[2003] TS over VPN en daarna ...

[ImmortalSoul]

Hallo,
Voor mijn stage moet ik een opdracht uitvoeren die als volgt gaat:
Gebruikers (5 max) moeten vanaf een willekeurige geografische plaats toegang kunnen maken met servers die binnen een datacenter staan.

De suggestie is als volgt:
- Gebruiker zet eerst een VPN verbinding op zodat die toegang heeft tot het netwerk.
- Daarna wordt er toegang gemaakt met een Terminal Server.
- Op deze terminal server moet de gebruiker een (door mij geselecteerde) keuze scherm krijgen waarop hij een server kan selecteren, die dan vervolgens ook weer wordt benaderd dmv RDP.

Omdat dit op een willekeurige computer moet uitgevoerd wordt, willen we graag dat er zo min mogelijk software wordt geinstalleerd om het zo makkelijk mogelijk te maken. Een VPN client is wel noodzakelijk lijkt me.
En uiteraard is het de bedoeling dat alles zo veilig en secure mogelijk gaat, en dat er na een aantal dagen geen mogelijkheid is om een VPN/TS of RDP sessie op te zetten.

Aangezien mijn praktijkervaring met VPN en TS nog niet zo heel groot is heb ik hier een aantal vragen over:
- VPN accounts, de toegang kan ik regelen met AD accounts, toch? Zodat ik hier de logon hours en account lockout datum kan instellen?
- TS account, wederom hetzelfde als hierboven. Maar dit zou eigenlijk niet nodig moeten zijn omdat dit niet mogelijk is wanneer geen VPN verbinding is.

Ikzelf heb altijd in een citrix omgeving gewerkt (en ook een beetje beheerd) en ik weet niet wat de mogelijkheden zijn met Microsoft TS.
- Is het mogelijk dat wanneer de gebruiker verbinding maakt met vpn, daarna inlogt op de betreffende Terminal server en dat hij dan een scherm krijgt (dus geen desktop) waarbij hij RDP kan selecteren en verbinding maakt met een server.

Dit is nog voor een redelijk klein bedrijf, hardware is al beschikbaar maar ze willen zo min mogelijk nieuwe software aanschaffen. TS CAL's zullen waarschijnlijk wel moeten gekocht worden, maar liever niet.

[Question Mark]

Waarom zit die terminal server er tussen?

Op het moment dat een gebruiker een VPN-verbinding heeft kan hij toch rechtstreeks verbinden met welke server dan ook. Da's ook de gedachte achter een VPN-verbinding.

Jij laat de gebruikers eerst via VPN verbinden, om eerst aan te loggen op één Terminal Server (spof) waarna hij pas de andere servers mag bereiken. Wat wil je daarmee bereiken?

[ImmortalSoul]

Om eerlijk te zijn is die opdracht zo voor mij omschreven door iemand die nog niet veel kennis heeft op dat gebied, maar nu je het zegt is het eigenlijk veel logischer om dan gewoon direct met de andere servers te verbinden.

Wat voor voordelen/security of extra's zou die terminal server nog kunnen bieden?
Aangezien die gebruikers dan meteen toegang hebben tot het hele netwerk zodra ze die VPN verbinding hebben.

Even terzijde, dit is het eerste project (van de 3) voor mijn afstudeerstage, dus een beetje moeilijkheid mag er wel in zitten

[ Voor 25% gewijzigd door ImmortalSoul op 05-02-2009 14:21 ]

[ImmortalSoul]

Wat zou voor de security beter zijn?
* VPN verbinding opzetten met het netwerk en dan een server benaderen.
* Poorten open zetten zodat de TS direct benaderd kan worden via RDP.

Naar mijn mening kan ik beter de onderste oplossing gebruiken.

Maar dan heb ik nog steeds deze vraag (ik weet dat het kan in citrix, maar ook in TS?):
* Is het mogelijk dat wanneer de gebruiker verbinding maakt met vpn, daarna inlogt op de betreffende Terminal server en dat hij dan een keuze scherm krijgt (door mij gemaakt, dus geen desktop) waarbij hij RDP kan selecteren en verbinding maakt met een server.

[ImmortalSoul]

ImmortalSoul schreef op vrijdag 06 februari 2009 @ 14:12:
Maar dan heb ik nog steeds deze vraag (ik weet dat het kan in citrix, maar ook in TS?):
* Is het mogelijk dat wanneer de gebruiker verbinding maakt met vpn, daarna inlogt op de betreffende Terminal server en dat hij dan een keuze scherm krijgt (door mij gemaakt, dus geen desktop) waarbij hij RDP kan selecteren en verbinding maakt met een server.

De bovenstaande vraag staat nog steeds. Ik kan er geen duidelijk antwoord van vinden, en de enigste ervaring die ik heb is met citrix.

En ik heb zojuist nog even 10 TS CAL's "gevonden".

De bedoeling is simpelweg dat een gebruiker verbinding maakt met VPN en daarna uitkomt op de TS server. Hij/zij moet alleen maar op de TS server kunnen en verder helemaal niks.

Vanaf de TS willen we dan de toegang naar de overige servers regelen.

[ Voor 31% gewijzigd door ImmortalSoul op 11-02-2009 15:51 ]

[sh4d0wman]

ImmortalSoul schreef op vrijdag 06 februari 2009 @ 14:12:
Wat zou voor de security beter zijn?
* VPN verbinding opzetten met het netwerk en dan een server benaderen.
* Poorten open zetten zodat de TS direct benaderd kan worden via RDP.

Naar mijn mening kan ik beter de onderste oplossing gebruiken.

Uit security oogpunt gezien is het veiliger om eerst een VPN op te bouwen en daarna een RDP sessie. Elke extra beveiligingslaag brengt een stukje meer veiligheid met zich mee.

Voordelen:
- Gebruiker moet nu eerst succesvol geïdentificeerd (VPN client/certificaat/ip-adres) en geauthentiseerd (wachtwoord/token/passcode) worden. Hierna kan men pas een inlogpoging ondernemen op de TS.
- Je hebt de RDP poort niet publiekelijk beschikbaar. Een exploit in RDP zou anders personen toegang kunnen geven. Tevens zou men de inlog kunnen bruteforcen (proberen van diverse username/wachtwoord combinaties)

Nadelen:
- Extra investering in VPN hardware. (Kan meestal echter wel met een firewall geintegreerd worden. Ik neem aan dat die al wel aanwezig is)

[Question Mark]

sh4d0wman schreef op woensdag 11 februari 2009 @ 16:03:
[...]
Elke extra beveiligingslaag brengt een stukje meer veiligheid met zich mee.

Elke extra laag brengt ook een extra spof (single point of failure) met zich mee....

@TS:

Heb je al eens gekeken naar de Terminal Services Gateway die met Windows 2008 geintroduceerd is? Klinkt precies als wat je wilt.....

[DJSmiley]

Je hebt het over 'vanaf elke lokatie'.

Mijn ervaring is dat VPN lang niet overal werkt: Denk aan hotels, hotspots enz. VPN tunnels opbouwen werkt lang niet altijd.

Een (betere) oplossing is imho SSL-VPN. Je kan het dan gewoon via een webbrowser afhandelen en de kans is een stuk kleiner dat je connectieproblemen hebt. Eventueel dit met Vasco tokens (oid) voorzien van dynamische toegangsverificatie.

[Question Mark]

DJSmiley schreef op woensdag 11 februari 2009 @ 19:21:
Een (betere) oplossing is imho SSL-VPN.

Da's dus precies wat de TS gateway doet. Al het RDP verkeer wordt via https verzonden/versleuteld. (identiek aan de Citrix Access Gateway). Je bent dan inderdaad af van alle firewal ellende bij externe partijen. SSL staat practisch altijd wel open.

TS Gateway uses Remote Desktop Protocol (RDP) over HTTPS to establish a secure, encrypted connection between remote users on the Internet and the internal network resources on which their productivity applications run.

Bovendien kunnen met zogenaamde connection policy's nog erg leuke zaken geregeld worden.

[Leon T]

Een erg netwerktechnische oplossing:
Zet een ASA5505 met ASA8 erop neer. Gebruikers kunnen vervolgens via een webbrowser inloggen op het apparaat (met je tokens bijvoorbeeld). Op een ASA kan je een plugin installeren, waarmee je vanuit die webvpn sessie rdp sessies kunt opzetten (en hier kan je dan ook weer instellen welke gebruiker waar naar toe kan, zodat je die extra hop nog niet eens nodig zou hebben).

Dan heb je je hele oplossing in 1 goedkoop apparaatje gecentraliseerd.

[ Voor 6% gewijzigd door Leon T op 11-02-2009 19:44 ]

[ImmortalSoul]

sh4d0wman schreef op woensdag 11 februari 2009 @ 16:03:
[...]

Uit security oogpunt gezien is het veiliger om eerst een VPN op te bouwen en daarna een RDP sessie. Elke extra beveiligingslaag brengt een stukje meer veiligheid met zich mee.

Dat ga ik waarschijnlijk dan ook de keuze voor maken ...
Maar heb ik dan de mogelijkheid om alles te blokkeren voor de gebruiker zodat ze alleen maar naar de TS server kunnen?

Heb je al eens gekeken naar de Terminal Services Gateway die met Windows 2008 geintroduceerd is? Klinkt precies als wat je wilt.....

Ja, tijdens mijn zoektocht was ik dat al tegengekomen, en ik heb het ook voorgesteld. Maar dat was helaas geen optie omdat er dan een nieuwe licentie moet gekocht worden.

Je hebt het over 'vanaf elke lokatie'.

Mijn ervaring is dat VPN lang niet overal werkt: Denk aan hotels, hotspots enz. VPN tunnels opbouwen werkt lang niet altijd.

Een (betere) oplossing is imho SSL-VPN. Je kan het dan gewoon via een webbrowser afhandelen en de kans is een stuk kleiner dat je connectieproblemen hebt. Eventueel dit met Vasco tokens (oid) voorzien van dynamische toegangsverificatie.

In feite is het vanaf elke willekeurige geografische locatie. De bedoeling is dat de gebruikers training krijgen op een SAN server. Deze staan in een serverruimte en worden meestal binnen het eigen gebouw/netwerk met RDP bezocht. En de vraag is nu of dit dus ook (secure/snel) via het internet kan.

Deze trainingen worden dus op een ander bedrijf gegeven, waar er (hopelijk) een stabiele verbinding is.