VPN-Server W2k8 R2 mit internem Firewall schützen

[AndSo 0]

Hallo,

 

ich möchte für einige (maximal 5 namentlich festgelegte) Benutzer eine Datenbank zur Verfügung stellen. Dazu will ich einen VPN-Server Windows 2008 R2 (eine neuere Lizenz habe ich nicht) konfigurieren. Es gibt eine feste öffentliche IP-Adresse, ich komme per RDP "von außen" auf den Server. Auch über das VPN, soweit alles klar.

 

Aber ich kann auch über die öffentliche IP-Adresse, also etwa mit \\123.123.123.222\Testfreigabe direkt auf den Testordner zugreifen, und das darf eben nicht sein. Auf diese Freigabe soll man nur über den VPN-Tunnel zugreifen können.

 

Wie kann ich dafür den Windows-Firewall konfigurieren? Danke für alle hilfreichen Antworten. 

 

 

Ergänzung zum OP:

 

Der Server läuft Stand-Alone, nicht in einer Domäne, die maximal 5 Benutzer werden lokale Konten haben.

[XP-Fan 217]

Hallo und herzlich Willkommen,

 

gibt es einen Router / Firewall zwischen dem Server und dem Internet ?

Wo sind denn die Einstellungen definiert worden für den direkten externen Zugriff auf die Freigaben des Servers ?

[AndSo 0]

>  gibt es einen Router/Firewall zwischen dem Server und dem Internet?

 

Nein. Jedenfalls keinen, den ich beeinflussen könnte. Deshalb möchte ich ja den internen Firewall nutzen.

 

Ich habe einfach einen Test-Ordner freigegeben, normale Freigabe also, und kann nach dem Aufbau des Tunnels die Freigabe über die interne 192.168.x.x. -Adresse als Netzlaufwerk verbinden. So soll es sein.

Es darf aber nicht über die öffentliche IP-Adresse gehen.

[XP-Fan 217]

Nein. Jedenfalls keinen, den ich beeinflussen könnte. Deshalb möchte ich ja den internen Firewall nutzen.

 

Hallo,

 

das solltest du schnellst möglich ändern, schalte eine Firewall / einen guten Router zwischen den Server und das Internet um Zugriffe / Angriffe

Dritter zu vermeiden. Die Freigaben prüfe mal wie die eingerichtet sind, ggf beende die Freigaben bis zur Sicherung durch eine Firewall.

[AndSo 0]

Nein, ich kann keinen Firewall und keinen Router dazwischen schalten.

Ja klar, ich würde es tun, wenn das ginge, meine Frage hätte ich dann nie gestellt.

 

Und: Es liegt aktuell keine Gefährdung vor, weil da nichts ist, was gefährlich werden könnte. Noch ist alles Spaß und in dem Modus, in dem geplant und getestet wird. Aber irgendwann - noch vor dem Jahreswechsel? - sollen an dieser Stelle durchaus produktive und damit sensible Daten sein, das ist dann kein Spaß mehr.

 

> Die Freigaben prüfe mal wie die eingerichtet sind

Was meinst Du damit?

[NeMiX 76]

Wenn du sensible Daten darüber bereitstellst, solltest du 100€ für einen vernünftigen Router ausgeben der die 5 User per VPN anbinden kann. Oder gibt es da eine technische Gründe die dagegensprechen?

 

Ansonsten kannst du mit der Windows Firewall alles dicht machen und dann nur die Ports aufmachen die benötigt werden. Mir persönlich wäre das viel zu unsicher.

[AndSo 0]

@NeMiX

 

Nein, noch einmal, das kann ich nicht. Ja, es sind technische Gründe.

 

Der Server steht vielleicht in Darmstadt, Jena oder bei Bremen, oder in Italien oder in Finnland. Keine Ahnung. Für Finnland spricht, dass dort im Jahresdurchschnitt die Kühlung billiger ist als in Italien. Die wirklichen Gründe, warum der Server da steht, wo(?) er steht, kenne ich nicht, muss ich auch nicht kennen. Das ist halt so, nicht meine Entscheidung. Das Einzige, was ich sicher weiß, ist eine IP-Adresse und das Betriebssystem - Windows Server 2008 R2.

 

Stünde der bei mir im Haus, wäre das kein Problem. Ich würde für die öffentliche IP-Adresse mit der ersten Regel VPN erlauben, mit der zweiten Regel RDP erlauben und mit der dritten alles verbieten. Und dann mal schauen. Die Verwaltung sollte gehen, SMB-Freigaben aber nur noch durch den Tunnel. Liefe dabei was schief, könnte ich immer noch direkt auf den Server zugreifen.

Aber so wie es ist habe ich habe gewaltige Angst, dass ich einen Fehler mache und dann draußen stehe. Autoschlüssel im Kofferraum und Klappe zu oder so.

Wer hat Erfahrung?

 

> Ansonsten kannst Du mit der Windows-Firewall  (...) Mir persönlich wäre das viel zu unsicher.

Ist das Dein Bauchgefühl oder gibt es Argumente für diese Aussage? Genau diese Frage ist sehr wichtig! Bei einem Router vor dem Server würde ich ja nichts anderes einstellen.

 

Danke für Deine Antwort.

.