VPN (SSL/IPSec) Nutzer Zugriff aus fremdem Land

Hallo schönen guten Tag,

wäre es eine Idee über die IP zu filtern oder einen FQDN-HOST sprich DDNS Adresse zu verwenden worüber gefiltert wird? Also alles verbieten und nur die IPs/DNS Adressen erlauben?

LG

Patrick

Moin Patrick,

also meinst du, das wenn der jeweilige Nutzer sich per VPN authentifizieren möchte, eine feste IP aus dem VPN-IP-Bereich bekommt und ich diese statische IP im Prinzip als Ausnahme konfiguriere? 

Wenn dann müsste ich im Prinzip eine weitere ZSL-Regel über meine Deny-Regel bauen, die die vorgegebene IP-Adresse als Quellhost definiert und diese dann mit den VPN-Diensten zulässt. 

Allerdings wird das so, denke ich, nicht funktionieren, da ich mich im Prinzip erstmal authentifizieren müsste damit ich eine IP bekomme. Dies wird aber durch meine Regel direkt unterbunden.

Einen FQDN Host möchte ich eigentlich nicht extra dafür anlegen.

Da erwarte ich eigentlich, das man dies unkompliziert über die Sophos regeln kann. 

Letztendlich geht es nur darum, dass wenn bestimmte Mitarbeiter mal in einem Land Urlaub machen, wo Traffic zu mir blockiert ist, diese dennoch per VPN auf meine Ressourcen zugreifen können. 

Eigentlich ist das ja nix ungewöhnliches..

Danke vorab.

VG

Sylvain

DYNDNS hört sich gut an. Damit hast du genau eine bekannte/erlaubte IP in der Ausnahme stehen.

Den Client habe ich noch nicht verwendet. Mein Dyndns-Anbieter (freedns) bietet auch eine URL für den Browser.

Ich wäre da nichts so ängstlich, was den Zugriff aus dem Ausland auf die Firewall betrifft. Mit Country-blocking habe ich keine guten Erfahrungen gemacht, lohnt m.E. den Aufwand nicht.

Dann lieber das VPN "richtig" sicher machen und das Logfile mit den chinesischen, nordkoreanischen und russischen Adressen ignorieren. Die richtig bösen Buben wissen nämlich auch, wie man Geoblocking umgeht.

Nur meine persönliche Meinung

JAEIN :) Country-blocking  ist schon ganz gut gegen die ganzen täglichen 0815 Scans. Aber hat es jemand tatsächlich gezielt auf einen Betrieb abgesehen, ist es wie Phillip sagte, die kleinste Hürde die Country-IP zu ändern.

Hallo Dirk, Hallo Philipp,

erstmal vielen Dank für die schnelle Antworten. 

Unsere SSL/IPSEC Verbindungen sind bereits mit MFA abgesichert. 

Ja Countryblocking kann für den Standartkram nützlich sein, aber natürlich haben es gute Leute relativ schnell durchschaut. 

Das gewünschte Ziel, was ich anstrebe, wäre im Prinzip natürlich auch ein cooles Nice-Have.

Also höre ich im Prinzip nun raus, das es so, wie ich es angedacht habe,  gar nicht möglich ist, korrekt?

VG

Nein leider nicht!

Entweder schränkst du die Öffentlichen IPs ein, wie ich es vorgeschlagen habe. Oder folgst Phillip seinen Vorschlag. Ich glaube das beide Lösungen gut sind. Das ein VPN eine 2FA hat setze ich voraus, alles andere ist heut zu Tage schon fast Fahrlässig.

Du hast die Qual der Wahl :)

LG

Patrick

Obwohl man, wenn man es schaffen würde, das nur bestimmte Nutzer per VPN sich in einem Land verifizieren dürften, welches eigentlich geblockt ist, es selbst für die bösen Buben in der Theorie unmöglich macht, dummes Zeug anzustellen. 

Daher war ich über mich selber erschrocken, über den coolen Einfall mit dyndns. Weil wie Dirk sagte, nur eine IP! Die erlaubt ist. Aber dann musste nur aufpassen, das die keiner den DDNS Account hackt und seine IP einträgt.

Naja...... leider ist gar nichts zu 100% sicher, einen Tot stirbt man immer!

LG

DynDns wäre da glaube ich dann noch eine gute Zusatzoption. Denn ein digitales Zertifikat haben die IPSEC Verbindungen bereits bei mir. 

Ja das stimmt. 

Letztendlich ist alles angreifbar. 

Ich forsche nochmal etwas und wenn ich noch eine Lösung finde, hänge ich sie hier bei. 

Ansonsten vielen Dank schonmal an alle.

Beste Grüße

Sylvain

sehr gerne, hat mir Spaß gemacht!

cya

sehr gerne, hat mir Spaß gemacht!

cya