Wenn ich demnächst in grösserem Maße WLAN ins Firmennetz integrieren muss, sehe ich kein Problem für die Sicherheit des bestehenden Netzes. Die Clients bauen eine VPN-Verbindung zu einem Knoten unmittelbar hinter dem AccessPoint auf, dieser wiederum schickt deren Anfragen weiter an eine Shorewall, welche nur legitime Anfragen ausschliesslich auf entspr. gehärtete Server zulässt.
Angenommen aber, trotz aller Sicherungsmaßnahmen auf dem AccessPoint gelänge es einem illegitimen Client, sich an diesem AccessPoint anzumelden. Oder tun wir grad so, als hätte ich auf dem AccessPoint keine Sicherungsmaßnahmen ergriffen, um so den Sonderfall des zwar scheinbar legitimen, längst aber schon auf anderem Wege korrumpierten Clients mit einzubeziehen.
Diesem Client stehen nun erst mal alle anderen Clients in dieser Funkzelle völlig gleichberechtigt und entspr. offen gegenüber. Erschwerend kommt hinzu, dass es sich bei den Clients ausschliesslich um Windows-Kisten handelt, noch erschwerender, dass einige dieser Dinger unter Windows-CE laufen, einer Katastr… - einem Betriebssytem, von dem ich keine Möglichkeit wüsste, es zu härten (und das ich leider auch nicht tunneln lassen kann, was ich aber als relativ unproblematisch ansehe, hier greifen andere Sicherungsmechanismen).
Hat hier jemand eine Idee, wie ich diese Clients inhärent gegeneinander abschotten kann? Für normale Windows-Rechner, w2k oder xp, habe ich so eine vage Idee, sämtlichen Netzwerkverkehr nur über ein virtuelles Netzwerkinterface zuzulassen, welches ausschliesslich getunnelt mit dem VPN-Knoten kommuniziert, so dass unerwünschte Anfragen, z. B. auf die im vergangenen Jahr massiv angegriffenen ASN, MDAC oder die rpc-Schnittstelle, das Betriebssystem gar nicht erst erreichen. Sondern von diesem virtuellen Interface gleich verworfen werden.
Aber halt nur 'ne vage Idee, keine Ahnung, wie sich das realisieren liesse. Und was die Win-CE Geräte angeht, fällt mir grad garnix ein.
Danke für Anregungen
Schorsch
