sowas, bzw was gibt es noch für Möglichkeiten??

[XP-Fan 215]

Hallo,

 

grundsätzlich ist es immer besser Berechtigungen möglichst früh zu prüfen,

sprich der VPN wird durch die Firewall terminiert. Würde ich dir so empfehlen.

[r2k 10]

Hi du,

 

ich hatte das letzte Mal Endian vor etwa 3 Jahren in den Fingern von dem her weis ich nicht ganz ob das so klappt.

 

Was steht im Orange?

 

Was passiert wenn du beim Endian eine weitere Netzwerkkarte (sagen wir Gelb) machst und den VPN dort dran hängst. Anschliessend machst du ganz spezifische Policys von Gelb nach Grün.

[crazymetzel 11]

Hi

 

Das Problem ist dass Auth per Ldap funzen soll, also der OVPN Zugang zu meinem DC braucht. Eine Weitere Netzwerkkarte wäre an sich normal kein Problem. Die in VPN aingewählten User sollen auch Zugang zu ihrem Exchange Konto bekommen, sowie auf die freigegebenen Netzlaufwerke.

 

In Orange steht bisher nichts, soll aber demnächst unser internes Wiki rein, dass es auch von aussen erreichbar ist. Wird dann aufnem Suse Rechner laufen, steht aber au nichts geheimes drin ausser Anweisungen wie was zu Bedienen ist und Problemhilfen zu CAD Proggys und so. Wird aber dann per Htaccess abgesichert.