Gameserver in bedrijfsnetwerk, beveiliging goed te regelen?

[Vercetti]

Beste Tweakers,

Na het forum en google een doorzocht te hebben, heb ik helaas niet een eenduidig antwoord gevonden op enkele vragen.

Op mijn werk hebben wij 8 IP adressen, waarvan er slechts 4 worden gebruikt. Mij is toegezegd dat ik hier een server aan kan hangen, welke ik wil gebruiken voor gameserver(s), Teamspeak en enkele gameserver admin programma's.

Ik heb onlangs een server gekocht, Windows Server 2008 R2 geïnstalleerd en enkele programma's erop gegooid, inclusief virusscanner. Ik ben hem nu thuis eerst aan het configureren. Voor een oude gameserver de voorgeschreven porten opengezet, en het werkt allemaal prima.

Ik heb vervolgens gesproken met onze IT-man, daar ik zelf niet heel veel verstand heb van het opzetten van netwerken. Hij vertelde mij dat een gameserver in het netwerk (naast de load op het internetverkeer) ook een beveiligingsrisico is. Dat bijvoorbeeld mensen via de gameserver het bedrijfsnetwerk op kunnen, omdat dit via dezelfde router/switch loopt. Hij zei dan ook hier absoluut geen verantwoordelijkheid voor willen te nemen, en ook niet aan de installatie mee te werken.

Nu is mijn vraag, wordt de soep echt zo heet gegeten als dat hij opgediend wordt, of is het allemaal redelijk goed te beveiligen?

[pven]

Voorkomen is beter dan genezen. Stel dat er iets fout gaat dan krijg jij daar in eerste instantie natuurlijk de schuld van, dan moet jij gaan bewijzen dat het niet aan jou ligt. Ik persoonlijk zou er niet aan beginnen.

[D4NG3R]

Managed switch ertussen en het verkeer splitsen? Een fatsoenlijke firewall op de server kan natuurlijk ook geen kwaad.

[sl1000]

Kwestie van in een eigen apart netwerk plaatsen, los van het bedrijfsnetwerk. dit noemen ze een DMZ.
daarin geplaatst en met een goed geconfigureerde firewall is er weinig aan het handje.

[Verwijderd]

De beveiliging is uiteraard wel goed te regelen, maar ik snap zijn punt absoluut ook. Hij is verantwoordelijk voor het bedrijfsnetwerk, als jij hem niet goed zou beveiligen en daardoor gebeurt er iets met het bedrijfsnetwerk dan kijken ze hem erop aan.

Je kunt eens vragen of ze niet een DMZ netwerksegment hebben waar je deze in kunt plaatsen zonder gevolgen voor het bedrijfsnetwerk.

[Gumbo!]

vlan?

Maar ben het wel met de sys eens... zou hier ook geen verantwoording voor nemen.

[twixx]

Dat ligt helemaal aan de router/firewall configuratie. Als je IT-man verschillende subnetten kan maken achter de router in verschillende VLAN's kun je de verschillende externe IP adressen gebruiken om te natten.

Als jullie beide hier geen kaas van gegeten hebben zou ik het afraden.

[Vercetti]

Ok,

Maar heel naïef:
Ik zet vanuit de server, alleen de inbound rules voor de gameserver en remote desktop open, en de rest gesloten, zelfde verhaal in de router. (Moet dit iig nu thuis doen, moet dat daar ook?)
Hoe kunnen ze dan alsnog via de server op het netwerk komen?

[Sendy]

Als je de server kraakt kan je natuurlijk de firewallsoftware op die server uitzetten. Verkeer naar het interne netwerk ligt dan open.

[Shadoxfix]

Frank_is_gek schreef op woensdag 23 februari 2011 @ 20:35:
Ok,

Maar heel naïef:
Ik zet vanuit de server, alleen de inbound rules voor de gameserver en remote desktop open, en de rest gesloten, zelfde verhaal in de router. (Moet dit iig nu thuis doen, moet dat daar ook?)
Hoe kunnen ze dan alsnog via de server op het netwerk komen?

Hackers kunnen alles als ze het echt willen.
Stel je voor om de een of andere manier komen ze op jouw remote desktop.
In principe zouden ze dan op het netwerk kunnen komen.

[Vercetti]

Ik snap wat je bedoelt met de remote desktop, op dit moment wordt er echter ook al vanuit huis naar het bedrijfsnetwerk een remote desktop connectie gemaakt voor thuiswerken. Is dit dan niet net zo gevaarlijk?

[Orion84]

Nee, dat is niet net zo gevaarlijk, want de machines waar die RDP naartoe gaat staan onder beheer van diezelfde sysadmin waarschijnlijk. Dus daarvan weet hij dat die machines fatsoenlijk up to date zijn met patches etc.

Het punt is dat al die games en game admin tooltjes vol met beveiligingslekken kunnen zitten waar je sysadming geen controle over heeft. Over de overige software en systemen die binnen z'n netwerk vanaf buiten beschikbaar zijn mogelijk (als het goed is) wel.

Dus als jij daar nu ineens een server neerzet waar hij geen controle over heeft, maar die server hangt wel in het bedrijfsnetwerk, dan kan dat een gevaarlijke springplank vormen voor aanvallers.

[ Voor 20% gewijzigd door Orion84 op 23-02-2011 21:09 ]

[ItsValium]

Simpelste oplossing is om de gameserver volledig los van het bedrijfsnetwerk op te zetten. Modem -> switch en vanuit die switch opsplitsen naar je bedrijfsnetwerk (met router en/of firewall als eerste device) en naar je gameserver (desgewenst ook een router en/of firewall ertussen). Dan zit de scheiding nog voor het bedrijfsnetwerk en hoeft de sysadmin zich geen zorgen te maken. Enkel zou hij dan één of andere vorm van bandwithmanagement moeten voorzien zodat de gameserver(s) niet de volledige bandbreedte van de modem kunnen opgebruiken.

[ChaserBoZ_]

Als die publieke IP's in een ander vlan zitten als je interne netwerk, en je koppelt geen tweede nic van die gameserver rechtstreeks in je interne netwerk, dan kan dat goed gedaan worden.

Het mooiste zou zijn een apart vlan voor de gameserver, zodat de snelheid te reguleren is, en je met een access-list aan kunt geven dat verkeer van de gameserver niet naar de andere publieke IP's verbinding mag.

Eén optie daarboven staat die van aparte lijn.