VPN Fernzugriff für Wartung

[Peterich]

Hat sich schon Jemand mit dem Thema auseinandergesetzt?
Aktuell hab ich eine Baustelle wo der Informatiker gefühlt 100 Jahre alt ist und ich schon Probleme hatte Feste IP Adressen zu bekommen weil er mir immer wieder welche aus dem DHCP Bereich gegeben hat *kopfschüttel* wir haben zwar ein S1 im System aber mir scheint die Verbindung recht langsam zu sein zudem ist bei mir auf Windows 10 die Verbindung recht Instabil. Vorallem aber ein Problem wenn man die IP der Gegenseite nicht kennt da man die passenden Ports alle einzeln weiterleiten muss.

Ich teste gerade ein kleines system mit OpenVPN AS und ein Raspi als Client der Server steht bei uns der Raspi wird beim Kunden aufgebaut und verbindet sich mit dem Server. Nach langem hin und her und befolgen von verschiedenen Anleitungen hat man auch Zugriff auf das Gesamte Netzwerk beim kunden und kann wie wenn man vor Ort wäre.

Gibt es hier Rechtliche Aspekte zu beachten? ( Ausser das man dem Kunden mitteilt das man eine Verbindung zu Wartungszwecken hat)

Wenn genug Interesse wäre würde ich mir auch die mühe machen dazu eine Anleitung aufzusetzen.

[vento66]

So ähnlich mache ich das auch, nur das der Kunde über die Visu den VPN Zugang freigeben muss, und das ich nur Zugang auf die relevanten VLANs habe. Was willst Du im gesamten Netzwerk?

[Peterich]

Bei dem Kunden um den es Gerade geht gibts Keine VLAN´s. der Kunde hat 2 Gebäude mit 6 Etagen viel Puplikumsverkehr und der Informatiker hat dem in jede Etage 1-2 FritzBoxen gehangen als WLAN-Accesspoints nichts gegen FritzBox aber in der Firmengröße hätte ich was anderes verwendet.
Würde ich das gesamte Netz Verwalten hätte ich da auch mit VLAN gearbeitet.

Wie hast du das mit der VISU angestellt bzw was läuft als VISU und was als VPN?

[EugenDo]

Wenn das Netzwerk schon so "offen" ist, würde ich den Kunden beraten und zumindest die Gebäudeautomatisierung, um die es hier ja geht, von dem anderen Netz abtrennen wollen. Der Wartungszugriff sollte aus meiner Sicht nur auf die Komponenten eingeschränkt werden, für die man auch zuständig ist. Ich bin der Meinung, dass der Kunde jederzeit über die Zugriffe auf sein System informiert werden muss und auch die Kontrolle darüber hat.

[Peterich]

Naja der Informatiker ist ein "Freund" vom Kunden scheinbar. Ich habe meinen Chef schon drauf hingewiesen .... bischen kompliziert die Baustelle. Ich war auch der der drauf bestanden hat das die Kameras nicht "einfach so" von Aussen erreichbar sind

[EugenDo]

Naja der Informatiker ist ein "Freund" vom Kunden scheinbar.

Die Aufgabe ist ja auch über Gefahren zu informieren und Lösungen vorzuschlagen ... im Zweifel hat der "Informatiker" das Hausrecht und muss die Entscheidung treffen ... aber sich Zugriff auf das gesamte System zu verschaffen, nur weil der Kunde oder seine Mitarbeiter da nicht durchblicken, ist aus meiner Sicht nicht die richtige Vorgehensweise.

[Peterich]

Die Aufgabe ist ja auch über Gefahren zu informieren und Lösungen vorzuschlagen ... im Zweifel hat der "Informatiker" das Hausrecht und muss die Entscheidung treffen ... aber sich Zugriff auf das gesamte System zu verschaffen, nur weil der Kunde oder seine Mitarbeiter da nicht durchblicken, ist aus meiner Sicht nicht die richtige Vorgehensweise.

An sich habe ich ja schon Zugriff auf das Gesamte System per S1 wenn ich die passenden Ports freischalte. Ich glaube das die Diskusion in die falsche Richtung Läuft. Ich nenne jetzt mal ein Beispiel:
Kunde ruft meinen Chef an. "Ich will das die lampe X um X uhr das und das macht"
Chef ruft mich an: "Mach was der kunde will"
Ich : Verbinde mich mit dem S1 auf dem ich die Ports von der VISU und den Geräten die von uns Verwaltet werden Freigeschaltet hab und mache die Änderungen.
Mit dem Kunden ist das soweit abgeklärt
Wenn das ein kleiner Privater kunde wäre der Montags anruft und ich ihm sage klick auf der VISU auf VPN Aktivieren wäre das was anderes meiner Meinung nach.
Aber ich verstehe auch deine Meinung das ich am Restlichen netz nichts zu Suchen habe. Will ich ehrlich auch nicht theoretisch könnte ich im VPN client auch einstellen das nur gewisse ip´s geroutet werden. Die Frage ist einfach ist es den Aufwand wert? Wenn der Kunde uns schon Fernzugriff gewährt vertraut er uns auch so das wir keine Dummheiten mit den Informationen im Netz machen

[vento66]

Wie hast du das mit der VISU angestellt bzw was läuft als VISU und was als VPN?

VPN macht traditionell die Firewall (hier UTM9). Die hat eine Schnittstelle, mit der man sowas veranstalten kann. Der VPN wird über CURL ein und ausgeschaltet. dazu reicht jede KNX Box, die das kann.

[EugenDo]

Der Fehler ist ja schon, dass der S1 in dem gesamten Netz des Kunden sitzt und darauf den Zugriff ermöglichen könnte ... der S1 hat die Möglichkeit, dass der Kunde den Zugriff erlaubt oder verbietet ... wer von Gira/ISE sich aber im Netzwerk umschauen könne, weiß ich nicht

Dein "Problem" organisieren wir täglich als Maschinenbauer mit Konzernen, die unsere Anlagen haben, auf die wir Zugriff benötigen bzw. der Kunde unsere Unterstützung per Fernzugriff braucht. Das hat nichts mit der Kundengröße zu tun.

[EugenDo]

Wenn der Kunde uns schon Fernzugriff gewährt vertraut er uns auch so das wir keine Dummheiten mit den Informationen im Netz machen

Sicher? Oder weiß der Kunde nur nicht, was ginge?

[Peterich]

Sicher? Oder weiß der Kunde nur nicht, was ginge?

Guter Einwand, kann ich dir ehrlich nicht sagen ich bin die Ausführende Kraft. Was ich leider bei uns in der Firma auch oft als Problem ansehe ist das gerade bei Großkunden der Ablauf ist : Kunde -> Chef -> Ich wenn es Probleme gibt meist genau umgedreht. Ich frag da nochmal genauer nach.