Sicherheit SBS 2003 und SharePoint-Seiten

[MJSmith 10]

Hallo Zusammen,

 

unter "sicherheit sbs 2003" und ähnlichen Suchbegriffen werde ich leider nicht ausreichend fündig, deshalb hier kurz eine Frage.

 

Wie sicher ist der SBS 2003 hinter einer gut gewarteten Sonicwall Firewall (Offene Ports nur 80, SSL 444/ 443, Terminal Services 3386(oder so), Exchange Port) mit seiner 128bit-Verschlüsselung?

 

Mir geht es vorwiegend um die SharePoint-Seiten und Dokumente, die dort gelagert sind?

 

Möchte es als Projektplattform, von außen zugänglich nutzen...

 

Danke

 

Andreas

[fbeucke 10]

Also direkten Zugriff auf den Server über das Internet würde ich Dir bei einem Server, der einen Exchange Server, Terminal Services ... nicht raten. Wars***einlich ist dies noch dein Domain Controller ?!

 

Es ist sicherlich "irgendwie" sicher, jedoch wäre mir das Risiko zu groß, da bei einem erfolgreichen Hackangriff der Hacker direkt auf Deiner Hauptmaschine wäre. Wenn du einen Server dazwischen hättest, sähe es meines Erachtens nach nicht so problematisch aus.

 

Also mir als Admin wäre das zu gefährlich, da das komplette Know-How auf dem Server liegt.

 

Gruß

[MJSmith 10]

Hallo fbeucke,

 

vielen Dank für Deine Info...

 

Du hast Recht..., so wie er dasteht ist er auch zugänglich. Als Domaincontroller, samt Exchange, etc. Welchen Server sollte ich dazwischenlegen und wie sieht das dann mit den SharePoint-Seiten aus. Diese sollen ja nach wie vor von außen zugänglich sein...

[GuentherH 61]

@fbeucke

 

Gegenfrage - Wie würdest du auf einem Sharepoint Server aus dem Internet zugreifen ?

 

LG Günther

[MJSmith 10]

--- OK, wer lesen kann ist gefährlich..., dachte die Frage ging an mich ;-) ---

 

Ich nutze aber keinen SharePoint-Server sondern nur die Services... und die hängen ja zwangsläufig auf dem SBS2003 fest...! Also, wenn es da einen Tipp für ein sicheres Konzept gäbe, wäre ich glücklich mit...

[Nonaminus 10]

Nimm einen SBS2003 Premuim und benutze zusätzlich zu deiner Installation den ISA Server.

 

Das ist sicherlich nicht optimal, aber so ist es konzipiert und auch ganz OK.

Noch besser ist eine externe Firewall oder ein Router mit Firewall dazwischen.

[MJSmith 10]

Ich nutze bereits den SBS2003 Premium. Muss ich den ISA-Server separat auf einer Maschine installieren oder kann der mit drauf? Ziel ist es natürlich, an Hardware zu sparen, aber an der falschen Ecke sollte man dies auch nicht tun....

 

Danke & Ciao

 

Andreas

[fbeucke 10]

@ Günther

 

Würde einen Seperaten Server nehmen. Der kann ja in der Domäne sein, nur würde ich da nicht die ganzen Userdaten, Postfächer, etc drauf machen. Auf dem seperaten Server kann ein IIS mit SharePoint Services laufen.

 

z.B. bei Exchange Server wird empfohlen, einen 2. Server laufen zu lassen, also einen Frontend Server. Das Problem ist doch dabei wiederum, dass man Lizenzen brauch.

 

Vielleicht bin ich da ein bischen zu empfindlich, jedoch wie schon gesagt sind mir die Daten einfach zu sensibel.

 

 

Wenn du eine andere Methode hättest, bin ich natürlich ganz ohr! Habe nämlich das Problem, dass die Leute auf den Exchange Server via OutlookWebAccess zugreifen wollen.

Aber das ist mir zu gefährlich. Momentan habe ich noch die variante über L2TP sich auf meinem GENTOO LINUX Server einzuwählen, der allein für Internet, Firewall und eben VPN zuständig ist.

 

 

Grüße, Felix

[fbeucke 10]

Nachtrag @ MJSmith

 

Genau raten kann ich dir leider nichts, wie du die Sache richtig löst.

Vielleicht hast du noch eine Windows 2000 Server Version auf dem du den IIS laufen lassen kannst. Den kannst du dann ja in deine Domäne hängen, im eine IP geben und dann die IP mit entsprechendem Port in deiner Firewall forwarden.

 

Microsoft hat für die Sicherheit auch ein wohl gutes Produkt. Mit fällt der Name gerade nicht ein, ich glaube Microsoft Internet Acceleration Server (ISA) oder so...

 

Hoffe das konnte Dir ein bischen helfen. Jedoch wie gesagt gibt es sicherlich bessere Lösungen

[dmetzger 10]

@MJSmith

 

Der ISA-Server muss im Fall von SBS 2003 Premium auf der gleichen Maschine installiert werden wie der SBS selbst. Mehr dazu in den Lizenzbestimmungen und hier:

http://www.microsoft.com/germany/ms/sbserver/faq.htm

 

Daran ändert nichts, dass die Premium-Komponenten des SBS 2003 auf eine eigene Installations-CD gepackt sind.

 

Die Share Point Services sind kostenlos von Microsoft im Web erhältlich. Es hindert Dich also nichts daran, einen Windows Server 2003 als Mitgliedsserver im Perimeternetz einzurichten und Dein Intranet dort zu installieren, um Zugriffe von aussen nicht auf den SBS selbst zu führen.

[Nonaminus 10]

Man muss doch mal die Relationen sehen: SBS wird ab 20 User langsam ein wenig eng.

 

Wieviele Server soll man denn für die 20 Leutchens holen?

 

1 Server DC

1 Server DC Backup

1 Exchange

1 Share Point

1 Datenbank

1 Firewall

1 Fileserver

 

Klasse! Das sind für 3 User je 1 Server. Sicherlich wär das toll und sicher. Aber es wäre auch der absolute Übergau.

 

Ich halte den SBS für einen guten Kompromiss zwischen vertretbaren Kosten, Performance und Sicherheit. Wenn einem das Konzept der 1 Maschine nicht taugt, dann nimm keinen SBS für 1500 € sondern die ganze Liga für das Vielfache.

 

Wenn man noch einen Router dazischenschaltet der nur einzelne Ports durchleitet dann ist das schon brauchbar sicher.

 

Ich wär froh wenn diese Grundsicherheit in mehr Kleinfirmen stehen würde....

[GuentherH 61]

@Nonaminus.

 

Genau deshalb habe ich die Gegenfrage an fbeucke gestellt. Theorie ist das was wie uns wünschen, Praxis ist das was der Kunde bezahlt.

 

LG Günther

[timmi 10]

@Nonanimus, all

 

Ich habe ein ähnliches Szenario vor (kein Sharepoint sondern OWA auf dem SBS), jedoch möchte ich SBS Standard einsetzen und es folgendermassen realisieren:

 

Internet > IPCop Firewall > ....

... a) > DMZ Port > SBS 2003 Standard mit aktiviertem OWA

... b) > LAN Port > WinXP Clients

 

Unter der Voraussetzung, dass der SBS natürlich auch als DC und Exchange fungiert, würdet ihr das Szenario als ausreichend sicher für einen kleinen Kunden < 10 User bezeichnen? Die Konfiguration von mehreren Servern für mehrere Zwecke stört mich gar nicht so (kann man ja auch auf einer dicken Büchse mit VMWare ESX machen) aber die 10x so teuren Microsoft Einzellizenzen im Vergleich zum SBS stören mich doch erheblich...

 

Viele Grüße! Timmi

[Nonaminus 10]

Ich halte das Konzept für ausreichend sicher.

 

Wenn es ein bischen sicherer sein soll, dann kann man den ISA noch mitnehmen. Für den Preis der Premium und die beigelegte SQL2K Lizenz ein echt guter Preis und der ISA Server ist wirklich gut.

Für die Clients dann eben noch der Proxy mit entsprechenden Filtermöglichkeiten.