Netzwerkaufbau und die Sicherheit

Hallo!

Ich baue gerade ein Netzwerk für unsere kleine Firma auf:

Der Netzwerkaufbau ist wie folgt:



Linksys DSL Router mit SPI Firewall => Netgear WGT 624 WLAN Router => 1 WIN SBS 2003 Server (an Lan) + 4 PCs intern (+2 externe VPN)


Der Server ist im Moment an den Netgear Router angeschlossen. DHCP und DNS werden durch den Server bereitgestellt und sind deshalb an den beiden Routern deaktiviert.

Meine Probleme liegen noch darin, ob meine Netzwerktopologie auch Sicherheitssicht vertretbar ist oder nicht.

Zum besseren Verständnis:

Welche Aufgaben soll der Server haben:

1. Digitales Dokumentenarchiv das über Sharepoint bereitgestellt wird.
2. Server für ein ERP System auf das die Clients im Netzwerk zugreifen
3. Ein externes 2. Büro sowie Mitarbeiter zu Hause sollen sowohl auf das Dokumentenarchiv als auch auf das ERP zugreifen können.
4. CAD-Fileserver für Kunden über VPN oder SSL-VPN

Meine Unklarheiten:

Ihr seht meinen Netzwerkaufbau oben beschrieben. Das Netzwerk ist nach außen hin mit dem Linksys DSL Firewallrouter "geschützt". Ist er das firewalltechnisch ausreichend? Der Server selbst läuft mit SBS 2003 Standard. (also kein ISA). Zusätzlich wird er mit F-Secure Anti Virus für Windows Server vor Viren geschützt. Die Client PCs haben eine F-Secure Desktop Firewall und Anti Virus.
Ich habe mir überlegt, zur besseren Absicherung, den Server eventuell an den Linksys Router anzuschließen und ihn so noch in einer Art DMZ zu betreiben. Nun ist die DMZ ja dann meist im Einsatz wenn man einen Server betreibt auf den von außen zugegriffen werden soll und er von den anderen "internen" Servern getrennt wird. Dies ist hier jedoch nicht der Fall. Also nur Schutz der Client PCs durch DMZ.

Da wir eine kleine Firma sind betreiben wir nur einen Server für alles. Die Anwendungen werden sowohl intern als auch extern benötigt. Wie kann man das Sicherheitstechnisch lösen, das man diesen Server sowohl als Fileserver für die Kunden (CAD Daten Austausch) als auch als "sicheren" Dokumenten/ ERPserver für die Firma betreiben kann. Ist z.B. sinnvoll für den CAD Fileserver eine Netzwerkfähige Festplatte mit eigener IP hinter eine SSL-VPN Hardwarelösung wie den SSL 312 Concentrator von Netgear zu hängen um somit zumindest den CAD Fileserver für die Kunden vom Server mit Firmeninternen Daten zu trennen?
(Warum SSL-VPN: Weil ich hier eine webgestütze Oberfläche habe, auf die der Kunde Plattformunabhängig zugreifen kann)


Dann bleibt noch die Frage:

Die Firmeninternen Daten/Dokumente/ERP müssen dem externen Büro verfügbar gemacht werden. Meine Überlegung: Ebenfalls Zugang über SSL VPN. Wie sieht es damit aus?


Was mir nicht gefällt ist, dass alle Anwendungen auf einem Server laufen. Ich kann den Zugriff für die einzelnen Anwendungen durch Firewall, Benutzerkonten, Benutzerrichtlinien etc. regeln. Was aber passiert, wenn der Server doch irgendwie angegriffen wird und jemand der dies z.B. über den Kunden CAD Fileserver gemacht hat, auch schnell Zugriff auf die Firmeninternen Daten hat.

Ziemlich komplexe Sache!

Bin für jeden Ratschlag dankbar!

Gruß Tom