VPN (SSL/IPSec) Nutzer Zugriff aus fremdem Land

Hallo schönen guten Tag,

wäre es eine Idee über die IP zu filtern oder einen FQDN-HOST sprich DDNS Adresse zu verwenden worüber gefiltert wird? Also alles verbieten und nur die IPs/DNS Adressen erlauben?

LG

Patrick

Moin Patrick,

also meinst du, das wenn der jeweilige Nutzer sich per VPN authentifizieren möchte, eine feste IP aus dem VPN-IP-Bereich bekommt und ich diese statische IP im Prinzip als Ausnahme konfiguriere? 

Wenn dann müsste ich im Prinzip eine weitere ZSL-Regel über meine Deny-Regel bauen, die die vorgegebene IP-Adresse als Quellhost definiert und diese dann mit den VPN-Diensten zulässt. 

Allerdings wird das so, denke ich, nicht funktionieren, da ich mich im Prinzip erstmal authentifizieren müsste damit ich eine IP bekomme. Dies wird aber durch meine Regel direkt unterbunden.

Einen FQDN Host möchte ich eigentlich nicht extra dafür anlegen.

Da erwarte ich eigentlich, das man dies unkompliziert über die Sophos regeln kann. 

Letztendlich geht es nur darum, dass wenn bestimmte Mitarbeiter mal in einem Land Urlaub machen, wo Traffic zu mir blockiert ist, diese dennoch per VPN auf meine Ressourcen zugreifen können. 

Eigentlich ist das ja nix ungewöhnliches..

Danke vorab.

VG

Sylvain

Huhu,

ne ich meine die öffentliche IP des users. Er benutzt zum Beispiel eine FritzBox in der Schweiz. Dann hinterlegt man eine DDNS Adresse in der FritzBox z.B HOschweiz.dyndns.org. Die FritzBox sendet ihre IP an die Sophos, die Sohos löst die IP 1.1.1.1 auf zu = HOschweiz.dyndns.org.  somit darf sich die FritzBox aus der Schweiz an deine Firewall verbinden.

LG

Patrick

ahh so meinst du das. 

Jetzt verstehe ich deinen Ansatz.

Da haben wir uns missverstanden. Der Nutzer nutzt per Sophos Connect mit seinem Notebook einen VPN Tunnel zu mir. Der Nutzer ist auch immer mobil. Heißt, mal ist er im mobilen Netz unterwegs, mal in irgendeinem Hotel-Wlan.

Grüße

Das Land, aus welchem du SSL/IPsec-VPN zulassen möchtest, wählst du unter Administration/Device-Access/Local service ACL exception rule (und schaltest diese Ausnahme auf "ALLOW"). Den Entsprechenden SSL/IPsec-VPN - Haken nimmst du für die WAN-Zone unter "Local service ACL"  raus.

Dann würde ich ein IPsec-VPN definieren und die Authentifizierungsmethode mittels "Digitalem Zertifikat" vornehmen.

Dann bist du sehr sicher gegen Mißbrauch aufgestellt. Wenn du dann noch "2FA Token" einrichtest, kann eigentlich nichts mehr passieren.

Ah ok, verstehe.

An die Möglichkeit habe ich eben auch schon gedacht wenn es kein "fester" Home Office Arbeitsplatz ist. Dazu hätte ich im Prinzip auch eine Lösung, von dyndns gibt es ein installer für Windows. So würde das Notebook immer den korrekten DNS Eintrag mit der aktuellen IP senden zur Sophos. In wie weit das nun praktikabel ist, weiß ich nicht. Ich meine der dyndns installer startet automatisch mit und übertragt auch sofort, aber mit dem habe ich 10 Jahre und länger nicht gearbeitet.

Dann würde es noch Portunity geben (feste IPKIT), das halte ich aber für nicht praktikabel an einem Mobilen Platz.

Oder du testet Nord VPN oder einer der unzähligen Anbieter. Dann sendet er darüber halt immer eine IP aus Deutschland dann wird die Sophos auch annehmen. Aber aus Erfahrung weiß ich das eine VPN in einer VPN sehr träge sein kann!

LG

Patrick

Moin Phillip,

jo habe ich auch dran gedacht, aber der Kollege wollte das "Land" ja nicht freigeben und da wollte ich nicht reinreden.

Aber ja, so würde ich es wahrscheinlich auch lösen wollen :)

DYNDNS hört sich gut an. Damit hast du genau eine bekannte/erlaubte IP in der Ausnahme stehen.

Den Client habe ich noch nicht verwendet. Mein Dyndns-Anbieter (freedns) bietet auch eine URL für den Browser.

Ich wäre da nichts so ängstlich, was den Zugriff aus dem Ausland auf die Firewall betrifft. Mit Country-blocking habe ich keine guten Erfahrungen gemacht, lohnt m.E. den Aufwand nicht.

Dann lieber das VPN "richtig" sicher machen und das Logfile mit den chinesischen, nordkoreanischen und russischen Adressen ignorieren. Die richtig bösen Buben wissen nämlich auch, wie man Geoblocking umgeht.

Nur meine persönliche Meinung

JAEIN :) Country-blocking  ist schon ganz gut gegen die ganzen täglichen 0815 Scans. Aber hat es jemand tatsächlich gezielt auf einen Betrieb abgesehen, ist es wie Phillip sagte, die kleinste Hürde die Country-IP zu ändern.

Hallo Dirk, Hallo Philipp,

erstmal vielen Dank für die schnelle Antworten. 

Unsere SSL/IPSEC Verbindungen sind bereits mit MFA abgesichert. 

Ja Countryblocking kann für den Standartkram nützlich sein, aber natürlich haben es gute Leute relativ schnell durchschaut. 

Das gewünschte Ziel, was ich anstrebe, wäre im Prinzip natürlich auch ein cooles Nice-Have.

Also höre ich im Prinzip nun raus, das es so, wie ich es angedacht habe,  gar nicht möglich ist, korrekt?

VG

Hallo Dirk, Hallo Philipp,

erstmal vielen Dank für die schnelle Antworten. 

Unsere SSL/IPSEC Verbindungen sind bereits mit MFA abgesichert. 

Ja Countryblocking kann für den Standartkram nützlich sein, aber natürlich haben es gute Leute relativ schnell durchschaut. 

Das gewünschte Ziel, was ich anstrebe, wäre im Prinzip natürlich auch ein cooles Nice-Have.

Also höre ich im Prinzip nun raus, das es so, wie ich es angedacht habe,  gar nicht möglich ist, korrekt?

VG

Nein leider nicht!

Entweder schränkst du die Öffentlichen IPs ein, wie ich es vorgeschlagen habe. Oder folgst Phillip seinen Vorschlag. Ich glaube das beide Lösungen gut sind. Das ein VPN eine 2FA hat setze ich voraus, alles andere ist heut zu Tage schon fast Fahrlässig.

Du hast die Qual der Wahl :)

LG

Patrick

DynDns wäre da glaube ich dann noch eine gute Zusatzoption. Denn ein digitales Zertifikat haben die IPSEC Verbindungen bereits bei mir.