Zugriff von außen

[bastelheini]

Nein, ich weiß es eben nicht, was du meinst. Wir reden ja gerne aneinander vorbei.

Ein VPN ist eine Netzkopplung. Du koppelst zwei Netze aneinander. Ist State-of-the-Art und wird so auch ganz normal in Unternehmen eingesetzt, wenn du Standorte über öffentliche Leitungen verbinden willst.

Jetzt unterscheiden wir mal die Anwendungsfälle:

1) Hier in diesem Bereich: Da wird ein Smartphone, das unterwegs (also idR Mobilfunk in einem NAT mit Netzmaske 255.255.255.255, d.h. man ist allein in dem Netz) ist, Mitglied des Heimnetzes, meinetwegen über die Fritzbox. Da ist überhaupt nichts spannendes bei. Das Handy hat dann auf alles Zugriff (über die gleichen IPs und Gerätenamen) im Netzwerk, als wäre es "zu Hause". Das ist genau, was wir wollen. Man kann es sicher noch im Rahmen der Fritzbox etwas absichern (die Geräte bekommen ja einen eigenen IP-Bereich), wenn man möchte, aber das nur am Rande.

2) Kopplung zweier Netzwerke, z.B. wie von dir jetzt vermutlich gemeint, zweier Fritzboxen. Jeder Teilnehmer des einen Netzes kommt erreicht alle Teilnehmer des anderen Netzes. Das ist prinzipiell richtig. Netzkopplung erfordert immer "Vertrauen". Tiefstes Vertrauen. Man sollte sowas nicht einfach per Gießkanne verteilen, auch WIE man es verteilt, muss schon sicher sein.

ABER: In (ordentlichen) Unternehmensnetzwerken gibt es so eine offene Netzkopplung defakto nicht. Da hat man ein VPN-Gateway mit eigenen VLANs, Routen usw, so dass die Teilnehmer schon sehr stark eingeschränkt werden, wo sie am Ende hinkommen. Und solche Geräte, wie diese Appliances, hängen auch dort in einem eigenen VLAN, so dass man diese auch nicht einfach so erreicht, also auch nicht am Standort-LAN.

Wir routen beispielsweise die Mitarbeiter VPN generell so, dass sie nur ihren eigenen Mitarbeiter-Rechner per RDP erreichen. Sonst nichts.

Man kann sich soetwas auch günstig zu Hause bauen; ein guter managbarer Switch mit Layer-3 Funktionen reicht da aus, gibts auch recht günstig (knapp über 100 Euro) schon von Cisco.

VPN an sich ist defakto nicht unsicher, im Gegenteil, es ist das Mittel der Wahl, wenn man durch ein öffentliches (unsicheres) Netz muss. Eine Portfreigabe ist keine Alternative, denn dieses zusätzliche Detail, was du erreichen willst (VPN-Teilnehmer X darf nur auf Gerät X routen und über Ports X,Y,Z kommunizieren) lässt sich prima zusätzlich einrichten. Eigene Routen hinzufügen kann die Fritzbox ja sogar...

Deine Bedenken, wenn ich sie denn jetzt richtig eingeschätzt habe, sind jetzt auch kein Geheimnis - das ist eigentlich Basiswissen, wenn man damit "herumspielt".