Locatie Terminal Server in netwerk

[Cai]

Situatie

code:

                              Internet
                                  |
                                 \ /
                              Firewall
                                  |
                                 \ /
                                Lan

In het Lan staat:
- SBS 2003
- Document Management Server (DMS) (W2k3)
- RSA Ace authenticatie server
- 15 werkstations

Probleem
Nieuw te plaatsen Terminal Server(TS) 2008 beveiligd met RSA token authenticatie. Gebruikers kunnen op de TS alles wat ook lokaal op een werkstation kan (toegang tot SQL, DMS, Shares, Exchange, Etc).

Waar plaats ik deze binnen het netwerk?

Overwegingen
Plaatsing binnen een DMZ, waarbij voor elke functionaliteit binnen de firewall exception rules worden gecreerd.
Nadeel
Echter staan er na alle exceptions zoveel poorten open dat heel het principe van een DMZ weg valt. Ongeauthoriseerde toegang tot de TS betekend toegang tot alles.
---------------------------------

Plaatsing binnen het LAN
Nadeel
Veiligheidsrisico
---------------------------------

Eerst een VPN verbinding alvorens toegang tot de TS te verschaffen.

RSA 7.1 i.c.m. RADIUS authenticatie werkt alleen met niet-versleutelde wachtwoorden (PAP). Dit houdt in dat met de standaard instellingen om een PPTP verbinding op stellen in een Windows client, dat de "domme"gebruiker de authenticatie protocollen moet aanpassen.

Dit kan je afvangen met CMAK, helaas werkt de CMAK tool weer niet op x64 client platforms. Daarnaast geldt nog steeds, ongeauthoriseerde toegang, is toegang tot het hele netwerk.

Een IP-Sec verbinding opzetten levert slechte performance op i.c.m. RDP.

Nadeel
Gebruikersonvriendelijk
-----------------------------------------------
Citrix i.c.m. beveiligingscertificaten
Kosten te hoog i.v.m. gering aantal gebruikers.

Elke input is welkom

[Menblack]

Windows 2008 ondersteund ook RDP over Http is dat geen optie ?
Dan kan de Proxy in het dmz staan en de ts server in het 'normale' netwerk.
En je hebt geen gedoe met vpn's

[Cai]

Menblack schreef op maandag 12 oktober 2009 @ 12:05:
Windows 2008 ondersteund ook RDP over Http is dat geen optie ?
Dan kan de Proxy in het dmz staan en de ts server in het 'normale' netwerk.
En je hebt geen gedoe met vpn's

Maar is dit per definitie veiliger dan wanneer je de ts over 3389 direct met het internet verbindt?

[ Voor 0% gewijzigd door Cai op 12-10-2009 12:56 . Reden: Typo ]

[Menblack]

Er zit niet veel verschil in.

Maar voordelen zijn wel dat het https is en vrijwel altijd open staat wat bij 3398 niet altijd zo is.
En je kan nap gebruiken en gebruikers weigeren als ze geen uptodate virus scanner hebben.
Maar dat is misschien TE voor een paar gebruikers.

[Verwijderd]

Helaas meld je niet wat voor firewall je gebruikt. Veel firewalls, zoals bijvoorbeeld Junipers en de Cisco ASA (en ongetwijfeld nog veel meer) hebben de mogelijkheid een SSL VPN op te zetten. Dit kan ook clientless. Je krijgt dan een beveiligde verbinding met je TS, en kunt nog steeds gewoon gebruik maken van de RSA authenticatie. Misschien het overwegen waard?

[jvanhambelgium]

Het probleem is inderdaad niet zozeer de beveiliging van de datastroom "an sich" maar het feit dat de TS gelijk ook de deur gaat openen tot al de rest is.

Je moet vermijden dat clients rechtstreeks op zo'n machine terecht komen want dan zitten ze netwerktechnisch "binnen" met een stream.

er moet dus ideaal nog een component tussen

1) Een reverse-proxy indien je rdp-over-http(s) zou kunnen doen
2) Een (SSL)-VPN (vb Juniper SA-xxxx) die stevige "application delivery" functionaliteiten heeft.
Men kan in zo'n SA unit een aan Citrix/Terminal Servers profiel definieren en shares etc beschikbaar stellen op een Windows/Unix netwerk zonder dat de clients moeten inloggen op een "echte windows server"
De unit zal dus "intermediate" spelen tussen client en terminal server.
En uteraard nog zoveeel meer mogelijkheden.

Op die manier kan je de proxy/ssl-vpn in een DMZ plaatsen en de eigenlijke TS kan dan dieper in het netwerk staan.

[Cai]

Verwijderd schreef op maandag 12 oktober 2009 @ 22:50:
Helaas meld je niet wat voor firewall je gebruikt. Veel firewalls, zoals bijvoorbeeld Junipers en de Cisco ASA (en ongetwijfeld nog veel meer) hebben de mogelijkheid een SSL VPN op te zetten. Dit kan ook clientless. Je krijgt dan een beveiligde verbinding met je TS, en kunt nog steeds gewoon gebruik maken van de RSA authenticatie. Misschien het overwegen waard?

Firewall is een Juniper SSG-5

[Verwijderd]

Terminal Services gateway lijkt me toch een goede oplossing? Wellicht SSL open, maar je kunt kiezen om de poort te redirecten. In combinatie met een certificaat lijkt me dit netjes

http://technet.microsoft..../cc731264%28WS.10%29.aspx

SSG-5 kan geen SSL VPN, Cisco ASA 5505 wel(ook niet zo duur) als dat je voorkeur heeft

[Koffie]

De tS zet je uiteraard gewoon in je LAN gedeelte.
Het zou nogal erg onzinnig zijn om een server die qua functionaliteit in je normale gebruikers LAN moet staan, ergens in een DMZ plaatst omdat je er ook van buiten af bij wilt kunnen.
Je plaatst die TS dus gewoon in je LAN en gaat vervolgens kijken hoe je veilig van buitenaf er bij kunt komen - niet andersom.

TS Gateway lijkt me een mooie oplossing, lijkt zo op het eerste gezicht erg veel op Citrix Secure Gateway icm WI.