Praxisnetzwerk absichern

l3u · Posted: Wed Oct 02, 2013 11:33 am Post subject: Praxisnetzwerk absichern

Hallo allerseits :-)

Ich hab in der Arbeit ein etwas älteres Netzwerk mit folgenden Computern:

1x Windows Server 2003
2x Windows XP
1x Windows Vista Business

Im Moment hängen alle Computer über einen Router direkt am Internet. Auf Windows kann ich leider Gottes nicht verzichten, da mein Abrechnungs- und Röntgenprogramm (natürlich) nur unter Windows lauffähig sind.

Jetzt läuft ja 2014 der Support für Windows XP endgültig aus und man sollte mit keinem XP-Rechner mehr ins Internet gehen.

Was ich brauche ist Internetzugriff auf mindestens einem Rechner und einen VPN-Zugriff auf den Server (prinzipiell wäre natürlich auch denkbar, den Server als den Rechner mit Internet zu nutzen). Das ganze sollte, ganz im Sinne von „Never change a running system“ mit möglichst wenig Änderungen an der Infrastruktur von statten gehen.

Ich habe mir überlegt, ob man nicht einen Rechner in eine virtuelle Maschine verschiebt und diese dann auf einem Linux-Host betreibt. Und mit dem macht man dann Internetangelegenheiten, also E-Mails schreiben, Material bestellen etc. Was bleibt ist der VPN-Zugang zum Server – wenn trotzdem alle Rechner im selben Netzwerk hängen und ich einfach kein Internet damit nutze (also keinen Router eintrage), ist das dann sicher? Auch, wenn ich meinen VPN-Port an den Server weiterleite?

Bzw. sollte man einfach den Vista-Rechner ans Internet hängen statt der Lösung mit der virtuellen Maschine? Auch hier wären natürlich alle Rechner im selben Netzwerk.

Was ich als Empfehlung unseres Dachverbandes gelesen habe ist der Einsatz eines Proxyservers, über den der Internetzugriff geleitet wird. Was soll das bringen? Der cachet oder loggt doch auch bloß, was kommuniziert wird, das eigentliche Sicherheitsproblem bleibt doch aber, oder?

Für alle Ideen, Hinweise oder Erklärungen bin ich sehr dankbar!

bbgermany · Posted: Wed Oct 02, 2013 12:27 pm Post subject:

Hi,

den Proxy kannst du mit plugins erweitern, siehe squidClamAV. Damit kannst du zumindest die Virenanzahl vermindern.

MfG. Stefan
_________________
Desktop: Ryzen 5 5600G, 32GB, 2TB, RX7600
Notebook: Dell XPS 13 9370, 16GB, 1TB
Server #1: Ryzen 5 Pro 4650G, 64GB, 16.5TB
Server #2: Ryzen 4800H, 32GB, 22TB

l3u · Posted: Wed Oct 02, 2013 1:53 pm Post subject:

Wäre das deiner Meinung nach auch die beste der denkbaren Varianten? Dafür hätt ich z. B. ein Raspberry Pi übrig, was den Proxy dann bereitstellen könnte.

bell · Guru Joined: 27 Nov 2007 Posts: 514

Was hast Du für einen Router? Wenn es eine FritzBox ist, kannst Du diese dann mit freetz erweitern und per IpTables für bestimmte Systeme (IP's) den Zugang blocken.
http://freetz.org/wiki/packages/iptables

Für einen anderen Router gibt es sicherlich OpenWRT.

Mein Vorschlag ist also den Router zu einer richtigen Firewall auszubauen.

l3u · Posted: Wed Oct 02, 2013 4:36 pm Post subject:

Ich hab eine Fritz-Box, aber eine ziemlich alte. Ist aber grundsätzlich keine schlechte Idee mit der Firewall!

Bleibt aber das Problem, dass Steinzeit-Windows-Versionen im Spiel sind …

bell · Guru Joined: 27 Nov 2007 Posts: 514

Updates für eine Steinzeit-Windows-Version kann ich nicht anbieten. Was möchtest Du?

Mit Iptables kannst Du steuern was welches System genau machen darf und was nicht.
Es wäre auch sinnvoll das Freetz-Paket dnsmasq zu nutzen weil man damit feste IP-Adressen pro Mac-Adresse hat.

l3u · Posted: Wed Oct 02, 2013 5:28 pm Post subject:

bbgermany · Posted: Fri Oct 04, 2013 5:48 am Post subject:

l3u · Posted: Sat Oct 05, 2013 12:31 pm Post subject:

Prinzipiell sehe ich eigentlich die Internetanbindung als einziges ernstzunehmendes Sicherheitsproblem.

Wäre es deiner Meinung nach akzeptabel, wenn man einen Rechner auf Windows 7 updatet und dann nur den als Internetrechner nutzt? Und was ist mit der OpenVPN-Verbindung zu dem Server? Macht es was, wenn man zu diesem Rechner Port 1194 (und _nur_ diesen einen Port) durchroutet?

l3u · Posted: Sun Oct 06, 2013 11:55 am Post subject:

Nach nochmaligem Überlegen wird’s wohl das Gescheiteste sein, wenn man alle bisherigen Rechner einfach vom Internet trennt und einen aufstellt (mit Linux drauf), der als einziger für den Internetzugriff genutzt wird. Z. B. sowas wie einen Zotac Zbox ID17 oder sowas. Muss ja kein Großrechner sein. Damit ist dann der alte Kram ein geschlossenes System und es kann nix passieren.

@bbgermany: Danke für den Tip mit Freetz und iptables!

ChrisJumper · Advocate Joined: 12 Mar 2005 Posts: 2403 Location: Germany

Hi l3u,

langfristig würde ich die Hardware Aktualisieren, Windows so weit wie möglich in eine Virtuelle Box oder VM sperren. Eventuell auch die Server komplett alle auf ein modernen Linux System sperren. Hardware ist ja ein vielfaches schneller und kostet ja fast nichts mehr. Allerdings für die Nutzer der Systeme eventuell doch Rücksicht auf Windows-Nutzer nehmen. Daher vielleicht schon ein Internet-System mit Windows Vista/Windwos 7. Andererseits halte ich Linux für wesentlich sicherer und die Distanz zum Arbeitspc bringt dritte nicht so in die Versuchung dort Software wie Itunes, Massanger (z.B. Skype *hust*) oder Mobile-OS Update Software zu installieren.

Ich halte die Lösung via VM und einem komplett getrennten Netzwerk für die beste. Allerdings bedarf das Planung und wirklich mehr Aufwand bei der Migration. Andererseits kannst du wahrscheinlich einfach Disk-Images von allen drei erstellen, diese als VM Teilweise importieren/anpassen und einfach mal starten.

Wobei ich nicht mehr aktuell bin, glaube das Nutzen solcher Images geht nicht, da die Hardware-Konfiguration eine andere ist als in der Virtuellen Box. Aber wenn die Systeme ein mal aktuell sind. Wie bei einer Windows Neunstallation, Windows installieren, Treiber installieren, Programme einspielen, Backups der Bestandsdaten(banken) installieren. Dann läuft alles gut und lässt sich auch in Zukunft einfacherer sichern (virtuelles Discimage).

In den besten Fällen kannst du die VM's parallel vorbereiten/ausprobieren so das ein Umstellung dann auch relativ einfach läuft. Was die Hardware betrifft da bin ich mir aber auch selber noch nicht sicher. Zum einen habe ich gerne alles auf einem System laufen, das spart Energie und Platz, ist was Ausfallsicherheit betrifft aber auch nicht clever. Wenn die eine Festplatte dann mal den Geist aufgibt sind gleich alle Systeme hin. Daher würde ich vielleicht schon 2 Rechner verwenden für Windows und Windows Server. Aber du kannst ja in ruhe überlegen wie das aussehen soll.

Alte Hardware finde ich nicht unbedingt schlecht, aber manch mal kommt sie einfach in die Jahre und Hardwarekrankheiten häufen sich.

Grüße

Chris

firefly · Watchman Joined: 31 Oct 2002 Posts: 5328

l3u · Posted: Thu Oct 31, 2013 8:21 am Post subject:

Also so in etwa hatte ich mir das vorgestellt, zumindest mittelfristig:

Ein Server, der komplett auf einem RAID5 läuft zwecks Hardwareausfallabsicherung (geht netterweise seit Grub2 ohne Probleme :-). Dazu eine minimale graphische Oberfläche (Blackbox oder so). Der tut nichts anderes, als ein virtualisiertes Windows hosten (VirtualBox?), das seinerseits die Praxissoftware bereitstellt. Datenbankdaten, Röntgenbilder und all sowas werden dabei nicht in der virtuellen Maschine gespeichert, sondern direkt auf dem Linux-Host (per Samba-Share).

Die Client-Rechner sind normale Linuxrechner, die sich per rdesktop auf dem Server anmelden und somit Zugriff auf das Abrechnungsprogramm etc. kriegen.

Im Moment habe ich die „Never change a running system“-Lösung gemacht: einen neuen kleinen Rechner mit Linux drauf an die Anmeldung gestellt und allen anderen per iptables (auf der Fritz-Box) die Kommunikation mit dem Internet verboten (außer Port 1194 UDP, den der Server zwecks OpenVPN-Anbindung nutzen darf). Sollte ja auch erstmal für ein Plus an Sicherheit sorgen.

bbgermany · Posted: Thu Oct 31, 2013 1:30 pm Post subject:

l3u · Posted: Thu Oct 31, 2013 1:55 pm Post subject:

bbgermany · Posted: Thu Oct 31, 2013 2:47 pm Post subject:

Hi,

wenn du den Server in einen Terminal Server änderst, kannst du mehr als nur die zwei gleichzeitigen Verbindungen machen. Es können sich auch ganz normal User Anmelden. Es sind dann aber noch ein paar andere Dinge zu beachten (z.B. Installation von Programmen, Druckertreiber müssen TS fähig sein, sonst gibt es unerwartetet Probleme, gilt auch für Programme). Die maximale Anzahl der RDP Verbindungen limitiert dann erstmal die Anzahl der installierten RDP-CALs anschließend die Hardware. Wenn du alle deine Rechner dort mit Linux austatten möchtest und alle Nutzer gleichzeitig mit den Programmen arbeiten sollen, dann bleibt dir nichts anderes übrig als ein RDP-CAL-Paket zu kaufen. IIRC ist die kleinste Einheit dahingegen sowieso 5-User/Device-CALs. Also können 5 Nutzer gleichzeitig arbeiten oder administrieren

MfG. Stefan
_________________
Desktop: Ryzen 5 5600G, 32GB, 2TB, RX7600
Notebook: Dell XPS 13 9370, 16GB, 1TB
Server #1: Ryzen 5 Pro 4650G, 64GB, 16.5TB
Server #2: Ryzen 4800H, 32GB, 22TB

l3u · Posted: Sun Nov 03, 2013 10:30 pm Post subject:

Wäre rauszufinden, ob der Kasten nicht schon eh ein Terminalserver ist ;-)

bbgermany · Posted: Mon Nov 04, 2013 7:47 am Post subject:

Bekommst du recht leicht raus; Schau mal ob die Terminal Server Lizensierungsdienste installiert und konfiguriert sind. Wenn ja, dann ist er ein TS, wenn nein, dann arbeitet er nur im Remote Verwaltungsmodus.

MfG. Stefan
_________________
Desktop: Ryzen 5 5600G, 32GB, 2TB, RX7600
Notebook: Dell XPS 13 9370, 16GB, 1TB
Server #1: Ryzen 5 Pro 4650G, 64GB, 16.5TB
Server #2: Ryzen 4800H, 32GB, 22TB

l3u · Posted: Mon Nov 04, 2013 12:40 pm Post subject: