Einrichtung externen VPN Zugang auf Windows Server

[Typhon]

Hallo zusammen,

ich habe vor kurzem in einer kleinen Kanzlei (6 Mitarbeiter) angefangen. Die hauptsächlichen Daten, Akten und die Aktenverwaltungssoftware liegen auf einem Windows Server 2012 System (Upgrade auf aktuelleres Windows Server geplant), auf die das Team per Netzlaufwerk zugreift.
Mittlerweile wird die Ermöglichung eines HomeOffices immer wichtiger, einige Kollegen haben begonnen das per AnyDesk zu realisieren (Desktop PC im internen Netzwerk mit Anydesk der dauerhaft läuft). Das finde ich aus Sicherheits- und Praktikabilitätsgründen gruselig, und würde gerne stattdessen eine ordentliche VPN-Verbindung einrichten.

Anforderung wäre hauptsächlich Verbindung auf die Datei Laufwerke (nicht SAP oÄ).
Ich habe gesehen, dass Windows Server auch mit Bordmitteln einiges anbietet. Was wäre eure Goto Empfehlung an Client & Server Software (bestenfalls Open Source & kostenlos), und kann jemand einen guten Guide zur Einrichtung empfehlen? Da auf dem Server vertrauliche Daten liegen, sollte es schon Sicherheitsanforderungen erfüllen, die vielleicht höher sind bei den Urlaubsbildern auf dem privaten NAS Server.

Danke vorab für eure Ratschläge, die CB Community hat ja meist einen Top Rat zur Hand :-)

Viele Grüße, Typhon

 

[pseudopseudonym]

Da auf dem Server vertrauliche Daten liegen

IT ist nicht dein Job da, oder? Und es ist nicht deine Kanzlei, du bekommst einfach dein Gehalt?
Dann Finger weg! Du kannst ich da eigentlich nur verbrennen. Würde dann eher drauf drängen, jemanden zu beauftragen, der im Worst-Case der Schuldige ist.

 

[Apple ][]

Wer administriert denn normalerweise die IT-Landschaft in der Kanzlei? Wenn extern, dann bekommen die dozgeld dafür, euch Lösungen anzubieten

 

[rezzler]

Ich habe gesehen, dass Windows Server auch mit Bordmitteln einiges anbietet.

Ich würd den Server da außen vor lassen und das über den Router oder extra Gerät laufen lassen, gerade wenns drauf ankommt. LANCOM kommt mir hier in den Sinn.

VPN selbst ist ja kein Hexenwerk, spätestens seit Wireguard sogar in FritzBoxen Einzug gehalten hat.

 

[derchris]

einige Kollegen haben begonnen das per AnyDesk zu realisieren (Desktop PC im internen Netzwerk mit Anydesk der dauerhaft läuft). Das finde ich aus Sicherheits- und Praktikabilitätsgründen gruselig, und würde gerne stattdessen eine ordentliche VPN-Verbindung einrichten.

Ich finde die Anydesk Lösung weniger gruselig als die VPN Verbindung, wo Daten "nach draußen" gelangen können. Wobei ich beide Lösungen nicht schön finde.

Citrix/Terminal Server mit Connection Broker heißt eine Lösung (von einem Profi eingerichtet). Meine Frau hat in Kanzleien gearbeitet, da hat man das so durchaus erfolgreich mit einem kleinen und großen Remote-Team gemacht. Jetzt bei einem großen Gesundheitsversicherer auch.

 

[Gorasuhl]

Wenn auf dem Server schon sensible Daten liegen, würde ich auf eine Lösung mit externem Broker setzen.
Direkte Verbindungen sollte man möglichst vermeiden und gute VPN dienste die auch entsprechend auf ihre Verschlüsselungen achten kosten üblicherweise Geld.

Lösungen wie bspw. Wireguard nutzen P2P. Selbst, wenn die Daten Verschlüsselt sind, die Zieladresse ist es nicht.

Und VPN sollte man nur nutzen, wenn zwingend notwendig. Ein VPN, bzw. jede nach außen gehende Verbindung bringt mehr unsicherheit ins eigene Netzwerk.

Und wenn einige Kollegen Anydesk nutzen um von Zuhause zu arbeiten würde ich dem einen Riegel vorschieben, sofern die dafür ihre privaten Geräte und nicht offizielle Geräte seitens der Kanzlei nutzen.

 

[stabile]

Finger weg. Server 2012 gehört auf den Müll, kein Support mehr. Wenn User da auch noch per Anydesk basteln, gibt es entweder keinen IT Diebstleister oder nur einen schlechten.

Aber leider spiegelt das die Realität in vielen Firmen noch wieder. Bis es irgendwann kracht.

 

[Gorasuhl]

Aber leider spiegelt das die Realität in vielen Firmen noch wieder. Bis es irgendwann kracht.

yep.
und dazu die von mir bereits erwähnten, oft genutzten privaten Geräte, auf welche die IT logischerweise keine Zugangsrechte hat um entsprechende Einschränkungen/Richtlinien zu setzen.

Im worst case treiben die sich mit einem privaten Laptop auch mal in irgendwelchen öffentlichen Wi-Fi Netzen herum.

Und dann wird sich über die IT beschwert, wenn es mal kracht.