Remote Access SSL - Best Practice beim Regelwerk

Hi tetris,

Also wenn die User auch Domain User sind, dann würde ich wie folgt vorgehen.
Wenn nicht, dann lokale UTM User anlegen und in Gruppen packen.

Im AD Gruppen anlegen oder lokale auf der UTM

SSL VPN Profile anlegen - AD Gruppen hinzufügen oder halt lokale UTM User - Zugriff ins VLAN erlauben - Haken bei "Automatische Firewallregeln" raus

Dann Firewallregeln erstellen, wohin Zugriff sein soll, vergiss nicht DNS, leider ist das (warum auch immer, immer noch nicht Profilabhängig!!! Nebenbei @Entwicklung: bitte ändern!)

Aber wenn bereits Zugriff auf ein Host im Netzwerk da ist, dann löst man das nur mit VLANs, sonst ist er im LAN.

Nice greetings

Hi tetris,

Also wenn die User auch Domain User sind, dann würde ich wie folgt vorgehen.
Wenn nicht, dann lokale UTM User anlegen und in Gruppen packen.

Im AD Gruppen anlegen oder lokale auf der UTM

SSL VPN Profile anlegen - AD Gruppen hinzufügen oder halt lokale UTM User - Zugriff ins VLAN erlauben - Haken bei "Automatische Firewallregeln" raus

Dann Firewallregeln erstellen, wohin Zugriff sein soll, vergiss nicht DNS, leider ist das (warum auch immer, immer noch nicht Profilabhängig!!! Nebenbei @Entwicklung: bitte ändern!)

Aber wenn bereits Zugriff auf ein Host im Netzwerk da ist, dann löst man das nur mit VLANs, sonst ist er im LAN.

Nice greetings

Hallo, 

SSL VPN Profile anlegen - AD Gruppen hinzufügen oder halt lokale UTM User - Zugriff ins VLAN erlauben - Haken bei "Automatische Firewallregeln" raus

Genau so mache ich es und definiere dann die entsprechenden Firewall Regeln.
(User1 darf RDP auf Host1 oder analog eben mit Gruppen)
Man könnte aber ja auch allen VPN Usern Zugriff auf alle Netze geben und nur noch via Firewall regel Zugriffe defnieren. Dann müsste man gar keine SSL Profile erstellen, das wäre der Gedanke.


Aber wenn bereits Zugriff auf ein Host im Netzwerk da ist, dann löst man das nur mit VLANs, sonst ist er im LAN.
--> Was meinst Du hier genau?

Dann Firewallregeln erstellen, wohin Zugriff sein soll, vergiss nicht DNS
--> Warum DNS? Würden dann nicht alle Anfragen von außen (auch lokales http z.B.) primär an den DNS des VPN gesendet? Das DNS ist doch nur interessant, wenn ich z.B. RDP via Hostname aufrufen möchte.

Danke!

Hallo, 

SSL VPN Profile anlegen - AD Gruppen hinzufügen oder halt lokale UTM User - Zugriff ins VLAN erlauben - Haken bei "Automatische Firewallregeln" raus

Genau so mache ich es und definiere dann die entsprechenden Firewall Regeln.
(User1 darf RDP auf Host1 oder analog eben mit Gruppen)
Man könnte aber ja auch allen VPN Usern Zugriff auf alle Netze geben und nur noch via Firewall regel Zugriffe defnieren. Dann müsste man gar keine SSL Profile erstellen, das wäre der Gedanke.

Ich erstelle SSL-VPN Profile und trage dann das Netzwerk ein, dies wird für das Setzten der Routen verwendet. Wichtig: Haken bei "Automatische FW Regeln" deaktivieren.
Firewallregel (Beispiel):
Allow: "Dienstleister User (Network)" - RDP - Server 1 (192.168.2.10/24)
Allow: "Dienstleister User (Network)" - DNS - DNS Server (192.168.1.15/24)

Das mit den SSL-VPN Profilen mache ich aus dem Grunde sehr granular, weil ich ja die Hoffnung habe, hier zukünftig DNS Einstellungen für jedes Profil machen zu können. Daher will ich diese Profile nutzen. Außerdem sieht es logischer aus [;)]

Aber wenn bereits Zugriff auf ein Host im Netzwerk da ist, dann löst man das nur mit VLANs, sonst ist er im LAN.
--> Was meinst Du hier genau?

Falls ein Dienstleister auf einen Server drauf muss und du möchtest sicherstellen, dass der in dem Produktiv LAN kein "Mist" baut, erstelle ich dafür ein seperates VLAN --> nenn es DMZ, wo der Server dann drin ist.

Dann Firewallregeln erstellen, wohin Zugriff sein soll, vergiss nicht DNS
--> Warum DNS? Würden dann nicht alle Anfragen von außen (auch lokales http z.B.) primär an den DNS des VPN gesendet? Das DNS ist doch nur interessant, wenn ich z.B. RDP via Hostname aufrufen möchte.

Danke!

Korrekt, an den DNS des VPNs und diesen kannst du nur einmal global Einrichten und was ist, wenn du in das Netz gar kein Zugriff hast bzw. haben darfst, dann geht DNS nicht.

Die UTM selbst ist nur Forwarder und hat keinen eigenen DNS Server.
Stell dir vor, du hast vier Subnetzte oder mehrere Domänen hinter einer UTM.

Mitarbeiter 1 - soll nur ins Produktiv LAN
Mitarbeiter 2 - soll nur ins Marketing LAN
Dienstleister 1 - soll nur auf eine bestimmte Maschine
Dienstleister 2 - soll nur auf Share Point in der DMZ

Untereinander haben die Netzwerke nicht unbedingt Zugriff und ggf. auch separate DNS Server.

Ich habe Anwendungen die z.B. nur mit einem Hostnamen funktionieren.
server1.firma.local