Sicheres VPN mit Windows Server 2003 Bordmitteln möglich?

Fantana schrieb:

Ergo es bleibt beim als unsicher geltenden PPTP oder SSL-VPN, beim letzteren ist dann der eventuell zum Einsatz kommende Java-Client im Browser ein Schwachpunkt bzgl. Sicherheit.

Ohne eine Klaerung im Vorfeld, auch bei Neuanschaffung (Datenblaetter neigen oefters zur Schoenigung) welche Hardware inkl. OS/OS-Version und Provider wer wie was kann, ansonsten ist zum Teil PPTP die einzig funktionierende Lösung.

Zum Vergrößern anklicken....

PPTP kann genauso einfach geblockt werden (Hotel) oder wird schlicht und einfach nicht von einem älteren Router unterstützt.

Willst du wirklich größtmögliche Kompatibilität haben nimmst halt SSL-VPN. Da braucht man schon eine Deep Packet Inspection Firewall um es zu blocken und trotzdem einen Zugriff auf SSL Webseiten zu ermöglichen. Ergo kannst du es praktisch überall nutzen.

Mit Browser und Java hat das ganze übrigens nur wenig zu tun. Sonicwall bietet wie viele andere Hersteller zwar auch ein Portal für den Zugriff an. Es gibt aber ebenso Native Clients für iOS, Android, Kindle und Windows Phone Geräte. Windows 8/RT hat einen Client für Sonicwall bereits vorinstalliert.
http://www.sonicwall.com/de/de/products/Mobile-Connect.html

xexex schrieb:

PPTP kann genauso einfach geblockt werden (Hotel) oder wird schlicht und einfach nicht von einem älteren Router unterstützt.

Willst du wirklich größtmögliche Kompatibilität haben nimmst halt SSL-VPN. Da braucht man schon eine Deep Packet Inspection Firewall um es zu blocken und trotzdem einen Zugriff auf SSL Webseiten zu ermöglichen. Ergo kannst du es praktisch überall nutzen.

Mit Browser und Java hat das ganze übrigens nur wenig zu tun. Sonicwall bietet wie viele andere Hersteller zwar auch ein Portal für den Zugriff an. Es gibt aber ebenso Native Clients für iOS, Android, Kindle und Windows Phone Geräte. Windows 8/RT hat einen Client für Sonicwall bereits vorinstalliert.
http://www.sonicwall.com/de/de/products/Mobile-Connect.html

Zum Vergrößern anklicken....

Verstehe diesen Kommentar in Bezug zu meinigen nicht, vorallem da die letzten beiden Absaetze des Zitats im Kontext des ersteren stehen und dieser weggefallen ist.

Ich habe bewusst die Anbieter von Internetzugaengen erwaehnt, da ohne zu wissen wie dieser auf ISP Seite organisiert ist, wie NAT444, die Frage ob mit Windows 2003 ein VPN realisiert werden kann, nicht einfach so mit Ja zu beantwortet ist.
Der Windows Server kann das immer, nur ist das unnuetz wenn die Hardware bzw. der Zugang nicht passt.

Da vorallem die Wald- und Wiesen-Provider wie "2und3" oder auch z.B. UnmoeglicheMedia Business bei der Frage ob sie zusichern koennen das ein Server to Server VPN (IPsec) von deren Seite aus funktioniert, mit einem Nein beantwortet wurde, da er bzgl. NAT444 und ob dies bei Businesszugaengen anliegt keine Ahnung hat (Erfahrung vom September 2014).

Bei G3 / G4 Zugaengen ist oft Carrier-Grade NAT im Einsatz.

Was das mit VPN geblockt im Hotel zu tun hat verstehe ich nicht ebenso die Aussage Browser und Java hat mit SSL-VPN nichts zu tun. "Eventuell" bedeutet ja auch nicht das alles andere ausgeschlossen ist bzw. nicht vorhanden ist sondern das man dies nach Moeglichkeit vermeiden sollte.
Das ganze hat eben schon damit zu tun, wenn wie ich erwaehnt habe der Client ueber einen Browser laeuft, da die komplette Palette der Sicherheitsluecken bzgl. Browser, die erwuenschte Sicherheit die man von VPN erwartet zunichte machen kann.
Es gibt dazu auch einige Paper im Internet.

Das Windows 8 / 8.1 einen Client integriert haben ist richtig, bin aber davon ausgegangen das bei einem Server 2003 keine Clients mit 8 oder 8.1 im Einsatz sind und RT wegen fehlender Netzwerkunterstuetzung bzgl. AD gaenzlich ausgeschlossen werden kann, kann mich da auch irren.

MfG

Fantana schrieb:

Verstehe diesen Kommentar in Bezug zu meinigen nicht, vorallem da die letzten beiden Absaetze des Zitats im Kontext des ersteren stehen und dieser weggefallen ist.

...

Was das mit VPN geblockt im Hotel zu tun hat verstehe ich nicht ebenso die Aussage Browser und Java hat mit SSL-VPN nichts zu tun. "Eventuell" bedeutet ja auch nicht das alles andere ausgeschlossen ist bzw. nicht vorhanden ist sondern das man dies nach Moeglichkeit vermeiden sollte.
Das ganze hat eben schon damit zu tun, wenn wie ich erwaehnt habe der Client ueber einen Browser laeuft, da die komplette Palette der Sicherheitsluecken bzgl. Browser, die erwuenschte Sicherheit die man von VPN erwartet zunichte machen kann.
Es gibt dazu auch einige Paper im Internet.

Zum Vergrößern anklicken....

Ich glaube du hast von dem Thema schlichtweg keine Ahnung.

SSL-VPN Hat NICHTS mit einem Browser zu tun und NOCH WENIGER mit Java. Ich verstehe nicht wieso du das in das Thema reinbringst.
http://software.dell.com/products/sonicwall-mobile-connect/

SSL-VPN wird über Clients realisiert oder ist bereits Bestandteil diverser Systeme. Im Gegensatz zu PPTP (GRE) oder IPSec (IPSec) benutzt es zur Übertragung der Daten TCP/IP und verschlüsselt die Daten mit SSL.

Deshalb ist aus der Sicht der Kompatibilität SSL immer einfacher zu handhaben und kann eben nicht, ohne einen großen Aufwand, wie die beiden anderen Protokolle geblockt werden. Zudem wird TCP/IP nun auch überall unterstützt und braucht keine besondere Behandlung seitens eines Routers wie es bei GRE und IPSec der Fall ist.

Der Fall hat sich aber doch eh längst erledigt da der OP wie es scheint irgendwas mit Linux basteln will.

xexex schrieb:

Ich glaube du hast von dem Thema schlichtweg keine Ahnung.

SSL-VPN Hat NICHTS mit einem Browser zu tun und NOCH WENIGER mit Java. Ich verstehe nicht wieso du das in das Thema reinbringst.
http://software.dell.com/products/sonicwall-mobile-connect/

SSL-VPN wird über Clients realisiert oder ist bereits Bestandteil diverser Systeme. Im Gegensatz zu PPTP (GRE) oder IPSec (IPSec) benutzt es zur Übertragung der Daten TCP/IP und verschlüsselt die Daten mit SSL.

Deshalb ist aus der Sicht der Kompatibilität SSL immer einfacher zu handhaben und kann eben nicht, ohne einen großen Aufwand, wie die beiden anderen Protokolle geblockt werden. Zudem wird TCP/IP nun auch überall unterstützt und braucht keine besondere Behandlung seitens eines Routers wie es bei GRE und IPSec der Fall ist.

Der Fall hat sich aber doch eh längst erledigt da der OP wie es scheint irgendwas mit Linux basteln will.

Zum Vergrößern anklicken....

https://de.wikipedia.org/wiki/SSL-VPN, siehe ab Client-Sicherheit.

http://www.cisco.com/c/en/us/suppor...ext-generation-firewalls/70475-webvpnasa.html

ASA 5500 Konfigurationsbeispiel zu diesem Thema, man kann sich auch an die Hotlinie wenden. Suche nach Java im Artikel hilfreich.

http://www.sicherbyte.com/home/ kann man sich an einen Herrn Dr. R. Schwedler wenden.

Cisco / Sicherbyte ist anzunehmen das keine kostenfreie Beratung erhaeltlich ist.

Schoen das Dell einen Client hat, auch Juniper hat einen der fuer die eigenen Produkte zur Verfuegung steht, andere Hersteller bieten dies nicht und empfehlen Einwahl ueber den Browser.

Von den Sicherheitsproblemen bzgl. SSL / HTTPS ganz zu schweigen.

Neben dem ganzen Heimanwender-Computer-Geraffel haben wir dann noch x Industriesysteme vorallem im Anlagen- und Fertigungsbereich und alle haben einen Client, einen nativen, schoen waere es, dass nur mal so nebenbei erwaehnt.

MfG

Fast jeder VPN Softwarehersteller bietet auch eine eigene Clientsoftware, die unabhängig vom installierten Browser(n) arbeitet. Das Installieren der Clientsoftware über den Browser lässt sich deaktivieren/sperren, ebenso die Nutzung des Web-VPNs.

Was eine Industrieanlage mit einem VPN-Client im Netz verloren hat -> gar nichts

Tom_123 schrieb:

Fast jeder VPN Softwarehersteller bietet auch eine eigene Clientsoftware, die unabhängig vom installierten Browser(n) arbeitet. Das Installieren der Clientsoftware über den Browser lässt sich deaktivieren/sperren, ebenso die Nutzung des Web-VPNs.

Was eine Industrieanlage mit einem VPN-Client im Netz verloren hat -> gar nichts

Zum Vergrößern anklicken....

Aus der Antwort laesst sich schliessen, dass schon eine betraechtliche Anzahl von Anlagen wie Verpackungs- und Transferlinien der jeweiligen Hersteller entwickelt und montiert und diese bei den Kunden im Stoerungsfall betreut wurden um zu wissen wie dies in der Praxis teilweise gehandhabt wird.

Fuer was manche jahrzehnte ihre Taetigkeit ausueben und Erfahrung sammeln und sich erlauben einen Hinweis zu geben der darauf beruht wie manches im "echtem" Leben vorkommt, dass ist schon absurd, da es ja einfach reicht die Gott sei Dank existierenden Experten in den Foren, die immer genau wissen wie etwas allgemein und ueberall gehandhabt wird, zu fragen.

MfG

Hi,

ich würde prinzipiell keinen Server ins öffentliche Netz stellen. Dann lieber DMZ+zb. Open VPN oder eine kleine Cisco ASA. Die kosten auch nicht mehr die Welt.

Ich habe den VPN Zugang zwischenzeitlich mit OpenVPN in einer Archlinux VM realisiert, was auch wunderbar funktioniert.

Da ich den Server bei der Anschaffung 2006 nicht konfiguriert habe sondern ein richtiger IT-Techniker, war mein einziges Anliegen, das System durch den neuen VPN-Zugang nicht unsicherer zu machen als es vorher möglicherweise eh schon war, damit mir nachher keiner an die Karre pisst wenn sich doch mal jemand Zugang zum System verschaffen sollte, was bei Windows Server 2003 sicher als allerletztes über den sicheren VPN-Zugang in der VM passieren dürfte.

@bumbklaatt: Schön, dass es so funktioniert wie du es willst

@Fantana:

Aus der Antwort laesst sich schliessen, dass schon eine betraechtliche Anzahl von Anlagen wie Verpackungs- und Transferlinien der jeweiligen Hersteller entwickelt und montiert und diese bei den Kunden im Stoerungsfall betreut wurden um zu wissen wie dies in der Praxis teilweise gehandhabt wird.

Fuer was manche jahrzehnte ihre Taetigkeit ausueben und Erfahrung sammeln und sich erlauben einen Hinweis zu geben der darauf beruht wie manches im "echtem" Leben vorkommt, dass ist schon absurd, da es ja einfach reicht die Gott sei Dank existierenden Experten in den Foren, die immer genau wissen wie etwas allgemein und ueberall gehandhabt wird, zu fragen.

MfG

Zum Vergrößern anklicken....

Wenn du schon einen Fernzugriff auf Industrieanlagen einrichtest und Cisco-Hardware benutzt, wozu brauchen dann die Industrieanlagen ein eigenes VPN?
Die Anlagen kommen in ein separates VLAN, getrennt von den restlichen VLANs und der Fernzugriff zu Wartungszwecken kann über die entsprechende Cisco Hardware + ACL realisiert werden. Dann bekommt die Wartungsfirma einen VPN-Zugang und mit der ACL ist sichergestellt, dass sie nur im Bereich der Industrieanlagen bewegen.

Tom_123 schrieb:

Was eine Industrieanlage mit einem VPN-Client im Netz verloren hat -> gar nichts

Zum Vergrößern anklicken....

So sehe ich das auch