RDP naar Windows server vanaf Internet veilig?

[JackBol]

Beste Allen,

Ik heb al een tijdje niet meer met Windows server software gewerkt.
Voor een tijdelijke opstelling wil ik een Windows Server vanaf het internet bereikbaar maken voor RDP.

Wat is tegenwoordig de best practise om te doen? Is het tegenwoordig mogelijk om een (volledig gepatchte) Windows server rechtstreeks aan het internet te hangen? Of moet ik daar nog een firewall tussen?

En hoe veilig is het RDP protocol tegenwoordig? Veilig genoeg voor gebruik over Internet?


Het alternatief is dat ik een SSL VPN concentrator voor de server ga zetten en alle personen die toegang nodig hebben eerst via de SSL VPN laat inloggen voordat ze contact kunnen maken via de RDP. Maar dit kost me veel meer tijd die ik momenteel eigenlijk niet heb.

[Trommelrem]

Remote Desktop Gateway.

[ Voor 70% gewijzigd door Trommelrem op 19-04-2015 11:30 ]

[The Eagle]

Is het bedrijfsmatig of gewoon voor de hobby? Aantal gebruikers dat gelijktijdig een RDP sessie kan hebben is vrij beperkt (meen 2 plus een console sessie). Wat wil je precies bereiken?

[JackBol]

The Eagle schreef op zondag 19 april 2015 @ 11:34:
Is het bedrijfsmatig of gewoon voor de hobby? Aantal gebruikers dat gelijktijdig een RDP sessie kan hebben is vrij beperkt (meen 2 plus een console sessie). Wat wil je precies bereiken?

Bedrijfsmatig maar niet bedrijfskritisch.
Ik verwacht uiteindelijk +/- 10 personen tegelijkertijd op het systeem moeten zijn.


@Trommelrem: dit is inderdaad wat ik zoek denk ik. Ik zal 't eens uitzoeken.

[Dennism]

Het is sowieso geen best practise om een server direct aan internet te hangen zonder firewall onafhankelijk van OS of patch level tenzij de rol van de server daar specifiek voor bedoeld is, er kunnen altijd niet ondekte vunerabilities in zitten.

Afhankelijk van de situatie zijn een remote desktop gateway of een SSL-VPN oplossing opties om te toegang veilig in te regelen.

Of een Remote Desktop Gateway minder tijd kost om in te regelen zou ik niet durven zeggen, daar je een extra server moet installeren en de rollen moet configureren aar het geen best practise is om deze rol te stapelen op de RDS server zelf. Als je een hardware firewall hebt die SSL-VPN als optie heeft kan dit dus sneller zijn. Ook kan een RDS Gateway mogelijk duurder zijn (als je een extra server licentie nodig hebt). In een aantal cases die ik zelf gedaan heb icm met Sonicwall Firewall was bij een klein aantal gebruikers SSL-VPN altijd goedkoper qua licencing dan een extra Windows Licentie. Als je de Windows Licentie voor de RDS gateway al hebt liggen is het een ander verhaal natuurlijk.

[JackBol]

Dennism schreef op zondag 19 april 2015 @ 12:02:
Het is sowieso geen best practise om een server direct aan internet te hangen zonder firewall onafhankelijk van OS of patch level tenzij de rol van de server daar specifiek voor bedoeld is, er kunnen altijd niet ondekte vunerabilities in zitten.

Afhankelijk van de situatie zijn een remote desktop gateway of een SSL-VPN oplossing opties om te toegang veilig in te regelen.

Of een Remote Desktop Gateway minder tijd kost om in te regelen zou ik niet durven zeggen, daar je een extra server moet installeren en de rollen moet configureren aar het geen best practise is om deze rol te stapelen op de RDS server zelf. Als je een hardware firewall hebt die SSL-VPN als optie heeft kan dit dus sneller zijn. Ook kan een RDS Gateway mogelijk duurder zijn (als je een extra server licentie nodig hebt). In een aantal cases die ik zelf gedaan heb icm met Sonicwall Firewall was bij een klein aantal gebruikers SSL-VPN altijd goedkoper qua licencing dan een extra Windows Licentie. Als je de Windows Licentie voor de RDS gateway al hebt liggen is het een ander verhaal natuurlijk.

Licenties is geen probleem, dat is allemaal verzorgd. Die RDS gateway moet dus voor de RDP server staan? Dat is wel een tegenvaller.

[Dennism]

JackBol schreef op zondag 19 april 2015 @ 12:09:
[...]


Licenties is geen probleem, dat is allemaal verzorgd. Die RDS gateway moet dus voor de RDP server staan? Dat is wel een tegenvaller.

Dat is inderdaad wel best practise,

Hier een simpele schematische weergave van de voor zover ik weet meest gebruikte basis opstelling: