Terminalserver absichern

[Janguru 1]

Hallo,

 

unsere User können von zu Hause aus über VPN in unserem Firmennetzwerk sich einloggen.

Den Zugriff auf unserem Terminalserver machen die über RDP (aber auch erst wenn VPN da ist).

Es sind meine ersten Erfahrungen mit einem Terminalserver und da frage ich mich, was ich noch alles

zu beachten habe, damit der auch sicher und stabil läuft. Ich habe gehört -aber noch nicht getestet-

das man nicht auf einem Terminalserver herumsurfen sollte, da sonst der RAM vom Browser viel besetzt

wird. Keine Ahnung was ich noch machen müsste. Was sind denn eure Erfahrungen? Was könnte

ihr mir noch empfehlen. Zur Zeit können max. nur 10 User gleichzeitig drauf. Der Terminalserver

läuft in einer virtuellen Maschine und dem haben ich 10 CPU Cores gegeben und 32GB RAM.

Keine Ahnung, ob das zuviel ist. Es sind auch nur ein paar Programme drauf wie Office und

ein paar spezielle Anwendungen. Bis jetzt läuft er ohne Probleme.

Edited January 9 by Janguru

[mwiederkehr 97]

10 Cores und 32 GB RAM für 10 Benutzer tönt vernünftig. Wenn die Leute nur mit Office und einer schlanken Branchenanwendung arbeiten, rechne ich mit 0.5 Cores und 2 GB RAM pro Benutzer. Es ist aber leider so, dass Browser die letzten Jahre nicht sparen beim RAM, das sie sich genehmigen. Ein paar Tabs offen und man kommt auf über 1 GB pro Benutzer, nur für den Browser... Es kann deshalb nicht schaden, die Benutzer etwas zu sensibilisieren. Der Browser muss nicht gleich fünf Tabs mit allen Zeitungen aufmachen, die man dann doch nicht liest und auch Internetradio lässt man lieber lokal laufen. Das Surfen auf normalen geschäftlichen Seiten ist jedoch kein Problem.

[testperson 575]

Hi,

 

ohne die Anwendungen zu kennen halte ich das für durchaus oversized. Generell würde ich im Bereich Terminalserver immer zu mehreren kleinen VMs tendieren wie zu so einer "Monster VM". Das "Dilemma" mit den Browsern und dem RAM (und Weiterem) lässt sich beim Edge (oder auch beim Chrome / beim Firefox AFAIK auch) per GPO in den Griff kriegen: https://gpsearch.azurewebsites.net/#15112

 

Anstatt die User maximal einzuschränken bzw. alles was dich stört auszublenden / zu verbieten würde ich "nur" auf App Locker setzen. Vorgeben würde ich auch nur das wirklich Benötigte.

 

Gruß

Jan

[cj_berlin 39]

vor 3 Stunden schrieb testperson:

Anstatt die User maximal einzuschränken bzw. alles was dich stört auszublenden / zu verbieten würde ich "nur" auf App Locker setzen. Vorgeben würde ich auch nur das wirklich Benötigte.

So isses. AppLocker oder, besser noch, WDAC und genau wissen, wie man den Server im Zweifel schnell neu macht.

 

Die Diskussion "Monster-VM" vs. "viele kleine Monsterchen-VMs" würde ich bei 10 Usern, ehrlich gesagt, nicht führen. Denn auch in einer Umgebung mit 1000 Usern würde eine "kleine Monsterchen-VM" vermutlich für mehr als 10 User auisgelegt werden.