[WXP] Proxyserver en wifi-hotspots

[Verwijderd]

Zoals jullie überhaupt weten is het mogelijk om gebruik te maken van hotspots bij bijvoorbeeld de Mac of Vandervalk. Medewerkers van ons bedrijf willen dat natuurlijk dolgraag, maar dat is momenteel niet mogelijk in verband met ons beveiligingsbeleid.

Wat is het probleem:

1. Medewerkers zitten onder de GPO's
2. We maken gebruik van een proxy
3. De gebruiker moet naar een bepaald ipadres om zijn draadloze internetverbindig te kunnen gebruiken bij bijvoorbeeld de Mac te activeren, en ja dat kan dus niet in verband met de proxy...

Natuurlijk kun je uitzonderingen gaan maken op je proxy, maar dan blijf je dus bezig, als ze bijvoorbeeld in een louche hotel in Buneos Aires zitten bijvoorbeeld. De gebruikers hebben de proxy nodig om hier intern te kunnen internetten en dergelijke.

Wat is de oplossing zonder het hele beveigingsbeleid op een schuine helling te zetten?

[Verwijderd]

*schop*

[Belgar]

Budget? internal policies? PDA's / laptops / algemeen?

Wat is er mis met:

- RSA (specifiek)
- VPN's (algemeen)

Waarom voldoet IPSEC niet in beide scenario's? Wat is er mis met een extra authentication server? etc. etc. Ik begrijp namelijk niet waarom de PROXY een probleem is? Die proxy dient om intern verkeer naar buiten te begeleiden.... Deze mensen zijn al buiten. Op het moment dat deze mensen via een VPN een intern IP adres krijgen werkt alles 100% zonder verdere aanpassingen

[Verwijderd]

Laat ik het dan proxy-instelling noemen. Via GPO is dit ingesteld dat de machine gebruikt van een proxy (die op het bedrijfstaat en dus alleen maar via VPN te benaderen is; lokale proxy dus), zonder deze proxy kun je niet internetten.

Zit een gebruiker dus bij een hotspot dan moet er een kaartje gekocht worden, naar een ip-adres gesurft worden, het nummer op het kaartje geactiveerd worden en voila de draadloze verbinding werkt. het probleem is alleen, dat de gebruiker niet bij dat ip-adres kan komen omdat de pc naar een proxyserver gaat zoeken die hij niet kan vinden.

Een oplossing is natuurlijk gewoon het tijdelijk uitzetten van de proxy, naar het ip, en dan via vpn naar het bedrijfnetwerk, dat werkt, maar dat willen wij dus niet... is er een andere manier? Ja proxy uitzonderingen, dat kan werken, maar niet elk bedrijft gebruikt het zelfde ip...

[Belgar]

Ik dacht al dat dat het probleem zou zijn. Enige oplossing is dan idd exceptions, of een portal voor je proxy. Een portal zou in ieder geval het onderhoud een stuk vergemakkelijken.

Ik denk echter dat goede afspraken met werknemers meer zin hebben. Tenzij je je werknemers ook alle execution rights hebt afgenomen is er niets wat ze verhinderd om toch naar porno sites e.d. te surfen. Zelfs dan weet ik nog een hele partij methoden om er toch onderuit te komen (proxy en no-execution), tenzij je beleid extreem repressief is (waarna de laptop waarschijnlijk niet meer te gebruiken is voor het huidige werk).

Een goed werknemersbeleid samen met een goede domain-administration zouden die verplichte proxy instelling overbodig moeten maken (imho). Vergeet men de proxy instellingen terug te zetten op het werk kan men gewoon het internet niet op

[ Voor 7% gewijzigd door Belgar op 12-01-2005 14:27 ]

[Verwijderd]

Inderdaad, het grootste risico is gewoon dat een gebruiker vergeet (al dan niet expres) zijn proxy weer in te schakelen en zo mogelijk ad/spyware kan oplopen..

[Belgar]

Als het goed is kan iemand zonder proxy instelling uberhaubt niet op internet (op het werk). Daarom wordt normaal dat risico ingeperkt. Iemand die later vergeet zijn proxy in te stellen krijgt als het goed is alleen maar timeouts. Dat is ook de reden waarom onze policy hier niet moelijk over doet en ervan uit gaat dat onze mensen bij het uitschakelen van de proxy buiten het bedrijf via VPN weer zo snel mogelijk inloggen.

De meeste VPN oplossingen komen met een goede firewall. Je kunt via de firewall alleen access op poort 80 geven totdat de VPN actief is. Verder moet men dan vertrouwen op de gebruiker en de virusscanner. Dit is echter niet anders achter de proxy. Zelfs een proxy houdt onmogelijk alle rotzooi buiten.

[Verwijderd]

Via het bedrijfsnetwerk is dat inderdaad niet mogelijk en zul je inderdaad timeouts krijgen. Als een gebruiker de proxy kan uitschakelen kan hij dus (bij een hotspot) zijn code invullen, vanaf dat moment kan hij dus ook internetten naar mijn idee omdat hij dan toegang tot internet heeft via dat hotspot. Maar inderdaad, waarschijnlijk moet je de gebruiker er gewoon mee vertrouwen