Sicheren Zugriff über das Internet auf einen Domino-Server ?

[BANXX]

Auch an dieser Stelle noch einmal meine Frage, ich möchte gerne möglichst viele Expretenmeinungen sammeln:


Vorab erstmal die Bitte, diesen Thread NICHT in Richtung Linux/Windows abdriften zu lassen. Der Umstieg auf Linux ist derzeit NICHT diskutabel. Die Risiken sind mir bewusst !


Ich habe einen Domino 6.5 Server hier, der derzeit unter Windows XP (ja, ich weiss....) läuft. Dieser Server soll bald bei einem ISP "gehoust" werden, d.h. meine Hardware steht beim ISP und hat eine eigene IP direkt im Internet. Über die Firewall des ISP werden nur Anfragen an die POrts 25,80,110,443 und 1723 durchgelassen.

Die Aufgaben dieses Server sind Mailing (SMTP, POP3) und Web (http und https). Mit dem Server soll von vor zu Hause aus von einem Notes Client aus auf eine sichere (!!) Art und Weise kommuniziert werden.  Darüber hinaus will ich auf gesichertem Weg auf den Rechner Remote zugreifen, um die GUI ggf. zu steuern bzw. auf Freigaben zugreifen.

Hierzu fallen mir 2 Methoden ein:
1. Zugriff vom Notes-Client zu Hause auf den Server über das Internet über VPN
2. Zugriff vom Notes-Client zu Hause auf den Server über das Internet ohne VPN, aber mit (Notes-internet) Datenverschlüsselung, ZUsätzlich VPN für REmote-ZUgriff und Freigaben.

Hinweise zu 1.
Das Ganze liesse sich ja sicher schnell über Linux einrichten. Da ich derzeit aber über das notewndige Know-How nicht verfüge und es auch keinen anderen machen lassen möchte (ich will VERSTEHE, WAS WIE konfiguriert ist), ist eben Windows XP (mit der integrierten VPN-UNterstützung) bzw. evtl. Windows 2000 (mit extra VPN-Server Software - WELCHE ??) in Sachden Betriebsssystem meine erste Wahl. Über VPN soll dann auch der Zugriff auf die Freigaben bzw. eine Remote-SOftware möglich sein.

Mittelfristig soll das Ganze übrigens doch auf Linux portiert werden.

Hinweise zu 2.
Damit habe ich derzeit NULL Erfahrung. Sowohl Client- als auch Serverseitg wird 6.5 eingesetzt. Die Kommunikation soll über das Internet erfolgen, was ja grundsätzlich unsicher ist - deshalb soll eine Verschlüsselung erfolgen. Wir kann ich mit vertretbarem Aufwand (mit oder ohne VPN) den Datenverkehr zwischen Client und Server verschlüsseln ? Bietet NOtes das von Haus aus in ausreichendem Maße an ? Ein "Schubs" in die richtige Richtung wäre toll !

Ich bin für jeden Tip oder jede Anregung dankbar - ich bin mir momentan noch nicht schlüsig, WIE ich das Ganze angehen soll. Derzeit erscheint mir die einfachste Lösung, auf das in XP integrierte VPN zurück zugreifen.

[BANXX]

Hm, kein Feedback....  

Traut sich keiner oder ist das zu doof beschrieben oder schlaft Ihr erstmal ne Nacht drüber  

[Manfred Dillmann]

Hallo Bastian,

folgendes gilt nur für den Zugriff Notes-Client <-> Domino-Server. Für den "Betriebssystem-Zugriff" müsste einer antworten, der was davon versteht...  

Wenn beim Notes-zu-Notes Connect einer der beteiligten "Partner" eine verschlüsselte Verbindung anfordert (kannst Du z.B. beim Client bei den Benutzervorgaben -> Ports einstellen), handeln der Client und der Server einen Session-Key aus (ist nur für diese Sitzung gültig) und damit wird der gesamte übertragene Datenverkehr verschlüsselt. Ich habe bislang noch nie gehört/gelesen, dass dies unsicher wäre. Somit brauchst Du für die reine Notes-Verbindung keine weitere Software.

Gruss
Manfred

[stoeps]

Dann braucht er aber einen freien Notes Port und nicht 80,110, etc. ....

[Manfred Dillmann]

Hallo Stoeps!

>> Dann braucht er aber einen freien Notes Port und nicht 80,110, etc. ....<<

Bastian hat doch nach einem direkten Notes <-> Notes Connect gefragt. Da wird er das bestimmt nicht auf den klassischen Ports für die üblichen Internet-Dienste versuchen.

Wenn doch, weiss er es ja jetzt...  

Gruss
Manfred

[MartinG]

Zuerst mal: ich bin auch kein Linuxfreak weshalb ich Deine grundsätzlichen Beweggründe ein Stück weit verstehen kann.

Aber: alles was sicherheitstechnisch kritisch ist würde ich niemals über ein Windows-VPN machen. VPN kann man auch deutlich einfacher als über eine Linux-Büchse machen - das beherscht jede vernünftige Firewall, Router etc.  Mache Notes to Notes aber per VPN auf Port 1652 - das ist auf jeden Fall mein Vorschlag.

Desweiteren würde ich Dir dringend empfehlen noch zwei Experten hinzuziehen - und bitte nicht das Argument bringen. Was ich nicht selber behersche mache ich nicht...

1. Experte:
...für die VPN-Geschichte und die grundsätzliche Absicherung des Dominoservers durch die Firewall. Schon mal was von Stateful-Inspection gehört? Hier wirst Du bei einer guten IT-Securityfirma oder bei einem seriösen Internetprovider am schnellsten fündig...

2. Experte:
...für die Absicherung des Dominoservers im HTTP-Betrieb. Hier gibt es IMHO auch einiges zu beachten das nicht so Dinge wie log.nsf etc offen liegen für Besucher des Webservers.  Hier gibts vermutlich im Forum einige Experten wie Thomas, Semeaphoros, Manfred oder Lossa...

Gruss
Martin

[Semeaphoros]

Danke, Martin.

Klitzekleine Korrektur: Du meinst den Port 1352.

[BANXX]

1. Experte:
...für die VPN-Geschichte und die grundsätzliche Absicherung des Dominoservers durch die Firewall. Schon mal was von Stateful-Inspection gehört? Hier wirst Du bei einer guten IT-Securityfirma oder bei einem seriösen Internetprovider am schnellsten fündig...

2. Experte:
...für die Absicherung des Dominoservers im HTTP-Betrieb. Hier gibt es IMHO auch einiges zu beachten das nicht so Dinge wie log.nsf etc offen liegen für Besucher des Webservers.  Hier gibts vermutlich im Forum einige Experten wie Thomas, Semeaphoros, Manfred oder Lossa...

HI Martin,

Das Hinzuziehen eines Experten scheidet  definitv aus, das ist ein privater Server und ich wäre blöd, wenn ich mir Skill einkaufen würde, den ich zu 95%+ selber habe... :-) Wie man einen Domino-(Web-)Server sicher konfiguriert weiss ich auswendig. In der Hinsicht bezeichne ich mich durchaus selbst als Expreten.

Mir gehts in erster Linie um eine möglichst sichere Kommunikation mit dem Server von zu Hause aus. Der Ansatz mit der Notes-Verschlüsselung ist gut, aber wenn ich das ganze noch über die Windows-VPN Verbindung schleuse, ist das ja mit zwei unterschiedlichen Verfahren verschlüsselt, was die Sicherheit ja deutlich erhöht. Wenn man dann noch die öffentlichen Schlüssel vergleichen lässt, sollte das mehr als ausreichend sein.

Insofern ist der Notes-Part schonmal erledigt, da weiss ich nun, wie ich das mache. Um auch an die Ressourcen der Maschine bzw. per Remote-Software dran zukommen, werde ich diese Anfragen dann wohl doch über diese Windows-VPN laufen lassen. Notes auch, aber das zusätzlich verschlüsselt.

@Manfred Dillmann
Die Hitergrundinfos zur Notes-Vershclüselung waren hilfreich - vielen Dank !

[Semeaphoros]

Nur so als Hinweis, ich kann das im Moment auch nicht belegen, aber das Verwenden von zwei Verschlüsselungsverfahren führt nicht zwingend zur Erhöhung der Sicherheit, dazu gibt es von den Sicherheitsexperten einschlägige Untersuchungen - habe aber wie gesagt gerade keine zur Hand.