VPN Einwahl, Dameware benutzen in Domäne

[theaccu]

Hallo CB- Forum,

Das Firmennetzwerk ist ca. so aufgebaut das der Hauptserver auch der EinwahlServer ( T- Online DSL ) , Domänencontroller und ISA Server gleichzeitig ist. Leider besteht das System aus Windows Server 2000 SBS und ISA 2000. ( Besitzt auch 2 Netzwerkkarten )

Bevor ich näher ins Detail gehe wollte ich Fragen ob ich von Extern ( Der Externe Client brauch 2 Netzwerkarten, eine zum Einwählen und eine Extra für VPN ! ) mich per VPN ins interne Netzwerk einwählen kann, um so ein Vollwertiger Domänenclient zu Bilden. Sobald man ja nun im Netzwerk ist und die Administrator Rechte der Domäne besitzt, sollte man ja eigentlich Über "DameWare NT Utilities" Alle Clients sehen, und diese per "DameWare Mini Remote Control" in der lage sein Remote Fernzuwarten ???


Also kurzform Externer Client-> Router -> Internet -> Hauptserver ( Router ISA ) -> Clients in der Domäne.
Ziel ist es per VPN von einer anderen Stadt, Firmenprogramme zu benutzen die auf Netzwerkfreigaben von der Domäne zugreifen. ( Die Freigaben liegen auf dem Hauptserver ).
Und die Fernwartung von einer anderen Stadt, um einzelne Clients in der Firmendomäne zu erreichen. Ist das soweit möglich ???

 

[Rego]

ich sag mal allein die Upload-Bandbreite des T-DSL Anschlusses lässt diese Mäglichkeit

Firmenprogramme zu benutzen

außen vor. Ich setze bei solchen Sachen lieber einen Terminalserver oder die "billige" Variante mit einem WinXP PC (virtuell oder physikalisch) per RDP ein.

Ich hätte noch ein paar Fragen:
Warum bräuchte der externe Client zwei Netzwerkkarten?
Welche VPN-Software und Art setzt Du ein (IPSec oder SSL-VPN)?

Für weitere Fragen kannst Du mir auch direkt eine PM schicken.

Gruß
Rego

 

[theaccu]

danke dir bisher,
Upload sollte kein Problem darstellen da wir Bald auf eine bessere Leitung aufrüsten, ausserdem Sind die Programme nur Textbasiert. ( Natürlich werden wir keine 5 Remote verbindungen gleichzeitig dann laufen haben )

Was meinst du aber damit ? ""Ich setze bei solchen Sachen lieber einen Terminalserver oder die "billige" Variante mit einem WinXP PC (virtuell oder physikalisch) per RDP ein.""

Warum bräuchte der externe Client zwei Netzwerkkarten?

Weil sich der Client in der anderen Stadt sich auch nur normal mit DSL einwählt, ich weiss halt nicht ob es möglich ist wenn ein Router davor geschaltet ist, ob es dann nur mit einer Karte funktioniert, diese PC´s sollen mittels VPN in die Firmen Domäne sich eingliedern aber noch Gleichzeitig sürfen können ?

Welche VPN-Software und Art setzt Du ein (IPSec oder SSL-VPN)?

Eigentlich wollte ich die Normale VPN Software von Windows benutzen ( ipsec ), den Hauptserver von der Firma als VPN Server benutzen und am Client dann auch nur eine Standart VPN Verbindung. Ich weiss halt nicht ob bei dem ganzen Vorhaben SBS 2000 und ISA 2000 eine Hürde darstellt ?? ( clients sind alle win xp pro sp2 - sp3 )

 

[theaccu]

Ich hoffe ich hab genug Infos ausgegeben, wenn ihr mehr braucht sagt bescheid

*edit* keiner eine idee ?

 

[systemkiller]

1. wenn Du den SBS als RRAS (VPN Einwahl) konfigurierst sollte es funktionieren (1 NIC als Intern, die andere NIC als extern). Die Einwahl gestattest Du dann per RAS-Regeln.

2. Dein Client braucht nur 1 NIC - die VPN Verbindung wird über die normale internet Verbindung aufgebaut.

3. Im ISA sind entsprechende Regeln für den VPN-Zugriff zu konfigurieren.

4. Hast Du einen Router davor - muss auch hier noch ein paar Ports weiterleiten.

Ansonnsten sollte alles klappen

 

[theaccu]

Also meinst du auch, das wenn ich in der Domäne per VPN drinbin, das eine Fernwartung mit Dameware funktioniert ? ( Über die VPN Verbindung )

1. wenn Du den SBS als RRAS (VPN Einwahl) konfigurierst sollte es funktionieren (1 NIC als Intern, die andere NIC als extern). Die Einwahl gestattest Du dann per RAS-Regeln.

2. Dein Client braucht nur 1 NIC - die VPN Verbindung wird über die normale internet Verbindung aufgebaut.

3. Im ISA sind entsprechende Regeln für den VPN-Zugriff zu konfigurieren.

4. Hast Du einen Router davor - muss auch hier noch ein paar Ports weiterleiten.

Ansonnsten sollte alles klappen

Zu Punkt 1. : Der Server Besitzt 2 Karten , eine zur DSL Einwahl und eine für das Firmennetzwerk, meinst du also ich brauche keine weitere Karte ?

2. ist klar.

zu Punkt 3. : Kennst du eine Seite wo was dazu zum ISA 2000 steht ? Weil per google suche ich schon lange aber da findet man nur VPN sachen für den ISA 2004 und höhere Versionen , nichts für isa 2000.

4. Nein es steht kein Router davor, wiegesagt der SBS 2000 + ISA 2000 Server ist auch gleichzeitig der Einwahlserver. ( Tdsl )

Hätte noch da eine andere Frage:
Kann es vieleicht sein dass wenn ich ein VPN Router vor den Server schalte ( Ein normaler ca. +- 100 euro ), das sich alles Einfacher konfigurieren lässt bzw. auch die Sicherheitstufe erhöht wird ?

 

[systemkiller]

Ja - sollte funktionieren. Benutze zwar eine andere SW aber gehe auch per VPN auf´s Firmennetz und das funktioniert einwandfrei !

 

[theaccu]

hab in meinen letzten beitrag bei der änderung noch ein paar fragen dazugenommen

 

[systemkiller]

1. Du kannst sicherlich noch eine dritte NIC einabuen z.B. für eine DMZ - würde ich aber nicht machen.

2. Zum ISA 2000 kann ich nicht wirklich viel sagen , meine Ausbildung beruhte auf dem ISA 2004/2006

3. Habe hier auch eine Soho VPN-Router drann, wirklich einfacher wird es nicht - da für jeden Client normalerweise eine Client-SW nötig ist (natürlich kostenpflichtig). Ich habe die VPN Ports eifach auf den Server weitergelitet - das klappt einwandfrei.

3a . Die Sicherheit wird dadurch bestimmt erhöht (kann bei mir eingehende und ausgehende Ports zulassen oder sperren - bedeutet natürlich auch etwas mehr konfigurationsaufwand)

 

[theaccu]

Habe mal zum Testen auf ein Client und auf dem Server Hamatchi installiert.
Was ich komisch finde, auf den Clients komme ich einfach so raus zu den Logmein Servern, aber auf dem Server sagt er nach einer weile das der Proxy dicht macht.
Woran kann das liegen, und wo stelle ich bei SBS 2000 den Proxy ein bzw die Portfreigaben,
oder meint er mit Proxy vieleicht den ISA 2000, was ich aber bezweifele weil die Clients ja auch ohne einstellung durchkommen.


p.s. was auch komisch ist, wenn ich den Server als VPN server einstellen will, also erstmal routing und ras aktivieren, muss man ja eine "Lan verbindung" auswählen nachdem man sagte TCP/ip als Protokolle erlauben, und genauhier bei den Auswahlmöglichkeiten der Lanverbindungen kann ich nur die Interne Lan Verbindung auswählen also auf die, wo der Server in der Domäne läuft, ist das soweit richtig ??

 

[systemkiller]

nein - das ist so nicht richtig.

1. ISA läuft ja auf dem SBS oder ? - dann brauchst Du den RRAS nicht zu aktivieren/konfigurieren , da das der ISA macht. Hier müssen nun natürlich bestimmte Regeln für den Netzwerkverkehr erstellt werden

 

[theaccu]

jo genau der ISA 2000 läuft auf den Selben Server wie SBS 2000 und genau dieser Server wählt sich auch ins Netz ein ( dsl ) . [also alles ein rechner, ein betriebsystem, 2 netzwerkkarten]