SSL für Windows Server

[mb1996]

Hallo Leute,

welches SSL muss ich kaufen, damit ich den Traffic von einem Windows Server in einem VPN mit einem SSL absichern kann?
http://www.strato-faq.de/images/arti...0/_1110_10.gif

[CCRDude]

Zum reinen Absichern in einem VPN reicht prinzipiell auch ein selbst erstelltes und signiertes, wenn ein Admin die zugehörige CA auf den Nutzermaschinen installieren kann.

Ansonsten enthält die Matrix ja schon Anhaltspunkte, die Du sicher besser beurteilen kannst als wir, weil Du mehr Infos hast. Willst Du etwa nur einen Dienst auf diesem Dienst absichern, oder soll der auch unter mehreren Subdomains abgesichert sein? Möchtest Du einfach nur, dass verschlüsselt wird, oder bietet Dir die Identitätsvalidierung etwas?

[mb1996]

Also es soll verschüsselt werden und das Zertifikat soll überprüft werden.
Es werden semsible Daten übertragen.

Eine man-in-the-middle Attacke muss ausgeschlossen sein.
Außerdem soll das Zertifikat auch noch einen Webserver absichern und eine sichere https-Verbindung ermöglichen.

[mb1996]

Hier der ganze Link: http://www.strato-faq.de/artikel.html?id=1110
Ich brauche auf jeden Fall mindestens ein Identitätsvalidiertes SSL-Zertifikat.
Doch kann ich über dieses auch VPN traffic leiten?

[generic]

SSL und VPN sind unterschiedliche Dinge.

SSL nutzt du meistens um eine HTTP/SMTP/IMAP/POP3 Verbindung zu verschlüsseln.

VPN's nutzen normal andere Techniken - Dort kommen zwar auch Zertifikate zum Einsatz, aber normal nicht von irgendwelchen Providern.

Deine Screenshots zeigen nur Webserver Zertifikate für HTTPS.
Für SSL kaufe ich meine Zertifikate bei PSW Group.
29€/Jahr und nutze diese u.a. für https://www.software-uptodate.de/cms/start/


Welche VPN Technik wirst du nutzen wollen - OpenVPN, IPSEC oder andere?
oder willst du doch nur HTTPS machen?

Vielleicht solltest du jemand beauftragen, der sich mit der Materie auskennt.

[mb1996]

Also brauche ich für ein VPN kein Zertifikat?
Kann ich beim VPN eigentlich einstellen, dass nur bestimmte Ports übertragen werden sollen? Und dass das VPN nicht als Proxy dient?

[Sharky]

Zitat:

Zitat von mb1996 (Beitrag 1222362)

Also brauche ich für ein VPN kein Zertifikat?
Kann ich beim VPN eigentlich einstellen, dass nur bestimmte Ports übertragen werden sollen? Und dass das VPN nicht als Proxy dient?

Hai mv1996,

ein VPN überträgt ersteinmal alles. Dafür ist er ja da. Das sperren von Ports/content ist aufgabe der Firewall funktion.

Ob Du mir Certifikaten oder voreingstellten Schlüsseln oder sonst etwas arbeitest ist ersteinmal egal für die Funktionalität eines VPN-Tunnels.

Darum sollte das auch nicht mit einem (Windows)Server gemacht werden.

Wenn Du es richtig möchtest kaufe dir eine CISCO ASA und die notwendige Anzahl an (Software)-VPN Lizenzen.

[mb1996]

Kann ich, wenn die die Arbeitsnetzwerk-Funktion von Windows benutzte nur einen einzigen Port über das VPN laufen lassen?

[Sharky]

Zitat:

Zitat von mb1996 (Beitrag 1222366)

Kann ich, wenn die die Arbeitsnetzwerk-Funktion von Windows benutzte nur einen einzigen Port über das VPN laufen lassen?

Was genau möchtest Du denn machen?
Wenn Du via VPN mit dem Server verbunden bist ist es ersteinmal egal welche Ports offen sind oder nicht. Denn um mit dem Server zu kommunizieren müsste ja jemand dein VPN geknackt haben.
Das schliessen von Ports ist dann eine zusätzliche Sicherheit, aber die hauptsache ist ja das sichere VPN.

[mb1996]

Ich möchte Firebird über das VPN laufen lassen. Es ist wichtig das die Verbindung zu Firebird auch unter Mac läuft. Deswegen nachte ich an ein VPN. Für Windows Benutzer wollte ich Zebedee benutzten. Es werden nur ein paar Benutzter (denke erstmal nur 10) die Verbindung benutzten. Nun möchte ich den Benutzern aber nicht Zugriff über jeden jeden Port geben und es auch verhindern, dass das VPN als Proxy genutzt wird.

[generic]

Fassen wir mal die Anforderungen zusammen:
Du hast einen Windows Server auf welchen Firebird läuft.
Dieser soll von außen nicht erreihbar sein.
Über eine VPN Verbindung soll ein Tunnel hergestellt werden, damit Firebird und nur Firebird erreichbar wird.
Die Verbindung soll auf jeden Fall verschlüsselt sein.
Du hast verschiedene Client-Betriebssystem wie z.B. Windows und MacOS.

Richtig?


Wenn es dir nur um die verschlüsselte Verbindung geht, dann würde ich auf dem Server ein HTTP-Server lauschen lassen. Diese via SSL verschlüsselt. Der Server stellt eine Schnittstelle zur Datenbank bereit.
Deine Clients nutzen nicht mehr den Firebird-Client sondern diese Schnittstelle zum Zugriff auf die Daten.

Das ist weitaus einfacher, erfordert allerdings eine Änderung in deinem Programm.
Vor allem brauchst du keine DB-Client/VPN-Clients auf den Client-PC installieren.

Datasnap ist da mal ein Stichwort.

[Phoenix]

Ich finde auch, das ein VPN an der Stelle etwas overkill ist (Kanonen und Spatzen und so..).

Es gibt hier eine Anleitung, wie man den Zugriff auf eine Firebird-Datenbank via Stunnel verschlüsseln kann: http://www.ibphoenix.com/files/Secur...th_Stunnel.pdf

Soweit ich Stunnel kenne (das nutzt natürlich auch SSL), kannst Du auch alle Client die auf Stunnel (und damit nur die dahinter liegende Datenbank) zugreifen können, mit Zertifikaten ausstatten.

Somit können nur valide Zertifikate zu Stunnel verbinden und damit auf die Datenbank (und nur die Datenbank) zugreifen. Und das ganze ohne die Probleme die ein VPN (voller Zugriff, ggf. Proxy) mit sich bringt. Aber im Endeffekt mit einer sehr ähnlichen Technologie drunter.

[arnold mueller]

Ich denke stunnel wäre mal ein Blick wert www.stunnel.org -> Firebird an localhost binden und Zugriff über stunnel via ssl mit notfalls selbstsignierten Zertifikat.

Ansonsten könnte man noch über einen SSH Tunnel nachdenken.