Zugriff vom Internet auf Terminalserver

[gordond 10]

Hallo,

 

nachdem ich nun ein halbes Jahr gebraucht habe, bis ich meine Standleitung bekommen haben, muss jetzt natürlich alles ganz schnell gehen...

 

ich habe folgendes Problem:

 

Ich möchte meinem Chef schnellst möglich einen Zugriff auf unsere Terminalserver gewähren. Er möchte sich mittels UMTS Karte von seinem Notebook aus verbinden.

Wenn möglich über VPN.

 

Eingerichtet habe ich zur Zeit einen Linux Rechner als Router.

 

 

 

Als Hardware steht zur Verfügung:

 

Mobil:

 

1x UMTS Karte

 

1x Notebook mit Windows XP Prof

 

 

In der Domain:

 

1x CompanyConnectAnschluss

 

1x Router mit Linux

 

2x Domaincontroller

 

2x Terminalserver im Lastenausgleich

 

Mir sind die nächsten Schritte nicht ganz klar.

 

Über einen kleinen Denkanstoss würde ich mich sehr freuen, stehe total auf dem Schauch

 

 

Danke schonmal.

 

 

Greets Gordond

[Squire 214]

Du solltest Dir als allererstes überlegen welches System das VPN zur Verfügung stellt.

 

Entweder Dein Linux Router oder eines Deiner Windowssysteme - dazu muss aber auf einer Kiste Routing und RAS laufen sowie dann der Linux die VPN Pakete sauber durchlassen

[gordond 10]

Sorry, mir ist gerade noch eingefallen, dass der Router nur übergangsweise genutzt werden soll.

 

Später soll er gegen einen

 

Cisco Router 871

 

ausgetauscht werden.

 

Leider feht mir für die Standortvernetzung noch der 2te Standort, dieser befindet sich noch im Bau, deshalb gibts auch noch keine weitere Hardware. Zu einem späteren Zeitpunkt sollen 2 Standorte mit festen IPs vernetz werden.(ist eine andere Baustelle)

 

Macht es Sinn jetzt auf einem der beiden DC Routing und RAS einzurichten? Sorry für diese dumme Frage :rolleyes: Hab ne totale Blockade gerade

 

 

Greets Gordon

[hh2000 10]

Ich würde IPSec zwischen mobilem Endgerät und Router machen. Bei UMTS muss dass m.E. aber auch der Provider unterstützen (sonst: Stichwort IPSec hinter NAT).

 

Kurzfristig wäre wohl auch eine Port-Umsetzung von Aussen z.B. port 49500 auf intern 3389 zu machen so das am Terminal Client Du die Deine IP + Portangabe machen musst, z.B.

66.12.34.45:49500

Dabei sollte der W2k3 Server allerdings die Verbindung nur auf "höchste" Verschlüsseln (Gruppenrichtlinie). Das sind dann m.E. 128bit Verschlüsselungen.

 

Das würde ich auch gern hier mal zur Diskussion stellen, ist das ausreichend sicher,

wenn dabei der Port überwacht wird und man Verbindungen aufzeichnet (Nur Uhrzeit und Datum). So könnte man bei Verdacht auf Missbrauch einfach den Port schließen.

 

Gruß Kai

[hh2000 10]

Gerade bei zwei zu vernetzenden Standort würde 2 IPSec fähige Router nehmen, dann ist der Tunnel für den Rest des Netzes transparent.