[решено] Безопасный удаленный доступ к серверу на win2k3

[merc_yar]

Здравствуйте, подскажите пожалуйста, может кто уже сталкивался... Ситуация состоит в том, что некоторые офисные сотрудники, где поднята локаль (клиент ubuntu, сервер win2k3) работают и на дому. Существует ли возможность им из дома посредством различных провайдеров подключаться к терминалу с привязкой имени пользователя/пароля к mac адресу машины? Дабы обезопасить доступ к серверу извне. Или подскажите каким образом можно предоставить доступ к серверу определенному набору людей?

[cameron]

Существует ли возможность им из дома посредством различных провайдеров подключаться к терминалу с привязкой имени пользователя/пароля к mac адресу машины? »
нет, по целому ряду причин. одна из которых - mac адрес домашнего компа вы не увидите, а вторая - службы терминалов не оперируют понятием mac, иже как и бОльшая часть пакетных фильтров.
Или подскажите каким образом можно предоставить доступ к серверу определенному набору людей? »
VPN.

[merc_yar]

Нагуглил что mac адрес теряется на первом же серве провайдера, понял ошибку. Можно ли поподробнее узнать каким образом использовать vpn? Учитывая что некоторые менеджеры имеют динамический ip...

[cameron]

Можно ли поподробнее узнать каким образом использовать vpn? »
видите, как вы удачно про mac адреса нагуглили.
теперь давайте гуглить связку %ваш_шлюз%+VPN.

если шлюзом у вас является Windows Server2003 то есть несколько вариантов:
- использовать "маршрутизацию и удаленный доступ" (при запуске это оснаски и нажатии на "настроить сервер" запустится мастер который почти всё сделает сам)
- использовать MS ISA Server для обеспечения бОльшей безопасности.
- использовать Kerio Winroute Firewall для обеспечения бОльшей безопасности (насколько я знаю для его VPN требуется установка клиентского програмного обеспечения на всех клиентах)
- использовать другие решения.

дальше я думаю понятно?

Учитывая что некоторые менеджеры имеют динамический ip... »
это вообще не имеет значения, важно что бы у сервера был статический IP.
ну или использовать DynDNS если такового нет.

[merc_yar]

cameron, спасибо огромное за информацию, буду копать =)

[Nikitos]

использовать MS ISA Server для обеспечения бОльшей безопасности. »
Рекомнедуется использовать последнюю версию- MS Forefront TMG (Смысл использовать ISA Server 2006 есть лишь в том случае, если необходимо сертифицированное ФСТЭК ПО)
P.S. Вобще говоря, сервера можно защитить не только от атак из вне, но и изнутри, за счет переноса серверов в зону DMZ (http://ru.wikipedia.org/wiki/DMZ_(%D0%BA%D0%BE%D0%BC%D0%BF%D1%8C%D1%8E%D1%82%D0%B5%D1%80%D0%BD%D1%8B%D0%B5_%D1%81%D0%B5%D1%82%D0% B8)) . И таким образом контролировать не только уровни доступа к ресурсам, а еще и возможность доступа к ним.

[cameron]

Рекомнедуется использовать последнюю версию- MS Forefront TMG »
только если ОС Server 2008/r2 x64.
да, кем рекомендуется? :)
Смысл использовать ISA Server 2006 есть лишь в том случае, если необходимо сертифицированное ФСТЭК ПО »
смысл в том, что на E5120+2Gb у меня более 1000 клиентов и 20 Site-to-Site VPN. когда погоняете ТМГ поймёте о чём я говорю, на мой взгляд это тяжёлый и сырой продукт, требующий бОльшего количества ресурсов при минимальной (и спорно нужной) разнице в функционале с ISA.