Grundsätzliche Fragen zu VPN

Also ich mache mal den Anfang. Ich beschäftige mich gerade auch mit dem Thema.

Leider erwähnst du nicht welches OS du in deiner Firma bzw. auf dem Server, falls denn einer vorhanden ist, einsetzt.

Grundsätzlich sollte man unterscheiden zwischen einem Router der einen VPN Server integriert hat und einem Router der lediglich VPN Passthrough unterstützt.

Erste Möglichkeit du besorgst dir einen Router der einen VPN Router integriert hat und in der Regel gibt es dann eine Client Software, die du auf deinem Laptop installieren müsstest. Mit dieser Software kannst du dann einen VPN Tunnel zum Router aufbauen und dich dann in deinem LAN in der Firma bewegen als würdest du direkt am Switch hängen.

Die zweite Alternative wäre, du setzt den VPN Server auf deinem Server im Unternehmen auf. Der Router müsste dann minimum VPN Passtrough unterstützen.
Beispielsweise kann man mit Windows Server einen VPN Server einrichten.
Du würdest dann auf deinem Laptop einfach eine neue Verbindung erstellen und dich so mit dem VPN Server verbinden.

Bei der ersten Variante ist dein Server vom I-net getrennt, du verbindest dich also erst mit dem Router.Konntest du dich erfolgreich authentfizieren, kannst du dich im LAN bewegen.

Bei der zweiten Variante steht dein Server mit einem Bein im I-Net. Wenn du versuchst eine Verbindung aufzubauen, lässt dein Router diese Anfrage duch und du musst dich am Server im LAN authentifizieren.

Es gibt jetzt unterschiedliche Verfahren diese Verbindung zu verschlüsseln, da bin ich mir aber bei einigen Dingen nicht so sicher. Deswegen halte ich mich hier mal etwas zurück.

Sollte ich hier Unwahrheiten verbreitet haben, Bitte ich um Belehrung.

mfg
Alforno


edit: Naja, zweiter.

@Alforno
...und in der Regel gibt es dann eine Client Software, die du auf deinem Laptop installieren müsstest.

Nicht unbedingt... Fasst alle guten VPN Router wie die o.a. zitierten supporten auch PPTP als VPN Protokoll. Damit sind dann wenigstens bei Mac OS-X, Windows und Linux (und damit mit der mehrzahl der benutzen OSes am Markt) mit ganz normalen VPN Clients die dieses OSes immer so mit an Bord haben ein Client problemlos ohne Zusatzsoftware einzurichten !
OK, vielleicht nicht ganz so sicher wie IPsec aber leidlich und dafür aber schnell und unkompliziert einzurichten

@aqui

Kannst du eine HW-Firewall für eine kleine produktive Umgebung(Windows 2000 Server, Clients XP Prof) empfehlen, Szenario wie von goolgetter beschrieben. Zunächst nur 1 Tunnel als Fernwartung, später bis 5 Tunnel.

Leider erzählt mir jeder was anderes, sodass ich mittlerweile garnicht mehr weiß welches Produkt ich nehmen soll.

Ich hatte zuerst ein Auge auf den Netgear FVX538 geworfen. Mit der Konfiguration eines CISCO PIX 501, wäre ich wohl überfordert. In einem deiner Biträge hast du den Netgear als "löchrig" bezeichnet. Das macht mich dann doch stutzig.

Vielleicht kannst du ja mal kurz was schreiben, denke das es auch goolgetter interessieren könnte.

Danke.

mfg
Alforno

Wie (wohl) schon die Vorgänger geschrieben haben, ist wohl die "einfachste" und beste Möglichkeit, einen VPN fähigen Router zu nehmen.
In kleineren Unternehmen reichen die Netgear oder Draytec Vigor VPN Router, in grösseren wäre Cisco ASA eine professionelle Lösung.

Es gibt Router, die gleichzeitig VPN Server sind (also Tunnel-Endpunkte), und es gibt Router, die VPN Tunnels nur "durchschleifen". Im zweiten Fall wäre der VPN Server z. B. ein Server 2003 auf dem der VPN Server läuft, oder eben ein belibiger anderer Server im Firmen Netz, der als VPN Endpunkt dient.

In jedem Fall braucht man auf dem zugreifenden Client einen entsprechenden VPN Client. Dieser wird zum VPN Router meist mitgeliefert. Windows bietet auch eine onboard VPN Client Variante, die u. U. ausreichen könnte, vor allem wenn man einen Windows VPN Server nimmt.

Ich würde auf jeden Fall zu einem VPN Router tendieren, wenn man unbedingt VPN machen will / muss.

Wenn die Firma recht klein ist, würde auch die folgende Lösung unter Umständen völlig ausreichen.

@goalgetter

Das mit Server aufsetzen.. ist alles obsolet wenn du dich für den richtigen Router entschieden hast. Den setzt du in dein Netzwerk, aktivierst IPsec und PPTP Dialin fürs VPN, damit hats du die beiden wichtigsten Protokolle unterstützt und bist unabhängig von Plattform und Betriebssystem, da du ja alles supportest. Den DynDNS Account gibt es zudem kostenlos !

Unter Windows setzt du dann ganz einfach einen PPTP VPN Client auf mit Eigenschaften Netzumgebung -> Assitent für neue Verbindungen -> Verbindung mit dem Netz am Arbeitsplatz herstellen -> VPN Verbindung -> Name -> DynDNS Adresse usw. das wars dann !
Ein Doppelklick auf diese Verbindung vernetzt dich per VPN mit dem remoten Netzwerk !

Über welchen Adapter du dann gehst ob UMTS, GPRS, LAN, DSL, analoges Modem, ISDN oder was auch immer spielt keine Rolle denn das Transportprotokoll basiert ja auf IP und nicht auf dem darunterliegenden Medium.

Einfacher gehts wirklich nicht und dafür muss nirgendwo ein dicker Windows Fileserver in der Ecke glühen und darauf warten das du dich dort einwählst.....

@Alforno
Im Grunde genommen benötigst du keine Firewall denn das hat ein gute VPN Router ja mit an Bord. Was ist denn eine Pix oder der NetGear in diesem Umfeld. Nichts weiter als ein NAT Firewall Router mit VPN Funktion. Genau das bieten dir alle guten VPN Router wie z.B. die von Draytek schon von Haus aus !

Danke für dein Posting.

Leider werde ich daraus auch nicht schlauer.
Für mich stellt sich einfach die Frage für welchen Router ich mich denn nun entscheiden soll.
Ich habe hier nen Router stehen, SMC 7004ABR, würde mich aber nicht trauen damit mein Firmen-LAN ans I-Net anzubinden.

Für mich stellt sich einfach die frage wie sicher beispielsweise die Lösung mit FVX538 wäre?
Also:
ISP--->FVX538--->Switch->Server +Clients

und dann per prosafe client vpn aufbauen.

Du sprichst Draytek an. Welchen würdest du empfehlen? Es gibt offensichtlich eklatante Preisunterschiede.
Habe mir den Vigor 2950i angesehen. Empfehlenswert?

Für mich stelt sich eigentlich immer wieder die Frage, was ich als eine 'sichere' Lösung bezeichnen kann.

Kleines Szenario:
Wenn ich nen Draytek nehme und alle Ports dicht mache, fernwartung per vpn zulasse.
Die Clients dürfen nicht ins Netz(nicht surfen, keine mails).

Wenn ich jetzt davon ausgehe, dass der Client mit dem ich die VPN verbindung herstelle, sauber ist und der Draytek was VPN angeht keine bekannten Sicherheitslücken hat.

Darf ich das dann als sicher ansehen auch ohne den Einsatz einer DMZ.

Wäre es dann egal für welchen Router ich mich entscheide.

mfg
Alforno

P.S.: goolgetter ich hoffe du nimmst mir das nicht übel das ich hier dein Beitrag kreuze gehe aber davon aus das der Diskussionsverlauf dir auch bei deiner Entscheidungsfindung zum Thema VPN hilft.

Draytek ist auch im kommerziellen Umfeld gut vertreten und bei vielen Providern sind diese Produkte Teil einer fertigen Firmen VPN Lösung. Damit kannst du eigentlich nichts falsch machen. Ein gewisses Vertrauen kannst du da also voraussetzen. SMC ist eher ein Consumer Hersteller der nicht so fokussiert ist auf VPNs und den du auch eher mal im Blöd Markt findest und auch eher für diese Clientel gedacht ist.
Alle Draytek Prdukte sind VPN fähig es ist also egal was du wählst. Du musst dich lediglich entscheiden ob mit oder ohne Modem oder ob mit oder ohne VoIP oder ob mit oder ohne WLAN. Allein das bestimmt den Preisunterschied.
Der 2950i ist schon das obere Ende der Skala. Der hat einen Dual Port DSL Anschluss mit Traffic Load Balancing und Failover Feature über diese Links. Wenn du sowas nicht benötigst ist das rausgeschmissenes Geld und ein 2200V oder 2200Eplus leistet das Gleiche ! Das musst du aber für dein Umfeld selber entscheiden.
Wie einfach man ein VPN einrichtet kannst du hier sehen:

http://www.draytek.de/Beispiele.htm

unter der Rubrik VPN Je nachdem mit welchem Client du es realisieren möchtest. Mit Windows Bordmitteln oder separater SW.

Falls du immer noch Bedenken hast hindert dich niemand daran auch ein DMZ Szenario mit einem Draytek vorne und einem SMC als Sekundärrouter ala:

http://www.heise.de/netze/artikel/78397

einzurichten. Natürlich geht das auch mit professionellen Firewalls mit mehreren Interfaces ala Watchguard oder Astaro oder... Oder mit einer professionellen IP Cop Installation auf einem Micro ATX Board ala:
http://www.ipcop.org/
oder noch besser
http://www.endian.com/en/community/about/

Das sind die Optionen die du hast...

Ich danke Dir für die Zusammenfassung.

Ich habe aber trotzdem nen Haufen fragen.
Ich hoffe du hilfst mir nochmal bei meiner Entscheidungsfindung für das richtige Konzept.

Wenn ich die VPN Verbindung mit Windows Boardmitteln durchführen möchte, dann muss ich auf IPSec verzichten und mich mit L2TP über IPSec zufrieden geben, ist das richtig?

Ich brauche weder ein Modem noch Wlan und erst recht nicht Load Balancing, habe ja sowieso nur einen DSL Anschluss.
Unterscheiden sich denn der 2950i und der 2200e+ ausschließlich in diesen Merkmalen oder auch in Hinblick auf die Sicherheit, Stichwort Erkennungsmuster? Die Weboberfläche des 2200e ist aber eher Kraut und Rüben. Die sehen in meinen Augen wie ein klassischer Consumer Router aus. Erst wenn sowas Rackfähig ist, erweckt es bei mir den Eindruck das es was taugt.

Du hast ja bereits angesprochen, den verstaubten SMC doch zu integrieren und so eine DMZ zu schaffen. Jetzt steht aber in der Regel in der DMZ doch ein Server der einen Dienst anbietet oder nicht?

Welchen Vorteil hätte ich also wenn ich in die DMZ meinen W2000 Server hänge und hinter dem Router erst die Clients?
Dann wären die Clients gschützt, aber für den Server hätte ich kein Plus an Sicherheit.
Oder habe ich das Konzept einer DMZ nicht verstanden?

Den Draytek finde ich preislich absolut im Rahmen, hätte jetzt mit mehr gerechnet und hatte auch mehr eingeplant.

Die Watchguard Serie habe ich mir auch kurz angesehen, das scheint dann aber schon etwas professionelleres zu sein. Leider konnte ich im Netz keinelei Preise finden, kannst du mir da eine Hausnummer nennen. Ich meine mir die Watchguard Edge x10 angesehen zu haben.

Würde mich wirklich freuen, wenn du mir einige der Fragen beantworten könntest.

Danke für deine Mühe.

mfg
Alforno

OK, das ist richtig aber ein nicht 19 Zoll Gehäuse sagt erstmal nichts aus. Es ist richtig das diese Lösung natürlich nicht für ein Unternehmensnetz mit mehreren Hundert Ports gedacht ist. Diese Router bedinen klassiche Mittelstandsnetz von 2 bis 100 PCs und dafür haben sie alle Features an Bord die dafür benötigt werden. Klar sieht das GUI etwas bunt aus aber das ist bei jedem hersteller heute mehr oder weniger der Fall. Wichtig ist was die technisch können....
Der Unterschied zw. 2950 und 2200 ist eben diese Performance und das Dual WAN. In Puncto VPN ist das Featureset gleich !

In einer DMZ muss kein Server stehen wenn du dort keine Dienste anbietest. Das Heise Szeanrio ist auch eher ein Schmalhans DMZ Konzept für den hausgebaruch wahrlich nichts für ein professionelles Firmennetz. Tut aber gute Dienste wenn das Netz klein ist und man nicht viel Anforderungen hat. Kann aber auch Nachteile haben denn die VPN User landen in dieser DMZ mit ihrer Session und müssen dann mühsam mit Port Forwarding ins eigentliche Netz gehievt werden was bei vielen Benutzern sehr schnell an seine Grenzen stößt. Also nicht skalierbar !
So kann man also getrost auf sowas verzichten. Ist eigentlich nur für die ganz ängstlichen oder macht Sinn wenn jemand einen öffentlichen Hotspot betreiben will oder 2 oder mehr Mieter eines Hauses am gemeinsamen DSL Anschluss hat die sich nicht sehen sollen. Dann ist sowas sehr sinnvoll.

Preise für die anderen Produkte erfragst du besser bei einem authoriserten Händler oder deren Hotline....