Server 2016 als Gateway - Firewall?

[RockNLol]

hi,
Ich plane für die neue Zweigstelle eines Büros die gesamte PC-Struktur. Es soll ein Windows Server 2016 als Allroundserver verwendet werden, also DC, DNS, DHCP...
Um einen Router einzusparen und NAT-Probleme bei VPN-Verbindungen zu vermeiden (Stichwort NAT-T) hätte ich die zweite Netzwerkschnittstelle genutzt, um den Server auch als Gateway zu verwenden. Dazu habe ich die Routing & RAS Rolle installiert und bei der Konfiguration "NAT und VPN" ausgewählt und entsprechend eingestellt (VPN wird zur Verbindung der Zweigstelle mit dem Hauptbüro, sowie mobile Workstations auf Baustellen verwendet). Das klappt soweit gut, alle Geräte haben Internetzugriff.
Probleme bereitet die Verbindung von außen mit dem Server. Am "WAN-Port", um die Routerterminologie weiterzuführen, reagiert der Server nicht einmal auf pingen. Im Netzwerk und Freigabecenter steht auch die WAN-Netzwerkschnittslle auf der Firewalleinstellung Domänennetzwerk. Dies lässt sich auch per Powershell nicht ändern. Theoretisch müsste der Server RDP und allerhand Späße zulassen, was Sicherheitstechnisch komplett unangebracht wäre, tut er aber eh nicht. Nur wie lasse ich die Verbindung von außen nun zu?

 

[rg88]

Du stellst also den Internetzugriff direkt über den Windows-Rechner bereit, ohne einen Router oder sonstige Firewalls dazwischen? Mutig, sehr mutig. Oder hast du da noch irgendeinen Schutz nach außen dabei?

 

[C2KXDeaf]

1) pfsense auf VMWare installieren
2) Windows Server als VPN-Server UND(!) https://support.microsoft.com/de-de...ipsec-server-behind-a-nat-t-device-in-windows
3) enjoy!

 

[Evil E-Lex]

Multihomed-DC machen keinen Spaß. Da ist viel Handarbeit nötig, um das sauber hinzubekommen. Davon abgesehen, gibt es besser für Routing und Paketfilterung geeignete Betriebssysteme als Windows-Server.

 

[RockNLol]

Du stellst also den Internetzugriff direkt über den Windows-Rechner bereit, ohne einen Router oder sonstige Firewalls dazwischen? Mutig, sehr mutig. Oder hast du da noch irgendeinen Schutz nach außen dabei?

Ich habe das derzeit nur lokal aufgebaut zum Testen. Kann ich da nicht irgendwie die Firewall so einstellen, dass das nicht gefährlich ist?

1) pfsense auf VMWare installieren

Also geht das nur über einen zweiten virtuellen Rechner, der als Firewall fungiert?

*edit: Wäre es klüger 2 Hardware-Firewalls zu kaufen, die VPN unterstützen, z.B. Zyxel ZyWalls?

 

[TheCadillacMan]

Halte auch für eine schlechte Idee und das nicht nur weil es lästig zu konfigurieren ist.
Gerade wenn auch AD drauf laufen soll, sollte der Server nicht auch noch Firewall sein. Das ist völlig unabhängig von Windows. Ich würde auch einen Samba-DC oder einen anderes gearteten LDAP-Server nicht ungeschützt ins Internet hängen, weil eine Kompromittierung des Verzeichnisdienstes der GAU in einem Netzwerk ist.

Sowohl eine Firewall-VM also auch Hardware-Firewalls sind da schon besser. Ist in der Hauptstelle bereits ein VPN-fähiger Router (z. B. FritzBox) vorhanden?
Wenn du nicht an ein bestimmtes VPN-Protokoll gebunden bist, kann man auch mit OpenVPN arbeiten, das meiner Erfahrung nach sehr wenig Probleme macht wenn hinter NAT betrieben.

Am Router würde ich nicht sparen, weil davon sowohl die Internetverbindung als auch die Netzwerk-Sicherheit der Zweigstelle abhängt.
Wenn die Anforderungen an die VPN-Performance überschaubar sind, kann man bereits mit zwei günstigen VPN-fähigen Routern mit wenig Aufwand ein Site-to-Site-VPN hinbekommen.

 

[RockNLol]

Dann werde ich die Netzwerkkonfiguration nocheinmal ändern und Router dazwischenhängen. In der Hauptstelle haben wir einen alten Netgearrouter, der außer WLAN so gut wie gar nichts kann, also müssen da zwei Stück erneuert werden.
Danke für die Tipps und Vorschläge!

 

[b1nb4sh]

Wie groß ist dein Netzwerk? Wenn es max. 50 IPs gibt, dann kannst auch eine Sophos UTM nehmen, die kann dann das Firewalling und das VPN zur Verfügung stellen.
Jedenfalls, würde ich niemals einen Windows Server so ins Internet stellen. Auch nicht, wenn dieser selbst als Firewall dienen sollte. Dafür gibt es bessere Systeme

 

[RockNLol]

geht um etwa 20 Clients aufgeteilt auf 2 Standorte. Preis auf Anfrage klingt aber nicht so gut

 

[konkretor]

schau dir bitte mal https://opnsense.org/ als alternative für sophos utm an, damit ist es auch möglich einen transparenten proxy einzuschalten um diverse sachen raus zu filtern etc.

site to site vpn zwischen den Standorten geht auch.

Kannst du auf Hardware oder VM installieren