VPN User in seinen Arbeitsbereich behalten

moin,

für die Anmeldung nutzt die Firma vermutlich gesonderte Anmeldedaten?

Wenn ja, dann schränke doch das/die Benutzerkonto/-konten so ein, dass die nicht auf die anderen Maschinen dürfen, bzw. nur das dürfen, was sie sollen...

Wenn nein, warum nicht?

mfg

moin,

für die Anmeldung nutzt die Firma vermutlich gesonderte Anmeldedaten?

Wenn ja, dann schränke doch das/die Benutzerkonto/-konten so ein, dass die nicht auf die anderen Maschinen dürfen, bzw. nur das dürfen, was sie sollen...

Wenn nein, warum nicht?

mfg

Wie ich versuchte zu erklären, ist es nicht ein Thema von User --> VPN --> Firewall --> Device, da kannst du natürlich IP und Portgenau arbeiten.

Wenn wir aber nun als Beispiel eine WindowsVM hernehmen mit der du dich verbinden darfst, dann kannst du von dem _internen_ Gerät ja im gesamten Subnetz rumrühren (je nach Begebenheiten natürlich).

Meine Zielgeräte beinhalten keine Firewalls oder anderen Features.

Entschuldigung, ich meinte natürlich Betriebssystem Benutzer...

Ich gehe mal von einem Windows Netzwerk aus?

folgendes Szenario:

Server1 und Server2 sind im gleichen Subnetz und können untereinander kommunizieren. Per Firewall Policy darf der VPN-User nur z.B. RDP auf Server1 und nicht auf Server2. <- Bis hierhin klappt es bei dir ja...

Jetzt kann er natürlich eine weitere RDP Verbindung von Server1->Server2, da hier weder eine Firewall noch ein weiteres Gateway dazwischen ist.
Aber: wenn du dem User nicht das Recht zur RDP Anmeldung an Server2 einräumst, dann darf er das auch nicht. 

Wenn man natürlich mit Domainadmin-Rechten arbeitet, wird das nichts...

VG

Ich habe das befürchtet, dass mein Beispiel den falschen weg weist ^^

Ich rede von SPS-Steuerungen und alles was sonst so in der Branche ansässig ist, leider auch Windows Embeddetkisten ohne AD. Maschinen interagieren mit dieser oder anderen SPS.

Wenn nun die als Beispiel die Firma Siemens für die Maschine 1 und 2 einen VPN Zugang erhält, könnte sie mehr IM Maschinensubnetz (Beispiel: VLAN 1234 mit 10.10.10.10/24) erreichen als sie sollten.

Nun fehlt mir die Fantasie wie man dieses weiter segmentiert.

Anhang: Ich bin am Überlegen, dass ich kleinere Subnetze *.*.*.*/29 ausgebe.

ja, kleinere Subnetze und dann über die Firewall routen... aber musst du dann nicht trotzdem mit VLANs arbeiten oder macht ihr nur feste IPs?

Ich wollte mir eigentlich nur das Leben vereinfachen und hoffte, dass es was schöneres gibt.

Mit Nachdenken kam ich drauf, dass das nur Wunschdenken ist ^^

Hatte wohl das client isolation vom WLAN vor Augen.