Verbindung zum NAS Server

[Hans W. (hans_wurst)]

Ich habe einen PC von der Arbeit und möchte per WLAN auf die Testplatte 
meiner Synology speichern können. Nun hat sich irgend etwas geändert, 
dass ich nicht mehr auf die Synology zugreifen kann. Beim Versuch zu 
verbinden, erhalte ich immer die Meldung, dass User/Passwort eventuell 
falsch wären, was aber nicht sein kann. Von meinem Privat-PC aus 
funktioniert es noch weiterhin.

Den einzigen Unterschied zwischen beiden PC, den ich sehe ist, dass ich 
beim einloggen in den Firmen-PC in einer Domaine angemeldet bin.
Kann mir jemand Tipps geben, an welcher Stelle ich noch meiner Lösung 
suchen sollte? In Sachen IT bin ich leider nicht sehr erfahren.

[Jens G. (jensig)]

Hans W. schrieb:
> Nun hat sich irgend etwas geändert,
> dass ich nicht mehr auf die Synology zugreifen kann.

Das hat also vorher schonmal funktioniert mit diesem PC?

> Den einzigen Unterschied zwischen beiden PC, den ich sehe ist, dass ich
> beim einloggen in den Firmen-PC in einer Domaine angemeldet bin.

Du bist also über VPN mit dem Firmennetz verbunden?

[Max M. (jens2001)]

Hans W. schrieb:
> dass ich
> beim einloggen in den Firmen-PC in einer Domaine angemeldet bin

Dann solltest du deinen Firmen Systematministrator fragen...
1. ... ob du überhaupt den Firmen-PC mit deiner privaten NAS verbinden 
darfst?
2. ...falls JA wie das geht?

[Max M. (jens2001)]

Jens G. schrieb:
> beim einloggen in den Firmen-PC in einer Domaine angemeldet bin.
>
> Du bist also über VPN mit dem Firmennetz verbunden?

Man kann sich auch offline an einem Domain-PC anmelden.

[Rüdiger B. (rbruns)]

Kannst du von deinem FirmenPC überhaupt auf dein lokales Netz zugreifen 
oder bist du per VPN nur mit deinem Firmennetzwerk verbunden ?
Ping doch mal dein NAS an, oder mit Tracert den Weg verfolgen.

[Hans W. (hans_wurst)]

Ja, die Verbindung Arbeits-PC <--> Synology hatte vorher noch 
funktioniert. Dazwischen habe ich mit dem Tool "CCleaner -> Extras -> 
Festplatten Wiper" ein sicheres Löschen der Daten vorgenommen. 
Allerdings nur auf den freien Speicher. Unter der Haube ist aber wohl 
mehr passiert, als nur die gelöschten Daten sicher zu entfernen.

Ich melde mich offline an meinem PC an und während der Arbeit verbinde 
ich mich per VPN mit der Arbeit.

Ping zum NAS funktioniert.

[(prx) A. K. (prx)]

Die VPN könnte (mittlerweile) aus Sicherheitsgründen so konfiguriert 
sein, dass alle Zugriffe über die VPN gehen, keine lokalen Adressen 
ansprechbar sind.

[Hans W. (hans_wurst)]

Um sicher zu gehen, dass ich mich korrekt anmelde:
Wenn ich mich mit dem NAS verbinden möchte, schlägt mir Windows als 
user-name "domain\mein_NAS_user" vor, was natürlich nicht stimmen kann. 
Wenn ich dort dann "anderes Konto verwenden" wähle und nur den 
"mein_NAS_user" als user angebe, sollte der Nutzername doch wieder 
passen, oder?

[(prx) A. K. (prx)]

.\dein_user,
deine_workgroup\dein_user oder sowas in der Art

Obacht: Informationen aus der Arbeitsumgebung außerhalb derselben in 
privatem Speicher zu deponieren kann dir auch dann Ärger mit dem 
Arbeitgeber einhandeln, wenn es technisch möglich ist.

[Jens G. (jensig)]

Max M. schrieb:
> Jens G. schrieb:
>> beim einloggen in den Firmen-PC in einer Domaine angemeldet bin.
>>
>> Du bist also über VPN mit dem Firmennetz verbunden?
>
> Man kann sich auch offline an einem Domain-PC anmelden.

Ja sicher, aber der Nutzen ist dann meist sehr eingeschränkt, wenn das 
meiste, was man so braucht, nur im Firmennetz liegt.

[Hans W. (hans_wurst)]

Rüdiger B. schrieb:
> Kannst du von deinem FirmenPC überhaupt auf dein lokales Netz zugreifen...?

Den WLAN-Drucker kann ich zumindest weiterhin erreichen/verwenden.

[Thomas W. (Gast)]

Du bist ja nicht der Eigentuemer des Laptops: IT-Support fragen ob sich 
was veraendert hat (z.b. kann der Ostern-Break benutzt wurde sein, um 
Updates einzuspielen).

Wenn Du Dich in die Domaine Deines Arbeitgebers einloggen kannst und 
arbeiten kannst: Works as planned.

Wir haben so oder so keine Informationen: Welcher VPN-Client, welcher 
VPN-Server, und, und und.

Gruesse

Th.

[(prx) A. K. (prx)]

Da er den Login-Prompt zu sehen bekommt und auch Drucker erreicht, 
dürfte es keine Einschränkung des IP-Routings sein. Dann wäre die VPN 
offener konfiguriert, als für das Unternehmen ratsam sein könnte.

[C-hater (c-hater)]

Max M. schrieb:
> Jens G. schrieb:
>> beim einloggen in den Firmen-PC in einer Domaine angemeldet bin.
>>
>> Du bist also über VPN mit dem Firmennetz verbunden?
>
> Man kann sich auch offline an einem Domain-PC anmelden.

Das oft ja. Allerdings nur, wenn man schonmal mit dem Domänen-Account 
auf dem Rechner angemeldet war.

Darüber hinaus können per Domänen-Richtlinien weitere Einschränkungen 
konfiguriert werden, beginnend mit einer zeitlichen Einschränkung auf 
die Gültigkeitsdauer des Computer-Accounts über eine zusätzliche 
zeitliche Einschränkung, die bereits greifen kann, bevor das 
Computer-Zertifikat abläuft bis hin zu einem kompletten Verbot der 
Anmeldung mit dem Domänen-Account, wenn kein Anmeldeserver der Domäne 
erreichbar ist.

Zumindest erstere Restriktion ist heute typisch fast überall 
konfiguriert, oft auch die zweite. In größeren Firmen meist auch die 
dritte (außer für Notebooks, die für den Ausser-Haus-Betrieb vorgesehen 
sind).

[(prx) A. K. (prx)]

(prx) A. K. schrieb:
> Da er den Login-Prompt zu sehen bekommt

PS: Den von der NAS.

[C-hater (c-hater)]

(prx) A. K. schrieb:

> Die VPN könnte (mittlerweile) aus Sicherheitsgründen so konfiguriert
> sein, dass alle Zugriffe über die VPN gehen, keine lokalen Adressen
> ansprechbar sind.

Hmm... Der Sinn so eines VPN ist ja typisch, Resourcen aus dem LAN auch 
remote verfügbar zu machen (natürlich nicht alle und vor allem auch 
nicht alle für jeden).

Aber komplett ohne diesen Nutzen wird ein VPN doch einigermaßen sinnlos, 
oder?

[(prx) A. K. (prx)]

C-hater schrieb:
>> Die VPN könnte (mittlerweile) aus Sicherheitsgründen so konfiguriert
>> sein, dass alle Zugriffe über die VPN gehen, keine lokalen Adressen
>> ansprechbar sind.
>
> Hmm... Der Sinn so eines VPN ist ja typisch, Resourcen aus dem LAN auch
> remote verfügbar zu machen (natürlich nicht alle und vor allem auch
> nicht alle für jeden).

Kommt auf die Art der VPN an. Eine Aussenstelle per VPN mit der Zentrale 
zu verbinden, ist ein völlig anderes Szenario, als ein vom Unternehmen 
gestellter Laptop für den Heimarbeitsplatz, wie es hier zu sein scheint.

> Aber komplett ohne diesen Nutzen wird ein VPN doch einigermaßen sinnlos,
> oder?

Eine VPN für den Heimarbeitsplatz kann (bzw. sollte) so konfiguriert 
sein, dass der PC nur die Verbindung mit dem Gegenstück im Unternehmen 
aufnehmen kann, und anschliessend der gesamte Traffic über die VPN 
läuft. Zugriff auf Fremdseiten im Internet inklusive. Der PC sich also 
exakt so benimmt, als sei er vor Ort im Unternehmen platziert. In diesem 
Szenario kann es auch sein, dass lokale Drucker nicht ansprechbar sind.

Wie streng das die IT des Unternehmens sieht, oder ob sie nicht auf 
Routing-Ebene, sondern auf Ebene der Policy oder einer Firewall als Teil 
des VPN-Clients einschränkt, ist deren Entscheidung. Offenheit ist an 
dieser Stelle aber ein grosses Risiko. Nicht nur hinsichtlich 
Datenabfluss und möglichen Folgen für den Datenschutz, sondern auch in 
die andere Richtung: Wenn Internet-Zugang nicht über die VPN geht oder 
möglicherweise infizierte Daten von lokalen Ressourcen ansprechbar sind, 
werden Sicherheitsmechanismen des Unternehmens unterlaufen.

[(prx) A. K. (prx)]

Jens G. schrieb:
>> Man kann sich auch offline an einem Domain-PC anmelden.
>
> Ja sicher, aber der Nutzen ist dann meist sehr eingeschränkt, wenn das
> meiste, was man so braucht, nur im Firmennetz liegt.

Es kann sein, dass man sich ausserhalb des Firmennetzes am PC anmelden 
muss, bevor die per VPN aufzubauende Verbindung zum Domaincontroller 
möglich ist. In diesem Szenario ist eine Anmeldung ausserhalb des 
Firmennetzes immer offline. Die Anmeldung an der VPN erfolgt dann 
anschliessend. Nur innerhalb des Firmennetzes funktioniert die Anmeldung 
dann online.

Das hängt allerdings davon ab, wie der VPN-Client arbeitet. Klinkt er 
sich bereits in die PC-Anmeldung mit ein, kombiniert also VPN- und 
Domainanmeldung, sieht das anders aus.

[C-hater (c-hater)]

(prx) A. K. schrieb:

> Das hängt allerdings davon ab, wie der VPN-Client arbeitet. Klinkt er
> sich bereits in die PC-Anmeldung mit ein, kombiniert also VPN- und
> Domainanmeldung, sieht das anders aus.

Genau das machen alle ernstzunehmenden VPN-Lösungen für Windows-Clients. 
Eben weil alles anderes ziemlich sinnlos wäre...

Aber klar: auch bei diesen Lösungen (einschließlich der in Windows 
eingebauten) bleiben natürlich Lücken. Das versuchen die "voll 
aufgebrezelten" VPN-Lösungen der Üblichen Verdächtigen zwar zu 
beschränken, aber wirklich vollständig dicht machen können sie 
mindestens den Zugang zum LAN des aktuellen Standorts des Clients nicht.

Wie auch? Irgendwie muss ja wenigstens der gewünschte und erlaubte 
Tunnel am Laufen gehalten werden. Um das zu ermöglichen, muss so viel 
erlaubt werden, dass das LAN vor Ort mit allen seinen Features praktisch 
fast frei verfügbar ist. Zumindest für jemanden, der weiß, wie man das 
Angebot nutzen kann...

Also wie so oft: Reine Scheinsicherheit. Die sich die Anbieter solcher 
Lösungen aber recht ordentlich bezahlen lassen...

[(prx) A. K. (prx)]

C-hater schrieb:
> Genau das machen alle ernstzunehmenden VPN-Lösungen für Windows-Clients.
> Eben weil alles anderes ziemlich sinnlos wäre...

So habe ich das zwar von Checkpoint auch vage in Erinnerung, aber bei 
Palo Alto läuft das wie beschrieben brav nacheinander. Erst die 
Offline-Anmeldung im Windows, danach die VPN-Anmeldung.

[(prx) A. K. (prx)]

C-hater schrieb:
> Zumindest für jemanden, der weiß, wie man das Angebot nutzen kann...

Es geht in dieser Frage nicht um "russische Hacker" oder 
IT-Spezialisten, sondern um ganz normale PC-Anwender, die sich ohne 
Kenntnis möglicher Konsequenzen ihr infiziertes Lieblings-EXE von der 
eigenen NAS ziehen, oder sich während der Arbeit direkt im Internet oder 
dem privaten Mailaccount umsehen.

> Also wie so oft: Reine Scheinsicherheit.

Nope. Kann es sein, dass du nie mit normalen PC-Anwendern zu tun hast, 
sondern immer nur mit Technik-Nerds oder Leuten, die bewusst Unfug 
stiften wollen? Normale Anwender sind i.d.R. damit einverstanden, dass 
man ihre Umgebung so einschränkt, dass sie ohne Absicht dahinter 
möglichst wenig Unfug stiften können.