nur Verbindung zum VPN-Netzwerk auf einer Netzwerkkarte zulassen
Hallo,
daheim will ich ein kleines Netzwerk aufbauen, d.h. eigentlich zwei, die voneinander getrennt sind. Die einzige Brücke zwischen diesen beiden Netzwerken soll ein Windows 2003 Server (DHCP für Netzwerk 2) sein.
Im ersten Netzwerk befindet sich ein D-Link DI-604 (DHCP für Netzwerk 1), der eine Internetverbindung bereitstellt. Im zweiten Netzwerk liegen persönliche Daten, die nicht im Internet sichtbar sein sollen.
Deshalb die Idee einen VPN-Server einzurichten, der durch die VPN-Verbindung einen PC vom ersten Netzwerk durch den VPN-Tunnel trennt und die Verbindung zum zweiten Netzwerk herstellt.
Diese konfiguration sollte keine Probleme darstellen.
Kann ich allerdings den Windows 2003 Server so einstellen, dass er auf der VPN-Netzwerkkarte, die ins erste Netzwerk verbunden ist nur VPN-Verbindungen zulässt und alle anderen Verbindungen (auch seine eigenen) blockiert, die Verbindung also nicht exestiert wenn keine VPN-Verbindung besteht (wie wenn das Kabel gezogen wäre)?
Gruß
Stefan
daheim will ich ein kleines Netzwerk aufbauen, d.h. eigentlich zwei, die voneinander getrennt sind. Die einzige Brücke zwischen diesen beiden Netzwerken soll ein Windows 2003 Server (DHCP für Netzwerk 2) sein.
Im ersten Netzwerk befindet sich ein D-Link DI-604 (DHCP für Netzwerk 1), der eine Internetverbindung bereitstellt. Im zweiten Netzwerk liegen persönliche Daten, die nicht im Internet sichtbar sein sollen.
Deshalb die Idee einen VPN-Server einzurichten, der durch die VPN-Verbindung einen PC vom ersten Netzwerk durch den VPN-Tunnel trennt und die Verbindung zum zweiten Netzwerk herstellt.
Diese konfiguration sollte keine Probleme darstellen.
Kann ich allerdings den Windows 2003 Server so einstellen, dass er auf der VPN-Netzwerkkarte, die ins erste Netzwerk verbunden ist nur VPN-Verbindungen zulässt und alle anderen Verbindungen (auch seine eigenen) blockiert, die Verbindung also nicht exestiert wenn keine VPN-Verbindung besteht (wie wenn das Kabel gezogen wäre)?
Gruß
Stefan
Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 49191
Url: https://administrator.de/forum/nur-verbindung-zum-vpn-netzwerk-auf-einer-netzwerkkarte-zulassen-49191.html
Ausgedruckt am: 24.12.2024 um 12:12 Uhr
8 Kommentare
Neuester Kommentar
Die Lösung ist noch viel einfacher ! D.h. das VPN Gefrickel benötigst du gar nicht !
Beide Netzwerkkarten liegen ja in unterschiedlichen IP Netzen. Trägst du nun im D-Link Router keine statische Route in dein IP Netz hinter dem Server ein können Geräte aus diesem Segment IP technisch keine Verbindung ins Internet eröffnen und vice versa.
Wenn du zum Gürtel noch den Hosenträger willst, dann trägst du noch entsprechende Filterlisten in die Windows Firewall der Server Interfaces ein die nur bestimmte Dienste oder IPs in die jeweiligen Segmente lassen
Beide Netzwerkkarten liegen ja in unterschiedlichen IP Netzen. Trägst du nun im D-Link Router keine statische Route in dein IP Netz hinter dem Server ein können Geräte aus diesem Segment IP technisch keine Verbindung ins Internet eröffnen und vice versa.
Wenn du zum Gürtel noch den Hosenträger willst, dann trägst du noch entsprechende Filterlisten in die Windows Firewall der Server Interfaces ein die nur bestimmte Dienste oder IPs in die jeweiligen Segmente lassen
Das kommt drauf an... wenn der Server nicht fürs Routing aktiviert ist dann kommst du auf das 2te Netz gar nicht vom ersten...
Aber auch wenn das Routing aktiviert wäre, würde man nicht in das Segment kommen, wenn auf dem D-Link dafür keine statische Route eingetragen ist und alle Clients aus dem ersten Netz mit ihrer Gateway IP auf den D-Link zeigen ! Verbindungsanforderungen von diesen Clients in 1 auf Netz 2 würde der D-Link verwerfen wenn er das Zielnetz (das zweite Netz) nicht über eine Route kennt (Ist ja ein anderes Netz als das an dem er selber hängt !) !
Allerdings würde bei dier Variante ein Umstellen des Gateways auf die ServerIP des ersten Netzes eine geroutete Verbindung aktivieren.
Jetzt könntest du aber an der Server Firewall z.B. nur bestimmte Dienste (Ports) durchlassen wenn du dies willst.
Ist ne Frage der Konfiguration was man erlaubt und was nicht...
Aber auch wenn das Routing aktiviert wäre, würde man nicht in das Segment kommen, wenn auf dem D-Link dafür keine statische Route eingetragen ist und alle Clients aus dem ersten Netz mit ihrer Gateway IP auf den D-Link zeigen ! Verbindungsanforderungen von diesen Clients in 1 auf Netz 2 würde der D-Link verwerfen wenn er das Zielnetz (das zweite Netz) nicht über eine Route kennt (Ist ja ein anderes Netz als das an dem er selber hängt !) !
Allerdings würde bei dier Variante ein Umstellen des Gateways auf die ServerIP des ersten Netzes eine geroutete Verbindung aktivieren.
Jetzt könntest du aber an der Server Firewall z.B. nur bestimmte Dienste (Ports) durchlassen wenn du dies willst.
Ist ne Frage der Konfiguration was man erlaubt und was nicht...
Ja das ist problemlos möglich ! In den Firewall Einstellungen lässt du dann nur den Windows Datei Sharing Dienst von dieser bestimmten Quell IP aus Netz 1 zu und das wars.
Die IP Einstellungen folgendermaßen:
Netz 1: Alle Clients beziehen IP vom Router DHCP. Serveradresse statisch außerhalb der Router IP Range. Gateway und DNS statisch, zeigen auf die Router IP
Ausnahme: Rechner der Shares mit Netz 2 hat. Der hat auch eine statische IP ausserhalb der Router DHCP und dessen Gateway zeigt auf den Server.
Netz 2: Server hat nur IP und Maske von Netz 2 statisch (Kein DNS). Clients ebenfalls, Gateway der Clients ist Server IP von NIC 2.
Die IP Einstellungen folgendermaßen:
Netz 1: Alle Clients beziehen IP vom Router DHCP. Serveradresse statisch außerhalb der Router IP Range. Gateway und DNS statisch, zeigen auf die Router IP
Ausnahme: Rechner der Shares mit Netz 2 hat. Der hat auch eine statische IP ausserhalb der Router DHCP und dessen Gateway zeigt auf den Server.
Netz 2: Server hat nur IP und Maske von Netz 2 statisch (Kein DNS). Clients ebenfalls, Gateway der Clients ist Server IP von NIC 2.