Benutzeranmeldung über fremdes Subnetz verhindern

Es gibt ein Netzwerk mit einem zentralen w2k Rechner als Server (kein Server OS). Nun sollen sich Benutzer per VPN in das Netz einklinken können. Soweit geht das auch (Router <> Router sowie Router <> PC). Das Problem: ein externer User hätte nun unbeobachtet alle Zeit der Welt, der Adminaccounts des Netz habhaft zu werden. Zwar haben die entsprechende Passwörter, aber man kann ja nie wissen wie dumm es kommt. Ich suche also nach einer Möglichkeit, dass man sich mit einer subnetzfremden IP nicht mit bestimmten Accounts anmelden kann oder anders herum, dass die Anmeldung zu bestimmten Accounts zwingend über bestimmte IPs erfolgen muss.

 

Um was genau zu tun? Dateizugriff?

Kannst du die ungewollte Anmeldung nicht über eine Port-Sperre verhindern? Die Anmeldung muss ja über einen bestimmten Port laufen. Oder müssen die Leute "von außen" sich anmelden können?

 

...zum Beispiel. Das ist aber nicht das Problem.

Ich will nicht grundsätzlich die Anmeldung verhindern, sondern nur, dass sich ein Benutzer nicht mit einem Adminaccount anmelden kann. Die für mich logischste Umsetzung wäre, dafür zu sorgen, dass eine Anmeldung nur von bestimmten IP Adressen oder einem bestimmten Subnetz erfolgen kann (da ja alle VPN Verbindungen systembedingt aus einem anderen Subnetz kommen als das Ziel-Lan).

 

Hallo,

ich habe bisher nur als Benutzer über VPN gearbeitet und habe das System auf das zugegriffen wurde administriart, weiß also nicht wie folgendes umgesetzt wurde:

Ich melde mich für VPN an. Nachdem VPN mich zugelassen hat war ich im Sytem hatte aber keine Möglichkeit mich anders als über den Anmeldebildschirm Anzumelden in dem schon mein Name stand. Jeder versuch den zu ändern fürte zum generellen rausschmiss aus VPN.

War so gemacht um zu verhindern das man eben mal über sein VPN als Kollege rein geht (was sehr häufig passiert). Über die Zugriffszeiten kann man ja unter Windows gut steuern wann wer rein darf.

Ist halt so das alle Benutzer möglichst einfach heißen wollen und am liebsten ohne Passwort wo hin wollwn.

Will man wirklich ein bischen Sicherheit hilft nur die Administrator-Accounts umbenennen. Dann wird es noch ein bischen schwieriger rauszufinden wer ist denn jetzt Administrator.

aber das geht dann wirklich zu weit.

Gruß
Christian

 

Das geht so nur über eine reine VPN-Clienteinwahl auf einen DC. Bei mir besteht jedoch eine permanente VPN-Verbindung zwischen den Routern - d.h. der User selbst hat keine separate Anmeldung für die VPN Verbindung (die ist einfach da, er merkt nichts davon).