Discussion :

[phicarre]

Bonjour,
Je dispose d'un serveur windows 2003 sbs (protégé par firewall) et je souhaiterais pouvoir y accéder quand je suis chez n'importe qui (disons chez quelqu'un qui dispose de windows xp) moyennant quand même un certain degré de sécurité.

l'autre <-> modem/adsl <-> web <-> modem/adsl <-> FW <-> SVR2k3

Je ne voudrais pas modifier ou installer chez "l'autre" un logiciel ou un service, sachant que l'accès est limité dans le temps.
Comment faire depuis "l'autre" ?
Que paramétrer côté serveur ? routage et accès distant ?
Merci pour vos éclairages

[Senji]

salut,

tsweb sur ton sbs

bye

[ram-0000]

Je ne connais pas tsweb mais je dirais un client rdp (livré en standart sur XP, donc rien a installer) sur l'autre et le service Terminal Service sur SVR2k3

[Invité]

TSWEB à bannir niveau sécurité...
Un client RDP (natif avec WinXP, mais préférable de mettre la dernière version 6.1).

Malgré tout, niveau sécurité c'est moyen...

C'est pour quoi faire au juste ?

[ram-0000]

TSWEB à bannir niveau sécurité...
Un client RDP (natif avec WinXP, mais préférable de mettre la dernière version 6.1).

Malgré tout, niveau sécurité c'est moyen...

Ha ? Je ne serais pas contre une argumentation de ces propos.

[Senji]

TSWEB à bannir niveau sécurité...
Un client RDP (natif avec WinXP, mais préférable de mettre la dernière version 6.1).

Malgré tout, niveau sécurité c'est moyen...

C'est pour quoi faire au juste ?

désolé mais je ne suis pas du tout d'accord.

TSWEB alias RDWC ne se connecte pas directement au serveur, il interroge mstsc.exe (RDP) qui se connecte après au serveur. n'apporte pas plus de sécurité que le rdp d'ailleurs. à part une connexion vpn avec une gestion de certificat d'authentification, rdp est aussi à bannir.

bye

[Invité]

désolé mais je ne suis pas du tout d'accord.

TSWEB alias RDWC ne se connecte pas directement au serveur, il interroge mstsc.exe (RDP) qui se connecte après au serveur. n'apporte pas plus de sécurité que le rdp d'ailleurs. à part une connexion vpn avec une gestion de certificat d'authentification, rdp est aussi à bannir.

bye

Sauf erreur de ma part, TSWEB ne s'appuie-t-il pas sur IIS ? Qui ajoute au passage une passoire ?

[Senji]

Sauf erreur de ma part, TSWEB ne s'appuie-t-il pas sur IIS ? Qui ajoute au passage une passoire ?

Non, RDWC est un composant COM Win32-based ActiveX control, qui d'ailleurs utilise Remote Desktop Protocol (RDP) 5.0 client et RSA Security's RC4 cipher avec une clé de 40-, 56-, ou 128-bit. avec une clé de 128 bit, parles t-on encore de passoire?

De plus en le sécurisant on obtient un très bel outil.
en :
=>utilisant les stratégies de groupe quand on configure la fonction de manière à contrôler ce que les utilisateurs peuvent et ne peuvent pas faire par l’intermédiaire d’une connexion distante.
=>s'assurant que les systèmes configurés pour autoriser Remote Desktop se trouvent derrière un pare-feu,
=> se dotant de puissants mots de passe des comptes utilisateur qui ont l’accès Remote Desktop.

bye

[Senji]

Sauf erreur de ma part, TSWEB ne s'appuie-t-il pas sur IIS ? Qui ajoute au passage une passoire ?

au passage,
je sais que IIS est la cible favorite des hackers, mais une bonne protection de celui-ci peut donner du fil à tordre à ceux là.
( désolé, c'est un article en anglais)

10 steps to secure IIS:

1. Set up an NTFS drive just for the IIS application and data. If possible, don't allow IUSER (or whatever the anonymous username is) access to any of the other drives. If the application runs into any problems because the anonymous user doesn't have access to programs on the other drive(s), then use FileMon from Sysinternals to troubleshoot which file it can't access and try working around it by moving the program to the IIS drive. If that is impossible, then allow IUSER access just to that file.
2. Set the NTFS permissions on the drive:
Developers = Full
IUSER = Read and execute only
System and admin = Full
3. Use a software firewall to make sure that none of the end users (only the developers) have access to any other port on the IIS machine besides port 80.
4. Use the Microsoft tools for locking down the machine: IIS Lockdown and UrlScan.
5. Enable logging using IIS. In addition to the IIS logging, if possible, use logging from the firewall as well.
6. Move the logs from the default location, and make sure that they are being backed up. Set up a replication for the log folders so that a copy is always available in a second location.
7. Enable Windows auditing on the machine, because there is never enough data when trying to backtrack any attacker's activity. It's even possible to have a script run to check for any suspicious activity using the audit logs, and then send a report to an administrator. Now this might sound a bit extreme, but if security is really important in your organization, this type of action is a good practice. Set up auditing to report any failed account logons. Plus, as with the IIS logs, change the default location (c:\winnt\system32\config\secevent.log) to a different location, and make sure that you have a backup and a replicated copy.
8. On a regular basis, go through as many security articles (from various sources) as you can. It is always better that you understand as much as possible about IIS and general security practices and not just follow what others (like me) tell you.
9. Sign up to a mailing list for IIS bugs and stay up to date in reading it. One such list is X-Force Alerts and Advisories from Internet Security Systems.
10. Finally, make sure that you regularly run Windows Update and verify that the patches actually get deployed.

Et pour des acharnés de la sécu, on peut compléter CECI

voilà,

avec tout ça on peut utiliser de manière securisé TSWEB qui ne nécéssite aucune application tierce.

bye

[Invité]

Au temps pour moi... Merci pour les détails.

[neuneu1]

Salut

tu as la possibilite des plate forme ntrconnect logmein etc..en version free, c'est sympas0.

le bon vieux vpn avec le RRAS?marche pas mal aussi..

question secu , comme tu as pu le constater , c'est un vaste sujet....
Personne n'est a l abri de rien , faut prendre des precautions.
a+

ps: pour le tsweb il faut IIs sauf erreur de ma part