neues VPN gesucht

[Beetlejuice 11]

Hallo liebe Gemeinde,

 

wir halten gerade Ausschau nach ein neuen VPN Lösung (Client-To-Server) für unser MA die auswärts oder auch intern in public Netzwerke arbeiten.

 

Wir haben da zb. folgende Anforderungen wie:

- Bindung an den Client (Domänen-Client), zb. via NAP.

- Zentraler Account aus der Domäne

- Subnetze routen

- Benutzer haben keine Admin-Berechtigungen

- Optional, der VPN Client benötigt keine Admin-Berechtigungen zum installiert oder einrichten (Nativer Windows VPN Client)

 

Was setzt ihr so ein und welche Schwierigkeiten seht ihr?

 

cu

[magheinz 110]

- Installation ohne Adminrechte dürfte schwierig werden.

- Bindung an den client verstehe ich nicht?

 

Was habt ihr denn so im Netz als firewall, router etc was als VPN-Endpunkt dienen könnte?

[Beetlejuice 11]

Bisher nutzen wir "noch" die TMG mit RADIUS und NAP. Damit können wir festlegen, dass "nur" Domänen-Rechner sich in das VPN einwählen können. Der MA kann den Account nicht missbrauchen um mit anderen Geräten (Handy, priv Laptop) sich in das Unternehmensnetzwerk zu verbinden.

 

vor 6 Minuten schrieb magheinz:

Was habt ihr denn so im Netz als firewall, router etc was als VPN-Endpunkt dienen könnte?

Lancom, SonicWall, Sophos, linux

 

 

 

 

[Dukel 454]

Nativer Windows Client? Always-On.

 

Auf welche Dienste sollen die Clients zugreifen? Evtl. kann man die einzelnen Dienste (abgesichert!) veröffentlichen.

[testperson 1.677]

Hi,

 

DirectAccess: https://docs.microsoft.com/en-us/windows-server/remote/remote-access/directaccess/directaccess

Ansonsten würde ich mich der Frage von Dukel nach den Diensten anschließen.

 

Gruß

Jan

[Beetlejuice 11]

So ziemlich alles was einem einfällt. Klar zunächst Fileserver und Mail aber auch diverse Entwicklungssysteme (ssh,rdp,DB‘s, VMs usw. und auch auf Kundensysteme durch internes Site-to-Site VPN.

 

Also recht viele Services. Es gibt halt MA die arbeiten nur im Off. Für die haben wir zwar eigene Home-VPN Router im Einsatz, aber das Client Vpn vom Laptop ist ebenfalls erforderlich.

 

Was nutzt ihr für VPN‘s und was für Dienste?

 

[lefg 276]

Zitat

Was nutzt ihr für VPN‘s und was für Dienste?

 

Moin

 

Ob jemand solche internen Dinge hier veröffentlicht? Das Wahren von Vertraulichkeit ist wohl bei allen Bestandteil des Arbeitsvertrages.

bearbeitet 17. Februar 2018 von lefg

[Beetlejuice 11]

Ok schon klar, die Frage war auch eher allgemein, sprich eher einzelne Services im Internet zu veröffentlichen oder besser vpn Tunnel. Und mit welchen vpn‘s ihr eher gute oder schlechte Erfahrungen gemacht habt.

 

Irgendwo muss man halt mal fragen

[lefg 276]

Ich versteh das schon.

 

Was empfehlt ihr?

 

Was würdet ihr empfehlen?

 

Womit habt ihr gute Erfahrungen gemacht?

 

Und falls es darauf keine Reaktion gibt, war es das wahrscheinlich. Dann wird man selbst gucken müssen was es gibt, dann nach Meinungen/Berichten dazu suchen.

bearbeitet 17. Februar 2018 von lefg

[magheinz 110]

ich würde schauen welche VPN-Lösung die Firewall hergibt. Eine andere Alternative ist das RDS-Gateway. Wie immer kommt es auf sie konkreten Anforderungen an.

[MurdocX 950]

Am ‎17‎.‎02‎.‎2018 um 08:14 schrieb testperson:

Hi,

DirectAccess: https://docs.microsoft.com/en-us/windows-server/remote/remote-access/directaccess/directaccess

Ein Kollege kam vor einiger Zeit mit der Aussage, dass DirectAccess nicht weiterentwickelt wird. Er hatte die Antwort bei Rahmenvertragsverhandlungen bei MS bekommen, wenn ich mich jetzt nicht komplett irre. 

 

Am ‎16‎.‎02‎.‎2018 um 21:35 schrieb Beetlejuice:

Wir haben da zb. folgende Anforderungen wie:

- Bindung an den Client (Domänen-Client), zb. via NAP.

- Zentraler Account aus der Domäne

- Subnetze routen

- Benutzer haben keine Admin-Berechtigungen

- Optional, der VPN Client benötigt keine Admin-Berechtigungen zum installiert oder einrichten (Nativer Windows VPN Client)

 

In der Sophos UTM (SG)  kannst du das alles abbilden. Die XG kann ich Dir aus meiner Erfahrung nicht empfehlen. Als Protokoll dann L2TP benutzen, das kann Windows in seinen Clients nativ. Von der Sophos musst du dich dann deinem RADIUS-Server bedienen, denn AD-Auth ist nur dann möglich. Lokale Auth ist auch ohne Radius möglich.

 

Falls du auf den RADIUS-Server verzichten willst, kannst du auch reine IPSec-Verbindungen benutzen, jedoch benötigst du dann einen anderen VPN-Client.

 

Die VPN-Verbindungen kannst du bequem über die Powershell einrichten. 

 

[NorbertFe 2.034]

vor 9 Stunden schrieb MurdocX:

Ein Kollege kam vor einiger Zeit mit der Aussage, dass DirectAccess nicht weiterentwickelt wird. Er hatte die Antwort bei Rahmenvertragsverhandlungen bei MS bekommen, wenn ich mich jetzt nicht komplett irre. 

Naja in 2016 ist es drin, also sind die nächsten 10 Jahre erstmal gesichert. Für oder wider ist bei da meist nicht die Weiterentwicklung, sondern eher ob man die Bedingungen erfüllen kann (Enterprise) und Applikationen hat die durch den Tunnel klarkommen.