Zakelijke server en openVPN via pfsense

[KatirZan]

Ik heb een beveiligingsvraag met betrekking op een zakelijke server (AD/DHCP/DNS/File) en wil hier graag een externe blik op hebben.
Deze vraag vloeit voort uit het feit dat externals nu inloggen via anydesk naar hun werkstation en vanuit hun werkstation extern aan het werk zijn. Het idee is dat de werkstations nu nog aan moeten blijven staan, want anders geen verbinding. Bij gebruik VPN kan men gewoon extern werken en kunnen de werkstations uitgeschakeld worden (laten we groen denken).

In het huidige geval zijn de hardware specificaties niet van toepassing, slechts de software :

De server draait op Windows Server 2008 R2 SBS, single server met AD/DNS/DHCP/File.
De lanpoorten op de server zijn onderverdeeld in WAN (Extern direct naar modem) en LAN (via switch naar intern netwerk).

Op het kabelmodem staat een softwarematige firewall welke minimaal is ingesteld (poorten worden doorgestuurd naar WAN).

Op de server draait pfSense in virtualbox, deze staat direct gekoppeld aan WAN en vangt al het verkeer hierop af, pfSense staat op de standaard beveiliging en daarbij zijn er geen programma's gekoppeld aan poorten (later hier meer over).

om extern te kunnen werken heb ik hiervoor een VPN opgezet. Deze VPN verloopt via pfSense in combinatie met openVPN. Hiervoor is de benodigde standaard TCP poort geopend, TCP 1194.

Al het verkeer van buitenaf naar poort 1194 word door pfSense afgevangen en behandeld door openVPN.

openVPN is als volgt ingesteld :

TLS Auth = on
DH Parameter = 2048
Encryption = AES-256-CBC / SHA1
Cert.depth = One

Tunneling is standaard ingesteld, betekend dat cliënt een IP aangewezen krijgen via het tunnel netwerk naar mijn interne netwerk (range tunnel is compleet anders dan range local).

Verder heb ik de verbosity level (level van logs) op de aanbevolen lvl3 staan, waarbij we een mooi overzicht creëren van wat er over de lijn gebeurd.

Voor de server is een servercertificaat onder bovenvermelde voorwaarden opgesteld, hetzelfde gebeurd ook voor de cliënts.
Voor de cliënts word er een account aangemaakt in pfSense, welke later kan worden gebruikt om via openVPN in te loggen.

Na een testgebruiker aangemaakt te hebben, inclusief certificaat, heb ik de software vanuit pfSense gedownload en geinstalleerd bij de testcliënt. Na installatie kan via de TAP ingelogd worden op de server.

Zodra men op de server uitkomt en netwerkschijven in wil zien (of programma's op wil starten) dient men nog het AD username/password in te vullen waarna men eigenlijk alles kan.
Voordat de gebruiker zijn credentials invult is niets benaderbaar zonder foutmelding dat men eerst moet inloggen.

Mijn vraag aan jullie is of bovenstaande veilig genoeg is om de meeste problemen af te vangen.
Zijn er misschien zaken waar ik op moet letten, bijvoorbeeld over de benaderbare documenten of de op te starten programma's.
Ik wil zoveel mogelijk beveiligingsproblemen afvangen, aangezien het hier toch om een zakelijke server gaat.

[Tazzios]

Het externe werkstation wordt ook door jullie beheert en de gebruiker kan er niets op installeren?

[KatirZan]

Tazzios schreef op dinsdag 24 maart 2020 @ 13:07:
Het externe werkstation wordt ook door jullie beheert en de gebruiker kan er niets op installeren?

Correct, ik heb het beheer van deze stations ook volledig in eigen hand

Edit:

Hierbij dient ook te worden aangegeven dat ik mijn systemen vanaf extern geprobed heb, en alle poorten komen hier als stealth uit naar voren

[ Voor 21% gewijzigd door KatirZan op 24-03-2020 13:12 ]

[Kabouterplop01]

Het is server2008 > EOL

[Tha Render_2]

KatirZan schreef op dinsdag 24 maart 2020 @ 13:02:
Ik heb een beveiligingsvraag met betrekking op een zakelijke server
...

Mijn vraag aan jullie is of bovenstaande veilig genoeg is om de meeste problemen af te vangen.
...
Ik wil zoveel mogelijk beveiligingsproblemen afvangen, aangezien het hier toch om een zakelijke server gaat.

Ik moet Kabouterplop01 gelijk geven, leuk dat je de omgeving wilt beveiliging, maar zolang je op Server2008 blijft, is het nooit goed beveiligd.

On January 14, 2020, Microsoft will end all support for Windows Server 2008 R2.

Vulnerabilities in the operating system that are discovered after this date will not be fixed by Microsoft.

[Frogmen]

Waar ik vooral moeite mee heb is dat je Pfsense in een virtualbox op je server draait. Dit is mijn inziens al een risico. Waarom niet een aparte machine hiervoor inzetten en dan met met openvpn gaan werken. Dan scherm je je server in ieder geval echt af van het internet. Natuurlijk alle portforwardings ook uitzetten.

[The GUI]

Buiten de technische opzet van je omgeving (PFSense VM op SBS 2008 ) zit het netwerktechnisch volgens mij wel goed in elkaar.
Qua VPN settings zit je in ieder geval goed, en zolang je split-tunnelt dan heb je ook minder load.

Desalniettemin verdient het niet de schoonheidsprijs. Een goed moment om misschien iets anders neer te zetten?

[KatirZan]

The GUI schreef op woensdag 25 maart 2020 @ 10:28:
Buiten de technische opzet van je omgeving (PFSense VM op SBS 2008 ) zit het netwerktechnisch volgens mij wel goed in elkaar.
Qua VPN settings zit je in ieder geval goed, en zolang je split-tunnelt dan heb je ook minder load.

Desalniettemin verdient het niet de schoonheidsprijs. Een goed moment om misschien iets anders neer te zetten?

Klopt, ben er ook niet trots op, vandaar ook mijn vraag.

Er staat een server in bestelling voor migratie. Ook komt er een nieuwe server voor pfsense.

Helaas kon ik voor nu niet anders, nood aan de man zeg maar.....

Maar zolang bovenvermelde het maximale is wat ik er van kan maken, dan is dat al een hele opluchting.

Voor nu heb ik de vm zo ingeschakeld dat deze tussen bepaalde tijden volledig is uitgeschakeld.

[Frogmen]

Persoonlijk zou ik dus op de nieuwe server gaan virtualiseren met bijvoorbeeld ESXi zeker omdat het zo te horen niet om een hele grote zakelijke omgeving gaat. Voordeel is dat je bijvoorbeeld met Iperius backup je complete VM's kan backuppen in de Cloud en je bij server uitval snel weer up and running bent. Succes

[MOOS]

Ik vind het erg rommelig en een hoog hobby-gehalte hebben. Ik zou zelf een dedicated firewall kopen, bijvoorbeeld een DrayTek Vigor (~200 euro) en die gebruiken als router, firewall en VPN server.

[Paul]

Twee netwerkkaarten in een SBS is niet supported en kan voor hele rare dingen zorgen. Beter zoek je ergens een stuk hardware waar ook twee netwerkkaarten in zitten of kunnen en zet daar pfSense op, of koop je iets wat bedoeld is voor dit gebruik.

Let ook op DNS bij gebruik van een VPN, zorg dat je gebruikers je SBS gebruiken als DNS-server na het opzetten van de tunnel, anders kunnen ze nog nergens bij.

[XiMMiX]

KatirZan schreef op woensdag 25 maart 2020 @ 23:20:
[...]

Voor nu heb ik de vm zo ingeschakeld dat deze tussen bepaalde tijden volledig is uitgeschakeld.

Ik heb ook lang (prive) pfsense in een VM gedraaid. Ik maakte me altijd zorgen om die momenten dat de pfsense VM uitstaat (tijdens boot of om andere reden uitgeschakeld). Dan stuurt je modem verkeer ricthing de server, wat doet de host daarmee? Ik draaide proxmox en loste het op door de WAN nic via passthrough aan de VM te geven en de kernel module voor die nic te blacklisten op de host. Dan komt het verkeer van buiten nooit per ongeluk bij het host OS.
Maar misschien doe je al zoiets met virtualbox.

Persoonlijk zou ik de VM altijd aan laten en als je op bepaalde tijden geen verkeer met buiten wil zou ik in Pfsense daar een firewall rule met schedule voor maken.

[KatirZan]

Passthrough naar VM zit op zijn plaats, dus daar verder geen problemen mee.

De oplossing die nu in bestelling staat is vergelijkbaar met wat @MOOS vermeld.

Voorheen was dit alles gewoon niet nodig, iedereen werkt hier op kantoor. Laat het dat de huidige crisis voor andere maatregelen heeft gezorgd wat mij ook weer meer de toekomst in drukt.

Een heleboel softwareonderdelen zijn al niet meer aanwezig op de server vanwege cloudoplossingen. De server word nu nog voor slechts 1 softwareonderdeel (met SQL database) en data-opslag gebruikt. Voor dit laatste staat op de planning dat dit migreert naar de bekende Microsoft oplossing, echter staat dit pas over een paar maanden (!!!) ingepland vanwege de hoge gebruiksdichtheid.

De server zal uiteindelijk alleen nog fungeren als AD/DNS/Dhcp server voor interne afhandelingen tussen werkstations (distributie updates en protocollen). Dit zal dan uiteindelijk weer met Azure opgelost gaan worden, maar daar zal ik mijzelf eerst beter in moeten verdiepen, iets waar nu helaas niet voldoende tijd voor is (werkdruk ligt hem op een kleine 16 uur per dag....).

Wat betreft het hobby gehalte en de rommeligheid : Nee, het is zeker geen hobby gehalte, het is roeien met de riemen die we hier hebben. De rommeligheid zit er niet, er draait een VM met benodigde software voor afwikkeling van connecties van en naar buiten, het interne netwerk is shielded en kan van buitenaf niet benaderd worden, ook niet als de VM uitgeschakeld staat, dit word afgevangen door het modem en als unreachable weer terug gestuurd.

De beveiliging is dus, voor zover mogelijk met 2008R2, maximaal binnen de beperking van de diverse hardware onderdelen.

Nieuwe server staat in bestelling incl. Server 2019 Essentials, welke dan ook in het begin zal samenwerken met Azure, om vervolgens volledig offsite te migreren. Hardwarematige firewall ben ik nu aan het opzetten (Linux bak icm pfSense) en deze zal ik vanavond binnen het systeem deployen,

Mijn allergrootste nadeel is dat ik enkele jaren geleden uit de IT gestapt ben om een volledig andere richting in te gaan (8+ jaar geleden). De kennis is dus wat verouderd, betekend veel leesvoer...helaas

Voor nu is het even behelpen met wat er aanwezig is.