Design oder Verständnisproblem bei Security - Citrix-Umgebung

#1 hallo,
ich habe eine kurze Frage bezüglich einer Citrix Umgebung. Ich möchte in das Netzwerk eine Watguard(Firewall) einbinden über die der Verkehr ins Wan geregelt wird. Nun stoße ich aber schon auf die ersten Probleme:

Die User sollen sich über Terminals am Server anmelden was auch alles klappt nur wenn die Session dann steht und sich User 2 Anmeldet würden diese alle über die Lokale Ipadresse des Servers die Watchguard "passieren" und ins Wan geleitet.
Da die Watchguard nur auf IP-Adressen filtern kann und dieses auch so üblich ist habe ich nun das Problem das ich irgendwie alle Clientuser die sich am Server anmelden und über diesen auch ins I-Net gehen irgendwie Ipmäßig so auflösen muss das evtl:#

1. der Client die Ipadresse seiner eigentlichen Lankarte der watchguard mitteilt

2.oder ich irgendwie eine art datenbank erstelle und die angemeldet ip dann auf eine ip mappe die dann vom server an die watchguard weiitergegeben wird, so dass das IP-Filtering greift..


hat irgend jemand einen Rat ?????

#2 Das Verhalten ist doch so normal. Die Leute arbeiten ja auf dem Server und wenn sie rausgehen, dann mit der IP des Servers.

Eine Userbasierende Authentifizierung an der Firewall wäre u.U. die Lösung - aber sicherlich auch nicht die eierlegende Wollmilchsau.

Robert
__________
powered by http://different-thinking.de - Netze, Protokolle, Sicherheit, ...

#3 Das das verhalten die norm ist war mir klar..aber es muss doch ne lösung dieser thematik geben..???!!??? diese art ist doch nicht gerade wahrscheinlich.

#4 ich wiederhole mich:

Zitat

Robert postete
Eine Userbasierende Authentifizierung an der Firewall wäre u.U. die Lösung - aber sicherlich auch nicht die eierlegende Wollmilchsau.

__________
powered by http://different-thinking.de - Netze, Protokolle, Sicherheit, ...

#5 Hi xyCruiseryx...

vielleicht bin ich heut morgen noch nicht so helle, aber irgendwie hol' ich noch
nicht durch, wass dein Ziel ist... d.h. ich versteh's schon, aber irgendwie doch
nicht...

Auf IP-Ebene wirst du die User kaum an der FW authentifizieren können. Wie
Robert schon schrieb: alle User sind mit der Server-IP unterwegs.

Wenn es überhaupt eine sinnvolle Möglichkeit gibt, dann event. über die
Benutzerebene. Nur als Idee zwei Möglichkeiten:

Jeder Benutzer wird nach erfolgreicher Anmeldung als eigene Sitzung mit
entsprechender ID im MetaFrame geführt... eventuell kann man die
Sitzungsinformationen für die Authentifizierung an der FW nutzen?!

Watguard gehört nicht unbedingt zu den FWs, mit denen ich mich auskenne,
aber soviel ich weiß bieten einige Watguard-Produkte einen Application-Proxy...
möglicherweiße kann man über diesen eine Authentifizierung der Benutzer
erzwingen?!

Bei allem stellt sich für mich jedoch die Frage: Warum soll den Citrix-Clients
überhaupt der Zugriff auf's I-Net (ich denke mal via Browser) erlaubt werden?
Ich halte es eher für bedenklich, wenn ein Application-Server diese Möglichkeit
bietet... aber es wird dafür sicher einen guten Grund geben...

Grüße, dicon
__________
Knie nieder NICHTS und danke der Welt, dass sie dir ein Zuhause gibt und dich am Leben hält.