Re: [gentoo-user-de] VPN-Lösung gesucht

[Tobias Brinkert]

Hi,
> Hi,
>
> Volker Katz schrieb:
> > Soweit ich das gesehen habe, kann OpenVPN das alles. Nun habe ich noch
> > ein Problem:
> > Was passiert, wenn jemand auf seinem Notebook händisch eine IP-Adresse
> > aus dem virtuellen Subnetz eingibt? Kann ich ihn auf dem Router irgendwie
> > abblocken - vielleicht nach dem Motto, dass diese Adressen nicht von ethX
> > kommen dürfen?

legt OpenVPN nicht auch für die Tunnel eigene Netzwerk-Devices an. Ich hab das 
zwar die letzte Zeit nicht mehr gemacht, aber damals zu den Zeiten von 
FreeSWAN wurde die Tunnel über ein eigenes Interface (ipsecX) eingerichtet, 
VTUN und PPTP macht dies genauso. Daher könnte man dieses Problem über 
entsprechende Firewall-Regeln behandeln. Zum Tunnel-Server wird sich auf dem 
normalen Netzwerkdevice (ethX z.B.) verbunden und IP-Adressen, die eigentlich 
für den Tunnel gedacht sind, gesperrt. Für die Tunneldevices werden nur die 
vorgesenen IP-Adressbereiche erlaubt. Beim PPTP kann man auch die IP-Adressen 
für den Tunnel selbst vergeben, so daß man auch keine Probleme mit doppelter 
Vergabe bekommen sollte.

>
> Mit einem V-LAN (Virtuell LAN) fähigen Router könntest du das und
> wahrscheinlich dann sogar auf die VPN-Lösung komplett verzichten.
> V-LAN's lassen sich meines Wissens nach so einrichten, dass sie nur
> Rechner ins Netzwerk lassen, die sich authentifizieren können. Wenn ich
> mich richtig erinnere, läuft die Authentifizierung über Schlüssel und
> Zertifikate ab. Habe das nie gemacht, sondern nur drüber gelesen.

Hier hast Du VLAN und VPN verwechselt. VLANs werden auf den Switchen 
eingerichtet und damit eine logische Trennung der Netzwerke erreicht. Im 
Prinzip teilt man hiermit ein physikalisches Netz in mehrere logische Netze 
auf, wo der Switch dafür sorgt, daß Pakete von einem VLAN nicht ins andere 
gelangen und die Verbindung zwischen verschiedenen VLAN muß dann wieder ein 
Router übernehmen (der ggf. über einen physikalischen LAN-Anschluß mehrere 
VLANs erhält, sog. Truncs). Eine Authentisierung erfolgt jedoch nicht.

>
> Ich würde VPNs nur einsetzen, wenn ich zwei Netzwerke (oder Rechner und
> Netzwerk) über das Internet verbinden will. Hinter einem Router sind
> V-LANs eleganter.
>
> > Eine weitere Bedingung wäre, dass das ganz möglichst einfach für unsere
> > Windows-User ist. Am liebsten wäre mir, sie bräuchten gar nichts zu
> > installieren. Aber wenn, sollte es möglichst einfach sein. Ich habe
> > gesehen, zu OpenVPN gibt es einen Windows-Client mit GUI. Hat den jemand
> > mal ausprobiert? Ist der absolut unkompliziert?

Für Windows ist sicherlich PPTP eine Möglichkeit, da dies mitgeliefert wird 
(für viele Win-Versionen), IPSec ist ja erst bei neueren Versionen in 
irgendeiner Form mit dabei (wie man das aber einrichtet, keine Ahnung). 
Soweit ich weiß, gibt es aber hierfür keine einfachen GUIs. 

Soweit ich das verstanden habe, möchtest Du irgendwie ein lokales Netz 
absichern - d.h. keine VPN-Tunnel übers Internet. Da wäre PPTP sicherlich 
eine Wahl, für VPN über Internet muß man sich aber bewust sein, das PPTP 
nicht eine besonders sichere VPN-Variante ist.

Jedoch, wenn es nur um die Absicherung von WLAN gehen sollte (oder kann sich 
jeder bei Dir in der Wohnung ins Netz einstöpseln?), dafür gibt es doch auch 
bereits Verschlüsselungen für den Datentransfer (WEP und Co.), doppelte 
Verschlüsselung bietet eben nicht umbedingt mehr Sicherheit, jedoch mehr 
Verwaltung, Fehlerstellen usw.

Gruß

Tobias

-- 
Tobias Brinkert
eMail: T.Brinkert@××××××××.de
WWW:   www.SemiByte.de