Alles blockieren außer VPN

[marcy 10]

Moin,

 

ich würde gerne die Notebooks soweit einrichten, dass diese keinen direkten Zugang zum Internet (über LAN, WLAN oder UMTS) mehr haben, sondern erstmal eine VPN-Verbindung in die Lokalität aufbauen müssen. Über diese darf dann auch gesurft werden.

 

Gibt es eine Software über die sich das Vorhaben abbilden lässt? Ich hätte sonst gedacht, dass ich die Windows-Firewall nutze und eine Regel erstelle, die erstmal alle LAN und WLAN-Verbindung in alle Richtungen blockiert und nur Remotezugang aktiviert. Das gilt für die Profile öffentliche Netze und Heim- sowie Arbeitsplatz. Befindet sich der Benutzer mit seinem Notebook im Firmeninternen Netzwerk (z.B. am Standort) gilt diese Regel nicht.

 

Hat jemand Erfahrung damit? Gibt es Probleme, die dabei auftreten können?

 

Hintergrund ist, dass wir den Benutzer nicht mehr so wie jetzt alles im Netz machen lassen dürfen, sondern kontrolliert ihm vorschreiben, wohin und was er machen darf. Dieses ist natürlich auch mit Betriebsrat und Datenschützer abgesprochen und genehmigt.

[testperson 1.711]

Hi,

 

dieses Vorhaben sollte sich mit jedem VPN-Router / Firewall und einem dazu passenden VPN Client lösen lassen.

 

Alternativ könnte man auch eine Direct Access Lösung verwenden.

[marcy 10]

Ein VPN-Router (UTM-Firewall) ist bereits vorhanden. Leider kann der VPN-Client die das gewünschte Verhalten von oben nicht umsetzen.

 

Direct Access :confused::confused:

[testperson 1.711]

Hi,

 

was für eine UTM ist es denn und was für ein Client?

[marcy 10]

FortiGate und der dazugehörige FortiClient (Premium).

[testperson 1.711]

Hi,

 

das Stichwort sollte "Split Tunneling" sein.

 

http://docs.fortinet.com/cb/html/index.html#page/FOS_Cookbook/SSL-VPN/ssl_tunnel_mode.html

[marcy 10]

Das ist schon klar.

 

Das Problem liegt aber am Surfen, wenn der VPN-Tunnel nicht aufgebaut ist. Dann können diese ja über 3g, Wlan, Lan, surfen (je nach dem was gerad zur Verfügung ist). Und das soll nicht sein.

[testperson 1.711]

Hi,

 

das wird bei uns über einen Proxy erledigt.

[marcy 10]

Das ist natürlich auch eine Möglichkeit. Die FortiGate kann ja Proxy spielen.

Per Gruppenrichtlinie den entsprechenden Geräten dann diese IP verpassen und schon ist Ende mit Internet ohne Proxy.

[marcy 10]

Und was macht Ihr mit Software auf Notebooks, die z.B. auch ohne Proxy ins Internet gelangen? Meine wenn sich der Mitarbeiter irgendeine Portable App runterläd und dort sein IMAP-Konto einrichtet.

[testperson 1.711]

Hi,

 

diese könntest du mit AppLocker verbieten.

Windows 7 AppLocker im Überblick