Remotedesktopverbindung auf W2K3 an ausländischem Standort!

[127.0.0.1 10]

Hallo zusammen,

 

ich habe folgendes Szenario:

Unsere Firma hat einen kleinen Standort im Ausland, welcher mit einem ADSL-Anschluss ausgestattet ist. Dieser wird als VPN-Verbindung (reiner Email-Zugriff nach Deutschland) genutzt. Jetzt würde ich gerne via Remotedesktop auf den Server im Ausland zugreifen. Funktioniert das mit dem bestehenden DSL-Anschluss, oder benötige ich hierfür SDSL ?

Kann mir jemand sagen, wie ich das realisieren könnte ?

 

Danke

127.0.0.1

[Userle 145]

Du benötigst kein SDSL.

Lediglich Konfiguration ist notwendig, dass Du RDP über die VPN nutzen kannst.

BTW welche Art von VPN kommt denn da zum Einsatz bzw. wie wird diese aufgebaut ?

Welche Endpunkte sind auf beiden Seiten der VPN ?

 

Greetings Ralf

[127.0.0.1 10]

Hi Ralf,

 

danke für deine schnelle Antwort. Ich habe noch vergessen zu erwähnen, dass der VPN-Tunnel nicht dafür genutzt werden kann und die Verwaltung der Zugänge nicht bei uns liegt.

[Userle 145]

Du brauchst in jedem Fall eine Verbindung die "lauscht" - will sagen, die auf Anfragen wartet. Der Sicherheit wegen, sollte diese Verbindung ein VPN-Tunnel sein, am besten IPsec.

Da Ihr die Zugänge nicht verwaltet, ist mir allerdings nicht ganz klar inwieweit Du überhaupt befugt, berechtigt oder auch in der Lage bist den Server im Ausland für eine solche Verbindung zu konfigurieren. Auf jeden Fall kan ich sagen, dass es nichts mit der Artder Verbindung zu tun hat (ADSL oder SDSL).

 

Greetings Ralf

[127.0.0.1 10]

Kann ich denn auf dem Server im Ausland die RAS-Dienste installieren und hierfür den DSL-Zugang nutzen, das ich mich dort einwählen kann. Ich war immer in dem Glauben, das ich ADSL nur in eine Richtung nutzen kann !

[Userle 145]

Es kommt darauf an wie die ADSl-Leitung genutzt wird und ob diese eine feste IP-Adress besitzt.

Wenn die ADSL-Leitung an einen Router angeschlossen ist, kannst Du den Router so konfigurieren, das er ständig die Verbindung hält ausgenommen der ggfs. vorhandenen Zwngstrennung durch den Provider. Ja Du kannst dann die RAS-Dienste nutzen. Ist aber nicht ratsam. Ein professioneller IPsec Client/Server wäre da geeigneter.

 

Greetings Ralf

[127.0.0.1 10]

Hi Ralf,

 

leider haben wir vom Provider keine feste IP-Adresse für unseren DSL-Router zugewiesen bekommen. Ich vermute daran wird nun mein Plan scheitern. Ein IPSEC Client/Server würde ich nicht benötigen. Ich strebe eine einfache funktionale Lösung an. Diese Lösung soll nur zu Notfällen gedacht sein, damit ich zugreifen kann, wenn es zu Problemen kommt.

Eine Alternative wäre ein RAS-Zugriff via Modem, allerdings ist dort die Performance grottenschlecht.

[onestone 10]

Was ist mit DynDNS (http://www.robert-web.de/dyndns.shtml)? Ein Programm dass auf dem Rechner läuft der sich ins ADSL einwählt und seine dynamische IP entsprechend publiziert. Du kannst dann deinen Client per VPN auf den entsprechenden Domain (irgendwas.dynip.com oder so irgendwie) connecten und darüber eine RD-Verbindung aufbauen...

 

Dynamische IP ist nicht besonders hilfreich, aber so solltest du dass doch in den Griff kriegen...

 

lg,

os

[127.0.0.1 10]

DynDNS hört sich sehr interessant an. Ich habe mich noch nie mit dem Thema auseinandergesetzt. Nur was mir so auf den ersten Blick durch den kopf geht, gibt es denn da keine Security bedenken. Generell passr es nciht in unsere Philosophie, dass Maschinen aus unserer Domäne mit irgendwelchen fremden Rechnern im Internet kommunizieren. Dies versuchen wir eigentlich zu vermeiden. Aber zugegebenermaßen hört sich der mich auf alle Service sehr interessant an und ich werde mich auf alle Fälle die nächsten Tage mal genauer damit beschäftigen.

 

Gruß

127.0.0.1

[onestone 10]

Naja, ob du jetzt deinen VPN-Port über die Firewall freigibst ist die grundsätzliche Frage. Wenn du das jetzt in deinem Fall machst, hast du verschiedene IP's (wg. dynamischen!) wo aber jeweils der Port offen ist (security!) - DynDNS macht ja nichts anderes (was ich weiß) als dass es einen FQDN-Namen immer wieder mit der aktuellen IP mappt.

 

Ergo: DynDNS machts meiner Meinung nach nicht schlimmer oder besser - es ist egal...

 

lg,

os

[127.0.0.1 10]

Ja stimmt, ein Türchen muss ich wohl so oder so aufmachen. hast du Erfahrungen mit DynDNS in Bezug auf Verfügbarkeit und Zuverlässigkeit ? Nochmal ne Verständnisfrage: Meinen Remoterechner spreche ich dann über den FQDN an, oder ?

[Userle 145]

Das sehe ich ein wenig anders. Immerhin machst Du mit DynDNS deine IP-Adresse einem fremden Dienst bzw. Server bekannt. Damit hast Du die Gefahr eines Angriffs erhöht, da der Dienst DynDNS nicht nur bei "Freund" sondern auch bei "Feind" bekannt ist. Und wie gut die Sicherheit bei dennen ist...möchte ich nicht wagen zu beurteilen.

 

Auf der anderen Seite reicht ja theoretisch eine feste IP Adresse. Soll heißen wenn die "Deutschlandseite" eine feste IP hat kann zwischen 2 Routern trotzdem der VPN-Tunnel aufgebaut werden, sodenn beide Router ein gemeinsames Protokoll finden und die Deutschlandseite so zu konfiguireren ist, das eingehende Verbindungen von Dynamischer IP zulässig sind.

 

 

Greetings Ralf

[onestone 10]

Das sehe ich ein wenig anders. Immerhin machst Du mit DynDNS deine IP-Adresse einem fremden Dienst bzw. Server bekannt. Damit hast Du die Gefahr eines Angriffs erhöht, da der Dienst DynDNS nicht nur bei "Freund" sondern auch bei "Feind" bekannt ist. Und wie gut die Sicherheit bei dennen ist...möchte ich nicht wagen zu beurteilen.

 

Hm. Stimme ich irgendwie zu, irgendwie auch nicht. Letztlich ist DynDNS nicht die Sicherheitslücke sondern der offene Port. Das der evtl. leichter gefunden wird mag sein, aber im Internet scannen meist Programme IP-Ranges nach gewissen Ports und attackieren die Rechner dann. Da ist's wohl für die meisten Angriffe egal ob du DNS hast oder eben nicht.

 

Auf der anderen Seite reicht ja theoretisch eine feste IP Adresse. Soll heißen wenn die "Deutschlandseite" eine feste IP hat kann zwischen 2 Routern trotzdem der VPN-Tunnel aufgebaut werden, sodenn beide Router ein gemeinsames Protokoll finden und die Deutschlandseite so zu konfiguireren ist, das eingehende Verbindungen von Dynamischer IP zulässig sind.

 

Ja wäre natürlich eine bessere Möglichkeit wenn diese Außenstelle sich einfach automatisch zum VPN in D connected - evtl. die Firewall dort so basteln dass sie nur connections mit der IP des VPN-Servers in D aufbaut - das wäre sehr sicher. Dafür kannst du halt nicht "von unterwegs" mal schnell aufs VPN (außer der Umweg über den VPN-Server in D ist möglich)...

 

lg,

os