Hallo.

Ich habe ein merkwürdiges Phänomen mit VPN unter Windows 2008.

Es besteht eine eigene Benutzergruppe (VPN-User).

Dort gibt es die jeweiligen VPN-Benutzer.

Wenn ich mit diesen Benutzern eine VPN-Verbindung aufbaue, kann ich über die Administrativen Freigaben auf den Server zugreifen. Das sollte mit der speziellen Benutzergruppe eigentlich umgangen werden.

Es war eigentlich vorher gesehen, dass man mit dem VPN-User die VPN-Verbindung aufbaut und dann mit einem anderen Benutzer Zugriff auf Freigaben erhält.

Ich habe mir die Sicherheitsberechtigungen angeschaut und konnte keinen Fehler feststellen.

Zum Verständnis:

User Max Mustermann baut eine VPN mit den Anmeldedaten MMustermann auf.

Er kann somit nun auch auf Serverfreigaben herumlungern obwohl er dazu die Anmeldedaten Max.Mustermann nutzen soll/bzw. nach den "neuen" Zugangsdaten gefragt werden soll?!

Er soll sich also mit seinem VPN Account nur einwählen aber mit diesem keinen Zugriff auf die Serverfreigaben erhalten?

Genau so soll es sein. Aber leider funktioniert es so nicht.

Dieses Konstrukt muss ich zwar nicht verstehen, aber:

Auf die administrativen Freigaben haben nur Admins Zugriff, also muss Max Mustermann Admin sein. Das bitte schnell beheben.

Was du brauchst sind dann zwei Accounts für Max Mustermann:

MustermannM_VPN hat das Recht zur VPN Einwahl, aber keine Rechte auf Freigaben und NTFS Rechte.

MustermannM hat das Recht auf Freigaben und die passenden NTFS Rechte, aber kein Recht auf VPN Einwahl.

Ganz einfach... doppelte Sicherheit. Für den Fall, dass man ein Kennwort bekannt werden sollte, kann man sich zwar über VPN einwählen, hat aber keinen Zugriff auf die Freigaben. Deswegen der zweite Benutzer.

Der Benutzer hat keine Admin-Rechte... siehe http://img90.imageshack.us/img90/826/vpns.jpg !

Kommt der VPN User ohne weitere Authentifizierung auf die $-Freigaben? Dann überprüfe die Freigaberechte und NTFS-Rechte.

Ja... das ist ja das Dubiose... er kommt mit net use Laufwerksbuchstabe \\ip\c$ auf sämtliche freigaben. An den Sicherheitsberechtigungen und Freigaben ist mir nichts aufgefallen.

Dann muss die Benutzergruppe für die VPN Einwahl aber entsprechende Rechte bekommen haben oder die Gruppe hat welche geerbt.