VPN - auf einem Fli4l oder einem Server dahinter?

Ähm jetzt muss ich erstmal fragen, welchen Kernel benutzt dein fli4l.

Und welches VPN meinst du, das PPTP Protokoll von MS oder IPSec (ersteres ist zumindest unter einer vollwertigen LinuxDistri problemlos einrichtbar), für IPSec musst du dich erstmal schön durch einige FAQs lesen (naja das steht mir auch noch bevor, weil ich bei mir über kurz oder lang auch IPsec einrichten will, da das MS PPTP Protokoll wie bei MS üblcih nicht wirkich übermäßig sicher ist).

Hi,

Sicherheitstechnisch ist mir kein Problem mit VPN&fli bekannt, Richtige Konfiguration natürlich vorausgesetzt.
Wir machen Filialanbindungen mit fli und cipe. Habe das seit der Version 2.0.3 mit cipe im Einsatz und noch keine größeren Probleme gehabt.
Stelle gerade nach und nach ca. 50 Tunnel auf 2.1.6 und cipe um.

OpenVPN auf fli lief in unseren Tests nicht so, wie wir es wollten. Deswegen weiter mit cipe.

Gruß
Detlef

hi,
eichbaum. kannst du bitte so eine art netzwerk-layout malen. also ein kleines bild auf dem jeder rechner ein kasten ist, verbindungen dargestellt werden, ...

Zitat

Original von Eichbaum
Das Gateway soll sowohl lokal (über extra NIC für einen WLAN AP), als auch über das Internet erreichbar sein. (Wichtiger ist allerdings die Absicherung des WLANs).

Irgendwie werde ich daraus nicht schlau.
1. Slime hat ja mal um ein paar Kästchen gebeten- das hilft vielleicht etwas weiter...
2. Du mußt mal vor allem definieren, was Du damit erreichen willst. Absicherung WLAN, VPN- Client, VPN- Server, evtl. Paketfilter?

Ein VPN dient dazu, über eine NICHT vertrauenswürdige Verbindung vertrauenswürdige Informationen auszutasuchen. Nicht mehr und nicht weniger.
Erste Frage demnacht geht nach der Verbindung:
WLAN oder Internet oder LAN oder oder oder...
Danach die Frage der Dienste:
VPN- Server, Client etc.
Dann die Frage nach dynamischen oder statischen IPs ...

Naja, schieb mal ein paar Infos nach, dann wissen wir auch, wo das GW hinsoll.

Zitat

Zitat:
Original von Eichbaum
Das Gateway soll sowohl lokal (über extra NIC für einen WLAN AP), als auch über das Internet erreichbar sein. (Wichtiger ist allerdings die Absicherung des WLANs).

Irgendwie werde ich daraus nicht schlau.
1. Slime hat ja mal um ein paar Kästchen gebeten- das hilft vielleicht etwas weiter...
2. Du mußt mal vor allem definieren, was Du damit erreichen willst. Absicherung WLAN, VPN- Client, VPN- Server, evtl. Paketfilter?

Alles anzeigen

naja, ich fand' die erklärung von eichbaum eigentlich schon ziemlich verständlich ..

das problem was mit fli4l bzw. mit dem cipe-addon besteht ist folgendes, cipe bietet im prinzip nur die möglichkeit einen tunnel zwischen zwei netzten zu bauen, d.h. z.b. auf beiden seiten ein router, der die jeweils lokalen netze via internet mit einander verbindet!
eine verbindung von einem client-pc (deinem laptop z.b.) zum server via wlan wird üblicherweise so nicht realisiert!

mit openvpn auf fli4l hab ich keine erfahrung .. aber da hat detlef geschrieben, das es bei ihm nicht so erfolgreich war ..

ipsec via kernel 2.6 läuft ziemlich gut bei mir auch mit client software ala cisco vpn client .. der konfigurations+trail+fail-aufwand ist aber natürlich erheblich ..

vielleicht hilft dir diese seite bzgl windows client etwas weiter http://vpn.ebootis.de/

gruss
andi

den tunnel auf dem gateway router zu terminieren hat einen entscheidenden vorteil, da dort ja normalerweise eh sschon eine "firewall" ihre dienst tut, hast du die möglichkeit, alles was aus dem tunnel kommt noch mit regeln zu belegen.

hi,
also ich würde auch den tunnel auf dem linux-router enden lassen.
das hat - wie schon gesagt - den vorteil das du exakte regeln für dieses interface erstellen kannst. außerdem hast du dir dann das forwarding gespart.

zudem ist es bedenklich wenn der tunnel hinter deiner FW enden würde... was passiert denn wenn sich jemand in den tunnel "reinhackt"?

was genau willst du eigentlich?
- netze koppeln (z.B. einen anderen standort mit mehreren rechnern ankoppeln)
- einzelne rechner (roadwarrior) ankoppeln?

für den ersten fall würde ich ipsec (freeswan, openvpn, [wie heißt das was im 2.6er kernel schon drin ist]) einsetzen
für den roadwarrior würde ich pptp nehmen. ist allerdings etwas aufwendiger [ppp patchen, kernel patchen] wenn du noch die verstärkte verschlüsselung (mppe) einsetzen willst.

Eichbaum:
in diesem fall würde ich dir zu pptp raten. das ist am einfachsten.

da der vpn-tunnel ja auch vor deinem pakefilter auf der fw endet sollte das ganze "relativ" sicher sein. hinter der FW aus den von mir schon genannten gründen halte ich nicht für sinnvoll.

Hallo,
will mal versuchen diesen Thread wieder zum Leben zu erwecken.

Eichbaum
Hast Du Deinen Plan schon umgesetzt? Hast Du fli4l benutzt? Welche opts?

Will fast das ganz gleiche verwirklichen und komm irgendwie nicht weiter. Bin immer wieder unterwegs und deswegen möchte ich meinen VDR übers Internet programmieren können.

Der Plan:
Übers Internet ein VPN zum fli4l mit Dynds aufbauen, den VDR über WOL starten, dann vdradmin oder xxv aufrufen und den VDR programmieren. Ohne VPn funktionierts ja auch schon...

Mfg Josef

Hallo Community!

Ich klink mich auch mal einfach hier ein, weil ich demnächst endlich DSL habe und dann auch mal eben von Unterwegs einen Timer setzen möchte oder Ähnliches. Eben ein Roadwarrior Setup.

Ich hatte mich schon mal etwas in die Thematik IPSec eingearbeitet, jedoch nicht sehr erfolgreich. PPTP hingegen war problemlos möglich.
Ich würde jedoch gerne IPSec mit Zertifikaten einsetzen, weil es ein offener Standard ist.

Kann mir Jemand ein gutes How-To empfehlen? Ich schau gleich mal beim IP-Cop vorbei, ob das vielleicht schon passt.

Hi @ all,

da es zum Thema passt, möchte ich auf das sehr interessante Projekt des ct-Magzin hinweisen.
Es handelt sich um den ct-Debian-Server. Das besondere ist die integrierte Router-Firewall IPCop. IPCop läuft im User Mode Linux (UML) als normaler Prozess in einer Art virtuellen Maschine.
Mit IPCop lassen sich anspruchsvolle Aufgaben wie VNP, eine echte DMZ, seperates WLAN über VPN und Traffic Shaping realiseiren, die man sonst meist erst in Highend-Routern ab 400 Euro aufwärts findet.
Für den professionellen Einsatz mit hohen Sicherheitsanforderungen ist es nicht gedacht, aber für den Heimanwender ist es ein guter Kompromiss zwischen Sicherheit, Kosten und Komfort, der allemal mehr Sicherheit bietet als herkömmliche kombinierte Firewall/Server-Konzepte. (aus der ct 2005/4 zitiert)
Ich selber habe dieses Konzept nach zwei Stunden Konfigurationsaufwand erfolgreich zum laufen bekommen.
Momentan habe ich vor IPCop noch einen Fli4l-Router vorgeschaltet (wegen ISDN), was ohne Probleme funktioniert.

Gruß MAK

Hallo,
das mit dem ct-Server habe ich mich auch ganz genau durchgelesen und war auch sehr begeistert. Bin leider noch nich dazu gekommen es wirklich mal auszuprobieren. Bis jetzt hat mir fli4l eigentlich immer vollkommen gereicht.

Zitat

Ich selber habe dieses Konzept nach zwei Stunden Konfigurationsaufwand erfolgreich zum laufen bekommen.
Momentan habe ich vor IPCop noch einen Fli4l-Router vorgeschaltet (wegen ISDN), was ohne Probleme funktioniert.

Das heißt, der fli4l "simuliert" dem ct-Server eine DSL-Verbindung? Gute Idee, wart nämlich auch noch auf DSL und könnt ja dann gleich voll loslegen... Klappt auch vpn über einen entfernten Windows Rechner etc.

Mfg Josef

@ JosefGierl

Zitat

Klappt auch vpn über einen entfernten Windows Rechner etc.

VPN habe ich noch nicht konfiguriert, ist aber eine Menge dazu in den zugehörigen ct-Heften geschrieben worden.

Gruß MAK