RDP vs VPN

[Verwijderd]

Aloha,

Ik was bezig met het tot stand brengen van een windows VPN verbinding richting een Linksys WRT54G router met daarachter server SMB2003/2003 standaard/2 clients die ik dan zou gaan overnemen via RDP .
Ik begreep van de leverancier dat de router moet werken met VPN. Nu heb ik me een breuk zitten kloten om dat aan de gang te krijgen. Er zijn 2 soort routers , met ingebouwde vpn module (client/server) of met VPN Passthrough. Nu heeft mijn router passthrough en dacht ik dat het zou werken want hij laat het immers door. Mijn gedachten bij passtrough was dat hij gewoon alles doorlaat en met een client/server kan je het beter dichttimmeren en configureren. Na 3 dagen toch maar even linksys gebeld en die melden mij dat er alsnog poorten open moeten want de passthrough is van binnen naar buiten en niet van buiten naar binnen. Even een poort 3389 open gezet voor RDP en hopla werkt als een tierelier. De poort opengezet richting intern IP van de SMB2003 en vandaaruit weer de clients overnemen.
Ikke zijn blij.

Na dit lange verhaal is eigenlijk nog mijn vraag (nav van de opmerking van een linksysmedewerker):

Is de encryptie van RDP voldoende of is VPN toch echt wel beter ?
Ik heb de linksys medewerker mijn wens doorgegeven en dat was het opzetten van een vpn naar de router?server SMB2003 en daarna met rdp de clients overnemen. Nu zei hij dat hij dat ietswat overdone vond want rdp is ook encrypted en dan ga je het dubbel toepassen. Hij zei dat de enige zwakke schakel je provider is en als je die niet kan vertrouwen dat het toch ophoudt. Ik geloof dit verhaal niet helemaal vandaar dit topic.

Mijn bedoeling van dit hele verhaal is dat ik deze routers inzet en dan van thuis uit wil overnemen voor onderhoud aan systemen wat remote zou kunnen (virusscan/spyware/updates enz).

[Verwijderd]

Hangt eran af hoe sterk je wachtwoord is.

Meestal worden VPN's gebruikt als er wat meer nodig is dan alléén RDP. Bovendien zou je één vaste account kunnen maken met een moeilijk wachtwoord dat elke maand wijzigt.

[ Voor 3% gewijzigd door Verwijderd op 03-10-2005 09:39 ]

[Poltergeist]

VPN heeft als groot voordeel dat je computer deel uitmaakt van het netwerk waar je contact mee maakt. Kan makkelijk zijn voor bestandsoverdracht e.d.

VPN passthrough is gewoon een kwestie van poort 1723 openzetten naar de server (dan wordt het GRE protocol (meestal) ook doorgezet) en een VPN server opzetten op die server: Oftewel: de server moet voor de authenticatie zorgen, niet de router.

[Verwijderd]

Het is zeker niet overdone. Je RDP mag dan weliswaar encrypted zijn, maar iedereen die jouw IP adres intypt zal in een windows-login-prompt terecht komen. Die kan dus alvast beginnen met het raden van wachtwoorden. Het raden van een username/wachtwoord is dan ook het enige wat hij moet doen.

Daarnaast heb je dan de service RDP welke van buitenaf beschikbaar is. Als daar ooit een lek in ontdekt wordt, ben je (dus) direct het haasje.

Als je nu een VPN gebruikt, dan komt 'de hacker' niet meteen op de loginprompt. Hij zal eerst de VPN tunnel op moeten zetten.

Dat is dus wel degelijk een extra laag security, die dus niet overbodig is.

Aan de andere kant, heel pragmatisch bekeken heeft de helpdeskmedewerker wel een beetje gelijk. Zo'n vaart zal het allemaal niet lopen. Dat neemt echter niet weg dat er zeker wel argumenten zijn voor een VPN.

Wat je overigens ook kunt doen, is die linksys de tunnel laten opzetten. Deze kan tegen je AD authenticeren via radius, bv.

[ Voor 9% gewijzigd door Verwijderd op 03-10-2005 09:45 ]

[Verwijderd]

Poltergeist schreef op maandag 03 oktober 2005 @ 09:40:
VPN heeft als groot voordeel dat je computer deel uitmaakt van het netwerk waar je contact mee maakt. Kan makkelijk zijn voor bestandsoverdracht e.d.

VPN passthrough is gewoon een kwestie van poort 1723 openzetten naar de server (dan wordt het GRE protocol (meestal) ook doorgezet) en een VPN server opzetten op die server: Oftewel: de server moet voor de authenticatie zorgen, niet de router.

Dus als ik VPN wil moet ik ook de poort voor VPN openzetten op de router neem ik aan ?
Bij de meeste gevallen staat er geen Server ter plekken maar gewoon XP stations.
Als ik bij iedereen op de router een RDP poort open gooi en zonder vpn werk kan ik bij een lek alle routers af. Als ik VPN gebruik is de openstelling naar internet natuurlijk minder, dus minder gevaar.

[ Voor 6% gewijzigd door Verwijderd op 03-10-2005 10:31 ]

[Verwijderd]

Verwijderd schreef op maandag 03 oktober 2005 @ 09:44:
Het is zeker niet overdone. Je RDP mag dan weliswaar encrypted zijn, maar iedereen die jouw IP adres intypt zal in een windows-login-prompt terecht komen. Die kan dus alvast beginnen met het raden van wachtwoorden. Het raden van een username/wachtwoord is dan ook het enige wat hij moet doen.
Daarnaast heb je dan de service RDP welke van buitenaf beschikbaar is. Als daar ooit een lek in ontdekt wordt, ben je (dus) direct het haasje.


Als je nu een VPN gebruikt, dan komt 'de hacker' niet meteen op de loginprompt. Hij zal eerst de VPN tunnel op moeten zetten.

Dat is dus wel degelijk een extra laag security, die dus niet overbodig is.

Aan de andere kant, heel pragmatisch bekeken heeft de helpdeskmedewerker wel een beetje gelijk. Zo'n vaart zal het allemaal niet lopen. Dat neemt echter niet weg dat er zeker wel argumenten zijn voor een VPN.

Wat je overigens ook kunt doen, is die linksys de tunnel laten opzetten. Deze kan tegen je AD authenticeren via radius, bv.

een vpn tunnel opzetten is ook meestal niet meer dan een username en pw opgeven (je kan natuurlijk wel je eigen policies bedenken als je ipsec/l2tp gebruikt), zeker als je de vpn opzet naar dezelfde machine is dat absoluut geen steekhoudend argument. Het is zelfs erger, want dan heb je (op een linksys /simpele firewall) gelijk wel veel meer mogelijkheden, behalve rdp heb je dan ook netbios etc tot je beschikking.

verander de standaard port van rdp en je hebt geen last van eventuele exploits/wormen die er mogelijk kunnen komen.

[Verwijderd]

Verwijderd schreef op maandag 03 oktober 2005 @ 11:48:
een vpn tunnel opzetten is ook meestal niet meer dan een username en pw opgeven (je kan natuurlijk wel je eigen policies bedenken als je ipsec/l2tp gebruikt), zeker als je de vpn opzet naar dezelfde machine is dat absoluut geen steekhoudend argument. Het is zelfs erger, want dan heb je (op een linksys /simpele firewall) gelijk wel veel meer mogelijkheden, behalve rdp heb je dan ook netbios etc tot je beschikking.

Nofi, maar kul. Het geeft 0 meer mogelijkheden. Je maakt nog steeds gewoon een netwerkverbinding. Alle (on)mogelijkheden van de netwerkverbinding blijven gelijk.

Als je via de VPN toegang hebt tot Netbios, dan heb je dat via 'de normale' route ook. Het is maar net hoe je e.e.a. instelt.

verander de standaard port van rdp en je hebt geen last van eventuele exploits/wormen die er mogelijk kunnen komen.

Dit is echt totale onzin. Een exploit haal je niet weg door een port nummertje te veranderen (tenzij het poortnummer een cruciaal onderdeel was van die specifieke exploit. Wormen zal het wel enigszins tegen helpen, daar die vaak 'dom' zijn (lees: hard-coded poortnummers etc).

Wat jij daar propageert heet ook wel 'security by obscurity' en is zo ongeveer de slechtste vorm van beveiliging die je kunt bedenken.

HET grote voordel van een VPN tunnel, is dat indien die gekraakt wordt, de hacker nog niet direct toegang heeft tot je machine. Met RDP houdt een kraak in dat men is ingelogged, en dus toegang heeft. VPN is gewoon een extra laag security.

En of je nu via een routertje of via windows zelf de VPN tunnel laat opzetten: het is perfect mogelijk een VPN tunnel te maken waar alleen RDP door kan. Als je dan toch jouw obscure beveiligingstechniek wilt toepassen, kun je zelfs de RDP nog op een andere poort zetten.

[ Voor 4% gewijzigd door Verwijderd op 03-10-2005 12:15 ]

[Verwijderd]

Kijk nu zijn we aan het discussieren.

Kijk het gaat mij niet om hightech security want daarvoor valt er bij mij niets te halen en ook niet bij degene waar ik onderhoud pleeg. Kijk voor grotere bedrijven is het een ander verhaal , maar daar zet je ook geen linksys routertje neer zonder externe firewall/VPN router. Je moet het zien als een netwerkje van tot 4 systemen van een klein bedrijfje wat ik onderhoud en van thuis uit wil kunnen benaderen om onnodig op en neer reizen te voorkomen. Wat je remote kan doen moet je vooral doen denk ik.
Vanuit dit verhaal leek mij VPN icm RDP wel voldoende, nogmaals het zijn kleine netwerkjes waar dus geen duizenden euro's te roven zijn ofzo.

[ChaserBoZ_]

Het gaat niet alleen om roven misbruik van bandbreedte, spam enz . . .

Ik RDP ook veel, maar altijd via een (Open)VPN tunnel. Hack je die tunnel, dan kun je de hosts op het netwerk zien, dan nog heb je je normale username/password combinaties. In de meeste routers kun je ook nog instellen dat port forwarding (voor RDP of de tunnel) alleen gebeurd als het verkeer vanaf een bepaald IP adres afkomstig is.

Dan maak je het nog wat strakker.

[alt-92]

*ting*
RRaS VPN met caller ID aan zodat je alleen van 1 ip per user kan inbellen.

[ Voor 6% gewijzigd door alt-92 op 03-10-2005 20:44 ]

[Poltergeist]

Als er geen centrale server is, wordt het opzetten van een VPN ook lastig. Je zou ook bijvoorbeeld eens kunnen kijken naar Hamachi. Is gratis, en je hoeft ook de routers er niet voor aan te passen.

Als je een VPN server op 1 machine installeert, kun je via dat VPN het complete netwerk bereiken. Als je met RDP alle machines binnen dat netwerk wilt bereiken (dus zonder VPN), moet je poortnummers gaan aanpassen (want je kunt poort 3389 maar naar 1 IP adres doorzetten), en elke poort doorrouten naar de betreffende PC.

[Verwijderd]

Hoe kom je daar nu bij? Je kunt gewoon alle PC's via RDP benaderen (indien je dat wilt) op poort nummer 3389. PC's hebben naast poortnummers ook een IP adres.

//edit
ah, nev mind, ik moet beter lezen. Het doorzetten van poorten noem je als iets wat in de situatie zonder VPN moet.

Dan nog is het overigens niet waar, want je kunt vanaf je 1e machine gewoon de 2e overnemen. RDP is geen VNC, het trekt het makkelijk 2 lagen diep.

[ Voor 49% gewijzigd door Verwijderd op 03-10-2005 20:56 ]

[alt-92]

Of je maakt een lan2lan vpn tussen 2 of meerdere routers.

Verwijderd schreef op maandag 03 oktober 2005 @ 20:55:
Hoe kom je daar nu bij? Je kunt gewoon alle PC's via RDP benaderen (indien je dat wilt) op poort nummer 3389. PC's hebben naast poortnummers ook een IP adres.

Knappe jongen die 3 PCs op dezelfde RDP poort met één publiek IP adres kan overpakken.

Nee, rdp in rdp is niet echt succesvol;)

[ Voor 83% gewijzigd door alt-92 op 03-10-2005 20:57 ]

[ChaserBoZ_]

Tenzij jij geen route hebt naar een pc die rdp draait, waarbij een andere rdp pc wel een route ervoor heeft

[Verwijderd]

BackSlash32 schreef op maandag 03 oktober 2005 @ 20:55:
Of je maakt een lan2lan vpn tussen 2 of meerdere routers.

[...]

Knappe jongen die 3 PCs op dezelfde RDP poort met één publiek IP adres kan overpakken.

Nee, rdp in rdp is niet echt succesvol;)

Beter lezen .. RDP in RDP gaat dus gewoon prima. Doe ik regelmatig. Soms wel tot 3 of 4 lagen diep

[alt-92]

Verwijderd schreef op dinsdag 04 oktober 2005 @ 05:34:

Beter lezen .. RDP in RDP gaat dus gewoon prima. Doe ik regelmatig. Soms wel tot 3 of 4 lagen diep

RA met servers, ok.

XP desktops kun je maar beter niet 4x doordoen op een 256k up lijntje...

[Verwijderd]

Dat maakt dus geen moer uit he. Want je up lijntje wordt niet zwaarder belast, daar gaat immers nog steeds maar 1 RDP verbinding over. Zolang die XP desktops onderling maar een normaal netwerk hebben, is er niets aan het handje.

[Poltergeist]

Is het niet zo dat bij een RDP connectie met XP de gebruiker zelf niets meer kan doen? Dat wordt dan lekker: hulp nodig voor gebruiker Piet, dan kan ook de gebruiker Jan niet werken omdat zijn PC toevallig de machine is die de inkomende RDP connectie oppikt. Voor thuissituaties helemaal geen probleem, een bedrijf zal het wat minder prettig vinden.

[ChaserBoZ_]

Poltergeist schreef op dinsdag 04 oktober 2005 @ 08:49:
Is het niet zo dat bij een RDP connectie met XP de gebruiker zelf niets meer kan doen? Dat wordt dan lekker: hulp nodig voor gebruiker Piet, dan kan ook de gebruiker Jan niet werken omdat zijn PC toevallig de machine is die de inkomende RDP connectie oppikt. Voor thuissituaties helemaal geen probleem, een bedrijf zal het wat minder prettig vinden.

Nee dat is niet zo.

[Verwijderd]

Dat hangt er volgens mij vanaf hoe XP ingesteld staat m.b.t. de secondary logon. Ik durf het echter niet met zekerheid te zeggen of wat Poltergeist omschrijft waar is of niet.

[paella]

Op XP log je remote altijd in op de console. De evt. gebruiker achter dat ding wordt dus uitgelogd. Iets anders is Remote Assistance, maar daar hebben we het hier niet over.

[alt-92]

Verwijderd schreef op dinsdag 04 oktober 2005 @ 14:40:
Dat hangt er volgens mij vanaf hoe XP ingesteld staat m.b.t. de secondary logon. Ik durf het echter niet met zekerheid te zeggen of wat Poltergeist omschrijft waar is of niet.

Standaard pak je de console sessie. Probeer het maar eens uit
En die is niet zo licht als een Server RD admin sessie, om er dan 2 in elkaar te gebruiken wordt het een beetje stroperig.
Heeft niks met bandbreedte te maken maar met repaint van RD in een repaintende RD in een repaintende RD sessie.

[Verwijderd]

Ik gebruik veelvuldig RDP voor remote beheer met portmapping zonder VPN tunnel.
Als extra security gebruik een simpele toevoeging:
Een access list op de firewall bij de klant laat alleen RDP verkeer vanaf het vaste IP-adres van mijn beheer PC door.

[Verwijderd]

BackSlash32 schreef op dinsdag 04 oktober 2005 @ 19:57:
Standaard pak je de console sessie. Probeer het maar eens uit

De enige XP machine die ik zo af en toe via RDP overneem, is m'n eigen. En daar kan ik niet veel mee verder.

Toch is het nonsense wat je zegt. De XP RDP is gewoon hetzelfde als de 2k3 server RDP in remote administration mode. Zaken als een bureaubladachtergrond en de windows eyecandy heb ik sowieso al standaard uitstaan, en dan is het gewoon exact dezelfde RDP, dus geen moer meer of minder verkeer.

Heeft niks met bandbreedte te maken maar met repaint van RD in een repaintende RD in een repaintende RD sessie.

Ok, je noemde zelf bandbreedte, dus ik dacht dat je in de veronderstelling was dat dat er mee te maken had. Vandaar dat ik dat ontkrachtte

[paella]

Verwijderd schreef op dinsdag 04 oktober 2005 @ 20:36:
[...]


Toch is het nonsense wat je zegt. De XP RDP is gewoon hetzelfde als de 2k3 server RDP in remote administration mode. Zaken als een bureaubladachtergrond en de windows eyecandy heb ik sowieso al standaard uitstaan, en dan is het gewoon exact dezelfde RDP, dus geen moer meer of minder verkeer.

2003 heeft naast de console sessie nog de remote admin sessies (dus NIET console(!)). En DUS kan je meer tegelijk inloggen. Dat kan NIET bij XP, daar kan je alleen de console sessie pakken (en dus iemand uitloggen die achter de fysieke machine zit.

[Verwijderd]

Eh, pealla, dat spreek ik ook nergens tegen? Ik geef toch juist aan dat ik niet weet of je bij XP wel of niet secundair als RDP kunt aanmelden?

[paella]

Wat is dan nonsense wat die persoon zegt?

a) Poltergeist zegt "Is het niet zo dat bij een RDP connectie met XP de gebruiker zelf niets meer kan doen?"
b) Chazerbos_ zegt "Nee dat is niet zo."
c) Backslash32 zegt "Standaard pak je de console sessie."
d) dat vond jij nonsense

En punt a) is dus correct, lokaal (=console) kan je dus niets meer doen bij XP als RDP.

Of begrijpen we elkaar niet...?

zie bv. http://support.microsoft....aspx?scid=kb;en-us;280828

(het is dus trouwens wel mogelijk later een sessie voort te zetten, maar nooit om tegelijk te werken)

[ Voor 27% gewijzigd door paella op 04-10-2005 21:46 ]

[Valkyre]

er word gezegd dat je een x aantal lagen met RDP kan, dit is inderdaad zo maar helemaal niet handig.

wat veel makkelijker is is om de poort te redirecten,

aan de buiten kant neem je voor pc1 poort 5001 en intern 3389
voor pc2 poort 5002 en intern 3389

op die maar kan je gewoon naar Ip+ poort conneceten.

dus 123.123.123.123:5001 voor pc1
en 123.123.123.123:5002 voor pc2

en is ook beter beveligd omdat je aan de buitekant van je router niet op de standaard RDP poort zit.

[Verwijderd]

paella schreef op dinsdag 04 oktober 2005 @ 21:43:
Wat is dan nonsense wat die persoon zegt?

De nonsense was dat de XP RDP zwaarder of anders zou zijn dan die van een server.

Of begrijpen we elkaar niet...?

Bingo, we have a winner

[Verwijderd]

Poltergeist schreef op dinsdag 04 oktober 2005 @ 08:49:
Is het niet zo dat bij een RDP connectie met XP de gebruiker zelf niets meer kan doen? Dat wordt dan lekker: hulp nodig voor gebruiker Piet, dan kan ook de gebruiker Jan niet werken omdat zijn PC toevallig de machine is die de inkomende RDP connectie oppikt. Voor thuissituaties helemaal geen probleem, een bedrijf zal het wat minder prettig vinden.

Bij een bedrijfje zonder server zet je dan een xp machine neer die als centraal systeem fungeert in een werkgroep. Daar word niet direct op gewerkt maar is o.a datashare en backup punt. Dus daar connect je via VPN/RDP en neem je de werkstations over.

[Verwijderd]

Verwijderd schreef op dinsdag 04 oktober 2005 @ 20:10:
Ik gebruik veelvuldig RDP voor remote beheer met portmapping zonder VPN tunnel.
Als extra security gebruik een simpele toevoeging:
Een access list op de firewall bij de klant laat alleen RDP verkeer vanaf het vaste IP-adres van mijn beheer PC door.

Oke,
Maar je hebt remote beheer van de router bij de "klant" wel aan staan ,of heb je daar ook een allow op een vast (jouw IP) IP staan. En wat dan als jou externe ip veranderd ?
Ik wil het voor bedrijven of externe projecten wel redelijk safe hebben. Ben gewoon aan het bekijken hoe het redelijk safe kan.
Dus remotebeheer van de router via wireless uitzetten
Wireless security via shared WPA
Sidd naam verbergen of wijzigen in naam die niet duid op de bedrijfsnaam
Standaard IP en WW van router vanzelfsprekend veranderen
Ook mac security (vooral of alleen wireless)
Voor klanten eventueel DMZ instellen zodat bezoekers op internet kunnen
Eventueel alleen remote inloggen op de router via https
Poort 3389 forwarden naar centrale pc en vandaar rdp naar client

En de rest moet ik nog uitdokteren.

[Verwijderd]

Verwijderd schreef op woensdag 05 oktober 2005 @ 09:31:
[...]
Maar je hebt remote beheer van de router bij de "klant" wel aan staan ,of heb je daar ook een allow op een vast (jouw IP) IP staan. En wat dan als jou externe ip veranderd ?

Ik heb zowel het vaste IP adres op de zaak als thuis geconfigureerd staan.
Recent gingen we op de zaak (sneller dan verwacht) over naar een ander IP adres, toen kon ik vanaf thuis nieuwe IP adres configureren.

Ook voor remote beheer van de router gebruik ik dezelfde truc (of ik RDP naar de server intern, en configureer van binnenuit)

[Poltergeist]

Verwijderd schreef op woensdag 05 oktober 2005 @ 09:12:
[...]


Bij een bedrijfje zonder server zet je dan een xp machine neer die als centraal systeem fungeert in een werkgroep. Daar word niet direct op gewerkt maar is o.a datashare en backup punt. Dus daar connect je via VPN/RDP en neem je de werkstations over.

Oftewel: dan krijg je toch een soort van centrale server. In dat geval zou ik daar gewoon een VPN server op installeren. Lijkt me ivm beheer toch makkelijker werken dan een RDP client (die je dan nog steeds kunt gebruiken, maar dan nog even iets veiliger)

[Verwijderd]

Duidelijk allemaal.

Maar hoe pak ik het aan als het internet IP veranderd is ?. Kan dit ook geautomatiseerd worden ?

Meestal moet je op een poort aangeven welk extern IP mag connecten.