16
VPN Fernwartungsgerät
Hallo liebe Community,
ich bin seit ein paar Tagen auf der Suche nach einer Lösung.
Folgender Anwendungsfall: wir müssen Fernwartung in einem fremden Remote Netzwerk durchführen. Der Kunde möchte bzw. kann nichts auf den PCs installieren. Wir möchten nicht an den Standort fahren müssen.
Idee: Wir schicken einen konfigurierten Router an den Kunden. Der Kunde steckt den in sein Netzwerk. Router bekommt DHCP und verbindet sich zu einer VPN-Cloud damit wir über VPN ins Netzwerk des Kunden zugreifen können.
Wichtig wäre, dass es eine schlüsselfertige Lösung ist. Das heißt, wir möchten keinen eigenen VPN Server hosten bzw. auf einem Router konfigurieren.
Hat jemand sowas im Einsatz bzw. eine Empfehlung?
Danke
taschaue
ich bin seit ein paar Tagen auf der Suche nach einer Lösung.
Folgender Anwendungsfall: wir müssen Fernwartung in einem fremden Remote Netzwerk durchführen. Der Kunde möchte bzw. kann nichts auf den PCs installieren. Wir möchten nicht an den Standort fahren müssen.
Idee: Wir schicken einen konfigurierten Router an den Kunden. Der Kunde steckt den in sein Netzwerk. Router bekommt DHCP und verbindet sich zu einer VPN-Cloud damit wir über VPN ins Netzwerk des Kunden zugreifen können.
Wichtig wäre, dass es eine schlüsselfertige Lösung ist. Das heißt, wir möchten keinen eigenen VPN Server hosten bzw. auf einem Router konfigurieren.
Hat jemand sowas im Einsatz bzw. eine Empfehlung?
Danke
taschaue
Auf Facebook teilen
Auf Twitter teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 671628
Url: https://administrator.de/forum/vpn-fernwartungsgeraet-671628.html
Ausgedruckt am: 26.02.2025 um 11:02 Uhr
16 Kommentare
Neuester Kommentar
Moin,
Und würde ich den Kunden im Rahmen der Netzwerkinfrastruktur betreuen, würde ich sofort mein Mandat niederlegen.
Ihr reißt dadurch ein Loch in die Sicherheitsstruktur!
Sprecht doch gemeinsam mit dem bestehenden Dienstleister und erarbeitet gemeinsam eine Lösung. Vielleicht gibt er euch einen eigenen VPN-Zugang.
In jedem Fall erspart ihr euch und eurem Kunden eine Menge Ärger…
Achja, eure Idee scheitert, wenn 802.1x etabliert ist. Dann landet euer Router in der Quarantäne und darf nichts, ausser Strom verbrauchen.
Folgender Anwendungsfall: wir müssen Fernwartung in einem fremden Remote Netzwerk durchführen.
…
Idee: Wir schicken einen konfigurierten Router an den Kunden. Der Kunde steckt den in sein Netzwerk. Router bekommt DHCP und verbindet sich zu einer VPN-Cloud damit wir über VPN ins Netzwerk des Kunden zugreifen können.
…
Idee: Wir schicken einen konfigurierten Router an den Kunden. Der Kunde steckt den in sein Netzwerk. Router bekommt DHCP und verbindet sich zu einer VPN-Cloud damit wir über VPN ins Netzwerk des Kunden zugreifen können.
Und würde ich den Kunden im Rahmen der Netzwerkinfrastruktur betreuen, würde ich sofort mein Mandat niederlegen.
Ihr reißt dadurch ein Loch in die Sicherheitsstruktur!
Sprecht doch gemeinsam mit dem bestehenden Dienstleister und erarbeitet gemeinsam eine Lösung. Vielleicht gibt er euch einen eigenen VPN-Zugang.
In jedem Fall erspart ihr euch und eurem Kunden eine Menge Ärger…
Achja, eure Idee scheitert, wenn 802.1x etabliert ist. Dann landet euer Router in der Quarantäne und darf nichts, ausser Strom verbrauchen.
2
Zitat von @taschaue:
Hallo liebe Community,
ich bin seit ein paar Tagen auf der Suche nach einer Lösung.
Folgender Anwendungsfall: wir müssen Fernwartung in einem fremden Remote Netzwerk durchführen.
oha...Hallo liebe Community,
ich bin seit ein paar Tagen auf der Suche nach einer Lösung.
Folgender Anwendungsfall: wir müssen Fernwartung in einem fremden Remote Netzwerk durchführen.
Der Kunde möchte bzw. kann nichts auf den PCs installieren. Wir möchten nicht an den Standort fahren müssen.
ok... was soll den supportet werden?Idee: Wir schicken einen konfigurierten Router an den Kunden. Der Kunde steckt den in sein Netzwerk. Router bekommt DHCP und verbindet sich zu einer VPN-Cloud damit wir über VPN ins Netzwerk des Kunden zugreifen können.
alter Verwalter, welch Naivität ich dort lesen kann.... du glaubst doch nicht im ernst, das ich als Kunde bzw. als Netzwerk Admin es zulasse, das du einen Router in mein Netzwerk setzt, mit verbindung ins WWW irgendwo auf ne VPN-Cloud , dessen betreiber ich nicht kenne, ich genau weiß, du hast nicht mal ansatzweise möglichkeiten zu kontrollieren, was da an Datenverkehr und zugriffe passiert.... da dreht sich jeder Datenschutzbeauftragter im Grabe rum...Wichtig wäre, dass es eine schlüsselfertige Lösung ist. Das heißt, wir möchten keinen eigenen VPN Server hosten bzw. auf einem Router konfigurieren.
Hat jemand sowas im Einsatz bzw. eine Empfehlung?
oder ihr setzt euch mit der jeweiligen IT zusammen, und erstellt ein Konzept, und ihr bekommt von der jeweiligen IT zugriff auf benötigte Geräte...
Danke
taschaue
Frank
Ein kleiner 20€ Mikrotik hAP Lite Router löst dir diese einfache Ausfgabe im Handumdrehen:
VPN zu FritzBox über Hardware?
Bzw. im Allgemeinen auch hier
Der Router ist im Falle von 802.1x als Client konfigurierbar und kann auch diese Hürde mit links nehmen.
Wenn du die Gigabit Variante willst nimmst du den hEX Router.
Kann man wie jeden anderen Router auch fertig konfiguriert auf Kundenseite anklemmen und sofort loslegen.
Das ist ein klassisches und einfaches VPN Routerkonzept wie man es auch für Home Office Nutzer verwendet. Das man sowas aus Security Sicht mit dem Kunden abstimmt sollte natürlich klar sein.
VPN zu FritzBox über Hardware?
Bzw. im Allgemeinen auch hier
Der Router ist im Falle von 802.1x als Client konfigurierbar und kann auch diese Hürde mit links nehmen.
Wenn du die Gigabit Variante willst nimmst du den hEX Router.
Kann man wie jeden anderen Router auch fertig konfiguriert auf Kundenseite anklemmen und sofort loslegen.
Das ist ein klassisches und einfaches VPN Routerkonzept wie man es auch für Home Office Nutzer verwendet. Das man sowas aus Security Sicht mit dem Kunden abstimmt sollte natürlich klar sein.
Folgender Anwendungsfall: wir müssen Fernwartung in einem fremden Remote Netzwerk durchführen. Der Kunde möchte bzw. kann nichts auf den PCs installieren. Wir möchten nicht an den Standort fahren müssen.
Schlimmer geht's nimmer. Ihr seid nicht der IT-Dienstleister dieses Kunden?Idee: Wir schicken einen konfigurierten Router an den Kunden. Der Kunde steckt den in sein Netzwerk. Router bekommt DHCP und verbindet sich zu einer VPN-Cloud damit wir über VPN ins Netzwerk des Kunden zugreifen können.
Und was sagt der IT-Dienstleister des Kunden dazu?Also wenn ihr mit solchen kruden Ideen in unserem Unternehmensnetzwerk kommt, seid ihr schneller die Tür raus, als ihr eingetreten seid
Wichtig wäre, dass es eine schlüsselfertige Lösung ist. Das heißt, wir möchten keinen eigenen VPN Server hosten bzw. auf einem Router konfigurieren.
Hat jemand sowas im Einsatz bzw. eine Empfehlung
Gruss Penny.
Mhhhhhhh,
also wie die zwei @em-pie & @Vision2015 schon gesagt haben finde auch ich das per se erstmal keine so gute Idee.
Problem ist in der Tat das du aufgrund des VPN Tunnels baust du in das Netzwerk des Kunden eine Brücke ins öffentliche WWW ein die nicht wirklich überwacht oder/und kontrolliert werden kann.
Bei uns in der Firma z.B. kannst du von INNEN aus dem Firmen LAN gar kein VPN nach Außen aufbauen um eben so VPN Router Modell "Alles an der Firewall vorbei" zu verhindern/behindern. Wenn wir jemanden haben der eine VPN von Intern zum Kunden aufbauen muss dann haben wir dafür extra VDI Systeme bzw. unsere 4 Remote VPN Einwahl2External Terminalserver.
Dann kommt noch 802.1x dazu was dann auch dazu führt das der VPN Router nur Blinkt und eben Netzwerkmäßig nicht macht.
Das Problem was ich bei solchen Routern/Systemlösungen sehe ist i.d.R. folgendes:
Du kaufst bei einem "Provider" so einen Service ein und musst dich aber hier 100000% auf den Provider verlassen können das der alles RICHTIG macht. Klar solche Services gibts auch von der T-Systems aber die kosten dann natürlich auch.
Das nächste ist dann in wie weit der VPN Router Verkäufer/Betreiber und du selber versichert ist/bist denn wenn es wegen sowas zu einem Zwischenfall kommt steht der Kunde erstmal bei dir und will HILFE bzw. GELD. Du hast das Ding ja verkauft. Ich denke es ist klar was ich meine. Das kann mit solchen dingern ganz schön ins Auge gehen.
Der Lösungsansatz wäre des dein Kunde dich und den anderen Dienstleister irgendwie zusammenbekommt und Ihr dann mal gegenseitig erklärt was Ihr vorhabt bzw. warum was wie und warum benötigt wurde bzw. gemacht wurde.
Meistens findet sich hier immer irgendwie eine Lösung. Ihr habt ja einen gemeinsamen Kunden der sowohl von dir was will als auch dann logischerweise von vom anderen Dienstleister.
Ich denke ebenfalls das dir der reine VPN Router unter umständen nichts nützt wenn du dich dann nirgends auf den PC´s / Systemen anmelden kannst......
also wie die zwei @em-pie & @Vision2015 schon gesagt haben finde auch ich das per se erstmal keine so gute Idee.
Problem ist in der Tat das du aufgrund des VPN Tunnels baust du in das Netzwerk des Kunden eine Brücke ins öffentliche WWW ein die nicht wirklich überwacht oder/und kontrolliert werden kann.
Bei uns in der Firma z.B. kannst du von INNEN aus dem Firmen LAN gar kein VPN nach Außen aufbauen um eben so VPN Router Modell "Alles an der Firewall vorbei" zu verhindern/behindern. Wenn wir jemanden haben der eine VPN von Intern zum Kunden aufbauen muss dann haben wir dafür extra VDI Systeme bzw. unsere 4 Remote VPN Einwahl2External Terminalserver.
Dann kommt noch 802.1x dazu was dann auch dazu führt das der VPN Router nur Blinkt und eben Netzwerkmäßig nicht macht.
Das Problem was ich bei solchen Routern/Systemlösungen sehe ist i.d.R. folgendes:
Du kaufst bei einem "Provider" so einen Service ein und musst dich aber hier 100000% auf den Provider verlassen können das der alles RICHTIG macht. Klar solche Services gibts auch von der T-Systems aber die kosten dann natürlich auch.
Das nächste ist dann in wie weit der VPN Router Verkäufer/Betreiber und du selber versichert ist/bist denn wenn es wegen sowas zu einem Zwischenfall kommt steht der Kunde erstmal bei dir und will HILFE bzw. GELD. Du hast das Ding ja verkauft. Ich denke es ist klar was ich meine. Das kann mit solchen dingern ganz schön ins Auge gehen.
Der Lösungsansatz wäre des dein Kunde dich und den anderen Dienstleister irgendwie zusammenbekommt und Ihr dann mal gegenseitig erklärt was Ihr vorhabt bzw. warum was wie und warum benötigt wurde bzw. gemacht wurde.
Meistens findet sich hier immer irgendwie eine Lösung. Ihr habt ja einen gemeinsamen Kunden der sowohl von dir was will als auch dann logischerweise von vom anderen Dienstleister.
Ich denke ebenfalls das dir der reine VPN Router unter umständen nichts nützt wenn du dich dann nirgends auf den PC´s / Systemen anmelden kannst......
Hallo,
wir verwenden so etwas für Industrieanlagen in diversen Ländern.
Jede Maschine von uns hat sein eigenes Netz in dem die ganzen Steuerungen, IPC's usw. hängen.
https://www.wachendorff-prozesstechnik.de/produktgruppen/fernwartung-und ...
Theoretisch kann man die auch mit nem Schlüsselschalter verbinden. Somit muss der Kunde erst ein mechanisches Schloss "aufsperren" erst dann kann man die VPN Verbindung aufbauen und wir kommen nur auf die Maschine selbst.
Das Zeug gibt's aber von diversen Herstellern.
wir verwenden so etwas für Industrieanlagen in diversen Ländern.
Jede Maschine von uns hat sein eigenes Netz in dem die ganzen Steuerungen, IPC's usw. hängen.
https://www.wachendorff-prozesstechnik.de/produktgruppen/fernwartung-und ...
Theoretisch kann man die auch mit nem Schlüsselschalter verbinden. Somit muss der Kunde erst ein mechanisches Schloss "aufsperren" erst dann kann man die VPN Verbindung aufbauen und wir kommen nur auf die Maschine selbst.
Das Zeug gibt's aber von diversen Herstellern.
So etwas ist ja, sauber integriert und durchdacht, nichts anderes als ein normaler VPN Endpunkt, eben so gelöst, dass man sich nicht überall umsehen und Schindluder treiben kann. Der TO aber will ja ein Gerät, dass das gesamte LAN verfügbar macht, und das über einen unbekannten, nicht kontrollierbaren Drittdienst ("VPN-Cloud "). Das ist de facto wie ein Trojaner.
Moin,
so ein Vorgehen ist im Industrial Bereich leider an der Tagesordnung. Siehe z.B. die eWon Devices von HMS - die machen genau das: einen VPN Tunnel von "innen nach außen" und das ganze dann zugreifbar über einen zentralen Webservice des Herstellers.
Sehr gruselig
lg,
Slainte
so ein Vorgehen ist im Industrial Bereich leider an der Tagesordnung. Siehe z.B. die eWon Devices von HMS - die machen genau das: einen VPN Tunnel von "innen nach außen" und das ganze dann zugreifbar über einen zentralen Webservice des Herstellers.
Sehr gruselig
lg,
Slainte
HAllo
ICh hatte diesen fall bei uns in der Firma um zB an Maschinen die Software zu warten
wir haben das mit einer Lösung von Siemens gemacht sieh https://www.mein-elektro24.com/dp/Siemens-SCALANCE-M876-4-EU-4G-Router-E ...
Kostet und ist sicher
LG Tom
ICh hatte diesen fall bei uns in der Firma um zB an Maschinen die Software zu warten
wir haben das mit einer Lösung von Siemens gemacht sieh https://www.mein-elektro24.com/dp/Siemens-SCALANCE-M876-4-EU-4G-Router-E ...
Kostet und ist sicher
LG Tom
Bei Rückfragen kannst du mich kontaktieren
Fuer solche Anwendungen gibt es von Insys kleine Boxen. Die Box hat immer eine Verbindung ins Rechenenzentrum. Am Rechenzentrum meldet man sich mit OpenVPN an und kann direkt an die Rechner hinter der "blauen Box" sich verbinden. Wird bei Kitris auch verwendet und ist vom Prinzip her sehr sicher.
Moin,
eine Lösung wäre ein einfacher Jump-Server.
Sei es ein Windows-PC mit Teamviewer oder Co oder ein Linux-Box (Rasperry Pi) mit ausgehenden VPN zu einem VPN-Server (Root-Server) in einem RZ.
Stefan
eine Lösung wäre ein einfacher Jump-Server.
Sei es ein Windows-PC mit Teamviewer oder Co oder ein Linux-Box (Rasperry Pi) mit ausgehenden VPN zu einem VPN-Server (Root-Server) in einem RZ.
Stefan
1
Danke für die vielen Antworten. Vor allem auch hinsichtlich Sicherheit.
Wir haben das natürlich mit dem Kunden bzw. seinem IT Dienstleister abgestimmt.
Ich war vermutlich zu unpräzise. Es handelt sich genau um so einen Industrial Fall, wo wir Geräte im Netzwerk supporten müssen. Das Netzwerk ist natürlich getrennt vom Server/Client Netz des Kunden.
Wir haben das natürlich mit dem Kunden bzw. seinem IT Dienstleister abgestimmt.
Ich war vermutlich zu unpräzise. Es handelt sich genau um so einen Industrial Fall, wo wir Geräte im Netzwerk supporten müssen. Das Netzwerk ist natürlich getrennt vom Server/Client Netz des Kunden.
Zitat von @aqui:
Ein kleiner 20€ Mikrotik hAP Lite Router löst dir diese einfache Ausfgabe im Handumdrehen:
VPN zu FritzBox über Hardware?
Bzw. im Allgemeinen auch hier
Der Router ist im Falle von 802.1x als Client konfigurierbar und kann auch diese Hürde mit links nehmen.
Wenn du die Gigabit Variante willst nimmst du den hEX Router.
Kann man wie jeden anderen Router auch fertig konfiguriert auf Kundenseite anklemmen und sofort loslegen.
Das ist ein klassisches und einfaches VPN Routerkonzept wie man es auch für Home Office Nutzer verwendet. Das man sowas aus Security Sicht mit dem Kunden abstimmt sollte natürlich klar sein.
Ein kleiner 20€ Mikrotik hAP Lite Router löst dir diese einfache Ausfgabe im Handumdrehen:
VPN zu FritzBox über Hardware?
Bzw. im Allgemeinen auch hier
Der Router ist im Falle von 802.1x als Client konfigurierbar und kann auch diese Hürde mit links nehmen.
Wenn du die Gigabit Variante willst nimmst du den hEX Router.
Kann man wie jeden anderen Router auch fertig konfiguriert auf Kundenseite anklemmen und sofort loslegen.
Das ist ein klassisches und einfaches VPN Routerkonzept wie man es auch für Home Office Nutzer verwendet. Das man sowas aus Security Sicht mit dem Kunden abstimmt sollte natürlich klar sein.
Danke für den Lösungsvorschlag. Ich stehe gerade auf der Leitung, wie ich dann ins "lokale" Netz des Mikrotik Routers komme.
Aus Sicherheitssicht stimmen wir das natürlich ab - es handelt sich "nur" um ein Subnetz, wo unsere Geräte erreichbar sind.
eine Lösung wäre ein einfacher Jump-Server.
Wie er z.B. HIER beschrieben ist.Ich stehe gerade auf der Leitung, wie ich dann ins "lokale" Netz des Mikrotik Routers komme.
Das ist eine berechtigte Frage die man aber leider nicht zielführend beantworten kann, weil du oben u.a. nicht mitgeteilt hast ob der VPN Router auf der Kundenseite als VPN Initiator oder als Responder arbeiten soll. An den obigen Security orientierten Kommentaren hast du ja sicher schon herausgelesen das ein Initiator Modus (Client) hier best Practice und damit die richtige Wahl ist. Also das der Router sich aktiv als VPN Initiator auf einen Ziel VPN Server einwählt.
Dadurch baut er AUS dem Netz des Kunden automatisch die VPN Tunnelverbindung auf was keinerlei Eingriff auf Komponenten auf Kundenseite erfordert und auch problemlos funktioniert wenn der Kunde an einem Provider DS-Lite Anschluss hängt usw.
Beim Responder Mode wäre das ungleich schwerer, da du dafür sorgen müsstest das eingehender VPN Traffic diesen kaskadierten Router erreichen kann was ohne einen Eingriff in Firewall oder Router auf Kundenseite nicht möglich ist. Es sei denn du nutzt andere vom Kundennetz unabhängige Zugangswege wie Mobilfunk etc.
Beim sinnvollen VPN Initiator Mode taucht natürlich dann sofort die Frage auf: Wohin soll der Tunnel eröffnet werden, denn der Initiator braucht logischerweise einen Responder. (VPN Server)
Das kann entweder der bei euch vorhandene Router (Fritzbox etc.) oder Firewall sein sofern der/die idealerweise VPNs supportet.
Sollte das nicht der Fall sein kaskadierst du dahinter ebenfalls einen Mikrotik oder ein anderes VPN Server Device (vorhandener Server, Raspberry etc.) im lokalen LAN oder du nutzt einen oben bereits genannten Jumphost.
Du hast die freie Wahl... Alle Lösungen führen zum Erfolg.
Zitat von @taschaue:
Aus Sicherheitssicht stimmen wir das natürlich ab - es handelt sich "nur" um ein Subnetz, wo unsere Geräte erreichbar sind.
Aus Sicherheitssicht stimmen wir das natürlich ab - es handelt sich "nur" um ein Subnetz, wo unsere Geräte erreichbar sind.
Das klingt ja dann ganz anders, aber auch dann können wir nur von einer "VPN-Cloud" abraten. Nutzt eine klassische VPN-Verbindung zu Euch, ggf. halt 2 Mikrotik kaufen, die koppeln.
