Windows 2003 SBS ISA und VPN

Hallo zusammen,


Da es ein SBS ist, nehme ich mal an, dass er so den ein oder anderen durchaus auch sensiblen Dienst im Firmennetz anbietet. Also kein Server, der lediglich für die Internetverbindung und VPN genutzt werden soll.


Was heißt "direkt von außen erreichbar"? Exposed host? Port forwarding? Welche Dienste bietet der Server im Internet an? WWW? FTP? SMTP/POP3? Oder vielleicht was exotisches?

Sei es wie es sei. Das ist ein grober Fehler im Sicherheitskonzept. Du lässt auf dem internen Server auch Dienste laufen, die von Unbekannten genutzt werden. Und dann auch noch unter Windoze. Das lädt ja geradezu zum hacken ein. ;)

Ich würde das Problem mit Hardware erschlagen:

Router mit echtem DMZ-Port, der VPN-Tunnel aufbauen kann.

An den DMZ-Port kommt ein Server, der die Dienste auch nach außen anbietet. Du musst dann im internen DNS die Zone mit der lokalen IP aus dem anderen Netz auflösen.

Die VPN-Tunnel werden direkt im Router konfiguriert. Das hat unter anderem den Vorteil, dass man echtes VPN machen kann und nicht via NAT. Für weitere Informationen empfehle ich einmal den Wikipedia-Artikel zu VPN und NAT und Google.

Im lokalen Netz hinter Router und Firewall steht dann der Server, der die internen Dienste anbietet. Also sowas wie Kundendatenbank, Buchhaltung etc. Lass sowas nie auf einer Maschine laufen, die irgendwie von außen erreichbar ist außer via VPN.

Und das ist auch der Grund, warum der VPN-Tunnel nicht von dieser Maschine aus aufgebaut werden sollte. Denn damit ist sie ja wieder direkt von außen für jedermann erreichbar.

Solche Router sind nicht ganz billig und die gibt es auch nicht bei Geiz-Ist-Geil & Co. Ich selbst verwende für solche Zwecke immer Lancom. Es gibt sie aber auch von Bintec oder Cisco.

hth

Liebe Grüße

Erik