Home Office Netzwerk sicher "machen" .....

[OldCaligula]

Salve!
Da ich nicht der Netzwerk Spezialist bin, frage ich lieber die Profis hier .

Zu Hause im Home Office habe ich nun den Mac Pro stehen, der als Hauptrechner und auch somit als Datengrab dient. Der Mac Pro läuft 24/7 - ist also im netz ständig verfügbar. Nun habe ich ja noch mein MacBook Pro, mit dem ich ab und zu auf der Couch etc arbeite. Ich dachte erst an eine Synchronisation der Daten Desktop <--> MacBook per Software etc - aber da es sich hier um alle Projekte meiner Firma handelt - zu groß, zu unsicher, zu vergesslich etc...

Der der Mac Pro eh andauernd an ist - oder im Standby auf Zugriff wartet, bleiben die Daten alle auf dem Mac Pro und mein MacBook greift auf den Freigegebenen Ordner / Bereich des Mac Pro zu - habe ich einfach als "Laufwerk" eingebunden...

So - meine Frage...

a) Mac Pro fungiert als Daten Server über Systemeinstellungen Dateifreigabe
b) Andere Rechner haben diesen Server eingebunden
c) WLAN geht über Vodafone Easybox (Verschlüsselung mit 30 Zeichen Code)
d) Mac Pro ist per WLAN verbunden
e) Alle anderen Geräte sind per WLAN verbunden
f) Das WLAN der Vodafone Box ist unsichtbar

Da es sich im meine Firmendaten handelt, bin ich aber trotzdem etwas unsicher. Wie sicher sind denn nun meine Firmendaten? Muss ich irgendwelche besonderen Einstellungen sonst noch irgendwo zur Sicherheit machen? Wie könnte ich noch mehr Sicherheit raus holen. Kabel LAN fällt leider aus, dann müsste ich die Wohnungswände auf schlagen...

Freue mich auf Eure Tipps...

 

[Farafan]

Naja, viel mehr kannst du nicht tun.

Man kann das WLAN-Passwort noch auf die maximalen 63 Zeichen erhöhen, ein unsichtbares WLAN ist eigentlich nur Show. Von entsprechenden Tools wird es ebenso gefunden.

Was ich noch raten würde wäre die Sendeleitung des WLAN auf das unbedingt notwendige Maß zu reduzieren, das verringert die Reichweite und damit auch die Zugriffsmöglichkeit für böse Buben.

Möglich wäre sicher noch eine Hardware-Firewall, dies macht aber auch nur Sinn wenn man das know-how und entsprechende Zeit für die Konfiguration investieren möchte.

 

[OldCaligula]

Danke Farafan, dann kann ich wohl nicht mehr tun wie es scheint. Wobei ich den Zugriff auf die Laufwerke / Ordner nun über die Apple ID gemacht habe - sprich nur Geräte mit meiner Apple ID können darauf zugreifen...
---

Jetzt habe ich aber ein weiteres Problem. Der Mac Pro geht nach 30min in den Ruhezustand (Systemeinstellungen / Energie). Ich habe dort auch den Haken aktiviert, dass nach einem Netzwerkzugriff der Ruhezustand beendet werden soll. Zusätzlich habe ich auf dem MacBook Pro einen Alias zum Server erstellt.

Fährt der Mac Pro nun nach den angegebenen 30min in den Ruhezustand und greife ich dann mit dem MacBook Pro auf den Server zu - tut sich nichts. Na ja - fast nichts - irgendwann meldet der Finder, dass er auf Mac Pro_server nicht zugreifen kann. Gehe ich im Finder auf "Gehe zu" und wähle den Server aus - also den Mac Pro - das gleiche Ergebnis.

Mein MacBook schafft es nicht per Zugriff auf die Freigegebene HDD aus dem Schlaf zu holen - obwohl die "dank" Haken möglich sein müsste. Rat & Tat?

 

[OldCaligula]

Lösung.

Eben mal durch die Gegend gegoogelt - ich bin nicht alleine. Zig User wollen ihren Mac "erwachen" lass bei Zugriff und es klappt nicht. Und nach tiefer und tiefer suchen, habe ich dies gefunden bei Apple: http://support.apple.com/kb/HT3774?viewlocale=de_DE&locale=de_DE

1. Der als Datenserver und erwachende Mac Rechner muss am AirportXtreme, AirportExpress oder TC "angeschlossen sein"
2. Derjenige (NAS, zweiter Mac... etc) muss ebenso am o.g. Router angeschlossen sein
3. Aktuelle Firmware der o.g. Router
4. Bei bevorzugte Netze den Apple Router nach oben schieben

Steht ja aber auch alles in der Anleitung.

Gleich mal so umgesetzt, Mac Pro schlafen geschickt, MacBook aktiviert, ein Klick auf den Netzwerkordner auf dem Mac Pro - und er springt sofort an! Klappt. Ohne Probleme. Aber vorher über das WLAN der Vodafone EasyBox 803 ging gar nichts... nun hängen beide Rechner am WLAN der AirportExpress...

"Interessant" - beim Zugriff des MacBook auf den MacPro wacht dieser zwar auf... er aktiviert aber nicht das volle Programm scheint mir. Die Bildschirme springen nicht am vom Mac Pro... die Lüfter drehen auch nur 1/2 Stärke. Erst wenn ich den Mac Pro "richtig" erwecke (Tastatur), gehen die Bildschirme an und auch die Lüfter fahren kurz richtig hoch...

So erledigt. Bett ruft...

 

[Berom]

Ich dachte mir gerade beim durchlesen deines Postes ob evtl. nicht ein NAS auch eine lösung wäre?
Mac Pro brauch ja nicht gerade wenig Strom. Neue NAS bringen auch eine Verschlüsselung mit. Könnte vom Sicherheitsaspekt mehr Möglichkeiten bieten.

 

[Master123of]

"Interessant" - beim Zugriff des MacBook auf den MacPro wacht dieser zwar auf... er aktiviert aber nicht das volle Programm scheint mir. Die Bildschirme springen nicht am vom Mac Pro... die Lüfter drehen auch nur 1/2 Stärke. Erst wenn ich den Mac Pro "richtig" erwecke (Tastatur), gehen die Bildschirme an und auch die Lüfter fahren kurz richtig hoch...

Das ist mir bei meinem iMac auch aufgefallen. Habe auch alle Geräte an einem AirPort Router und das Apple TV weckt den Bildschirm nicht auf. Die Einstellung nennt sich soweit ich weiß "Darkwake" und kann über die Konsole aktiviert bzw. deaktiviert werden.

 

[dadudeness]

Ich dachte mir gerade beim durchlesen deines Postes ob evtl. nicht ein NAS auch eine lösung wäre?
Mac Pro brauch ja nicht gerade wenig Strom. Neue NAS bringen auch eine Verschlüsselung mit. Könnte vom Sicherheitsaspekt mehr Möglichkeiten bieten.

Wenn jetzt auch noch ein NAS dazukommt, dann wird ja noch eine Baustelle aufgemacht, von wegen wie NAS sichern und wie auf Daten zugreifen, wenn das NAS einem Hardware-Defekt erliegt und das Modell nicht mehr verfügbar ist.
Außerdem musst den Strom, den ein NAS kostet, erstmal sparen. Denn wenn Du ernsthaft mit Daten arbeiten willst, die auf einem NAS liegen, kommt nicht mit so einem ARM-Kindergeburtstags an. Um ordentliche Übertragungsraten zu erreichen, brauchst nicht unter Atom anfangen, sonst hast keinen Spaß.
Also NAS ist raus.


Ein Netz ohne SSID zu betreiben, ist ein Sicherheitsmerkmal aus der Anfangszeit von Wlans, kannst es Dir komplett schenken. Damit verringerst auch eventuelle Probleme/Verzögerungen beim Verbindungsaufbau von Geräten mit dem Wlan.

AFP-Shares sind was die Authentifizierung angeht schon gut. Wärst Du auf SMB angewiesen, sah das noch anders aus. Samba übertrug früher die Aithentifizierungsdaten teils im Klartext. Ob das immer noch so ist, entzieht sich meiner Kenntnis.

WPA2 ist eine nach aktuellem Stand sichere Verschlüsselung. Die Verlängerung der Phrase ist allerdings nicht notwendig und bringt keinen Sicherheitsgewinn. Jedenfalls dann nicht, wenn die bisherige 30 Stellen Phrase - wovon ich ausgehe - nicht in einem Wörterbuch zu finden ist. Ursache dafür ist, dass die Passphrase mitnichten der Schlüssel ist, mit dem die Übertragung zu entschlüsseln ist. Vielmehr ist es so, dass sie die Verbindung mit dem Netzt initial ermöglicht. Der eigentliche Schlüssel wird regelmäßig automatisch geändert und ist völlig unabhängig der Passphrase immer gleich lang und gleich sicher.

Sinnvoll ist es noch, zu schauen, welche Dienste auf den Rechnern im Netz verfügbar sind. Also ob auf irgendwelchen Geräten mehr als die Dateifreigabe aktiv ist oder ob noch mehr läuft. Ich würd z.B. drauf achten, dass nicht sinnlos Drucker-Freigaben, Freigaben von öffentlichen Ordnern aktiv sind.
Auch weitere Geräte, die im Netz sind, sollten auf Sicherheit geprüft werden. Das kann schon bei einem 30€ Printserver anfangen, bei dem das Standardpasswort fürs Web-Frontend nicht geändert wurde.
Denn Du baust ja mehrere Verteidigungslinien auf:
1. Ist der Zugriff aufs LAN ja per Haustür für Eindringlinge gesperrt, aufs Wlan per WPA2
Wird doch irgendwie Zugriff aufs lokale Netz erlangt, greift
2. Die Absicherung der Geräte im Netz.
Und zu 2. gehört eben nicht nur der direkte Zugriff, also dass ein AFP-Share nur per AppleID zugänglich ist, sondern auch, dass keine anderen Geräte im Netz gekapert werden können, um aus einer anderen Richtung einen Angriff auf Geräte auszuführen.

Also: Nicht benötigte Dienste aus, Standardpasswörter ändern, Zugriff von außen soweit möglich einschränken, also z.B. uPNP deaktivieren und Portweiterleitungen wenn möglich deaktivieren/überprüfen.

Dann hast Du erstmal ein solides Setup.

 

[OldCaligula]

Danke!

Ja das NAS nehme ich nicht als Datenspeicher - schon aus Arbeitsgründen nicht. Ich arbeite 80% mit dem Mac Pro und 20% mit dem MacBook. Wenn die Daten auf dem Pro liegen - so sind sie in 80% der Fälle also direkt verfügbar. Wenn alle Daten (und es sind große Daten) auf dem NAS liegen - ist es egal, ob ich mit dem Mac Pro arbeite oder dem MacBook - ich muss in 100% der Zeit auf das (langsamere) NAS zugreifen...

Und dann wäre noch das Thema BackUp und Datensicherung vom NAS aus ein Thema.

Wieso hat man einen Mac Pro (Server) denn ..? Wenn u.a. nicht aus als Server. Der Mac Pro hat nun 2x 2TB HDD im RAID 1 laufen - da ist mein ganzes System drauf und die Daten. Zusätzlich hat der Mac Pro eine 3te HDD installiert, auf der ich mein BackUp von den Daten fahre. Und auf dem NAS wird ein verschlüsseltes TimeMaschine BackUp gefahren - nochmals als separates BackUp.

Dann beherzige ich mal Deine sehr guten Tipps daduness...