Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

Grundsätzliche Fragen zu VPN

Frage Netzwerke Router & Routing

Mitglied: goolgetter

goolgetter (Level 1) - Jetzt verbinden

16.08.2007, aktualisiert 17.08.2007, 5974 Aufrufe, 14 Kommentare

Werte Forummitglieder,

ich suche schon seit einiger Zeit Antworten auf gewisse Fragen rund um das Thema VPN. Ich weiß das es eine sehr komplexe Angelegenheit sein kann, mit den ganzen Verschlüsselungsverfahren, VPN Servern und etc..
Die Suchmaschine Google habe ich auch schon in Anspruch genommen, und ein paar interessante Infos bekommen. Jedoch sind mir grundlegende Sachen noch nicht klar.

Wenn Ihr mir dabei helfen könntet diese Unklarheiten zu beseitigen wäre ich Euch sehr dankbar.

Hier meine Fragen an Euch:

1. Brauche ich auf jeden Fall einen Router der VPN unterstütz?

1.1. Wenn ja, entfällt dann die Konfiguration eines VPN Servers auf einem PC?
- habe schon ganz viele Anleitungen im Internet dazu gefunden wie man es für die verschiedensten Betriebssysteme macht.

1.2 oder muss ich in jedem Fall ein PC als VPN Server einrichten auch wenn ich ein Router hab der VPN unterstütz?

(Oder anders gefragt: ist mein Router der VPN unterstütz gleichzeitig mein VPN Server?)

2. ist es möglich einen VPN Server aufzusetzen wenn mein Router VPN nicht unterstützt?

Ich hoffe die Fragen sind für Euch verständlich formuliert.


Angenommen ich würde einen VPN Server zum laufen bekommen, wie würde ich eine Verbindung zu diesem Netzwerk aufbauen können. Brauche ich bestimmte Software? Wie kann ich dann den VPN Server erreichen?

Hintergrund ist folgender:

Ich will mich mit dem Laptop und einer UMTS Karte von zu Hause aus über das Internet in das Netzwerk meiner Firma einwählen, per DSL.

Bin über jede Antwort dankbar die meine Wissenslücke schließt.
Mitglied: aqui
16.08.2007 um 13:47 Uhr
1. Brauch ich einen Router der VPN unterstützt ?
A.: Nein, nicht unbedingt. Wäre technisch aber die beste Lösung ! Andersrum muss ein VPN Server irgendwo hinter dem Router stehen und der/die Router müssen auf beiden Seiten (Client und Server) VPN Passthrough supporten !

1.1. Wenn ja, entfällt dann die Konfiguration eines VPN Servers auf einem PC?
A.: Ja !

1.2 oder muss ich in jedem Fall ein PC als VPN Server einrichten auch wenn ich ein Router hab der VPN unterstütz?
A.: Nein, dann natürlich nicht, das macht ja dann der Router und der kann das viel stromsparender als ein ganzer Server ! Alle Router von www.draytek.de supporten z.B. sowas. Es muss aber ein VPN fähiger Router sein !!! Nur VPN Passthrough reicht NICHT !!!

(Oder anders gefragt: ist mein Router der VPN unterstütz gleichzeitig mein VPN Server?)
A.: Ja !

2. ist es möglich einen VPN Server aufzusetzen wenn mein Router VPN nicht unterstützt?
A.: Ja ! Siehe z.B.:
http://www.administrator.de/Fernzugriff_aufs_Firmen-Intranet_-_sicher%2 ...

Es ist auch nicht ganz trivial welches VPN Protokoll du einsetzen willst. Davon schreibst du rein gar nichts und es gibt derer viele wie z.B.:
PPTP, IPsec (ESP), IPsec(AH), L2TP, SSL etc. aber das weisst du ja sicher selber.
Das ist aber letztlich immer von deinem Client und deiner Realisierung abhängig. Wie gesagt der beste Weg ist einen VPN fähigen Router zu benutzen, damit du keine probleme mit Port Forwarding Gefrickel auf einem NAT Router hast. Es gibt auch einige VPN Protokolle die gar nicht übertragbar sind über einen NAT Router, so das ein Server hinter so einem Router immer problembehaftet sein kann !
Auch einen DynDNS.org Account sollte der Router unterstützen, damit du keine Probleme mit wechselnden IP Adressen durch den Provider bekommst sofern du DSL mit PPPoE Dialin nutzt.
Bei anderen Lösungen mit festen IP Adressen (Standleitung ect.) vom Provider ist das natürlich dann kein Thema !

P.S.: http://www.dict.cc/deutsch-englisch/Goalgetter.html
Bitte warten ..
Mitglied: Alforno
16.08.2007 um 13:56 Uhr
Also ich mache mal den Anfang. Ich beschäftige mich gerade auch mit dem Thema.

Leider erwähnst du nicht welches OS du in deiner Firma bzw. auf dem Server, falls denn einer vorhanden ist, einsetzt.

Grundsätzlich sollte man unterscheiden zwischen einem Router der einen VPN Server integriert hat und einem Router der lediglich VPN Passthrough unterstützt.

Erste Möglichkeit du besorgst dir einen Router der einen VPN Router integriert hat und in der Regel gibt es dann eine Client Software, die du auf deinem Laptop installieren müsstest. Mit dieser Software kannst du dann einen VPN Tunnel zum Router aufbauen und dich dann in deinem LAN in der Firma bewegen als würdest du direkt am Switch hängen.

Die zweite Alternative wäre, du setzt den VPN Server auf deinem Server im Unternehmen auf. Der Router müsste dann minimum VPN Passtrough unterstützen.
Beispielsweise kann man mit Windows Server einen VPN Server einrichten.
Du würdest dann auf deinem Laptop einfach eine neue Verbindung erstellen und dich so mit dem VPN Server verbinden.

Bei der ersten Variante ist dein Server vom I-net getrennt, du verbindest dich also erst mit dem Router.Konntest du dich erfolgreich authentfizieren, kannst du dich im LAN bewegen.

Bei der zweiten Variante steht dein Server mit einem Bein im I-Net. Wenn du versuchst eine Verbindung aufzubauen, lässt dein Router diese Anfrage duch und du musst dich am Server im LAN authentifizieren.

Es gibt jetzt unterschiedliche Verfahren diese Verbindung zu verschlüsseln, da bin ich mir aber bei einigen Dingen nicht so sicher. Deswegen halte ich mich hier mal etwas zurück.

Sollte ich hier Unwahrheiten verbreitet haben, Bitte ich um Belehrung.

mfg
Alforno


edit: Naja, zweiter.
Bitte warten ..
Mitglied: aqui
16.08.2007 um 14:01 Uhr
@Alforno
...und in der Regel gibt es dann eine Client Software, die du auf deinem Laptop installieren müsstest.

Nicht unbedingt... Fasst alle guten VPN Router wie die o.a. zitierten supporten auch PPTP als VPN Protokoll. Damit sind dann wenigstens bei Mac OS-X, Windows und Linux (und damit mit der mehrzahl der benutzen OSes am Markt) mit ganz normalen VPN Clients die dieses OSes immer so mit an Bord haben ein Client problemlos ohne Zusatzsoftware einzurichten !
OK, vielleicht nicht ganz so sicher wie IPsec aber leidlich und dafür aber schnell und unkompliziert einzurichten
Bitte warten ..
Mitglied: Alforno
16.08.2007 um 14:07 Uhr
@aqui

Kannst du eine HW-Firewall für eine kleine produktive Umgebung(Windows 2000 Server, Clients XP Prof) empfehlen, Szenario wie von goolgetter beschrieben. Zunächst nur 1 Tunnel als Fernwartung, später bis 5 Tunnel.

Leider erzählt mir jeder was anderes, sodass ich mittlerweile garnicht mehr weiß welches Produkt ich nehmen soll.

Ich hatte zuerst ein Auge auf den Netgear FVX538 geworfen. Mit der Konfiguration eines CISCO PIX 501, wäre ich wohl überfordert. In einem deiner Biträge hast du den Netgear als "löchrig" bezeichnet. Das macht mich dann doch stutzig.

Vielleicht kannst du ja mal kurz was schreiben, denke das es auch goolgetter interessieren könnte.

Danke.

mfg
Alforno
Bitte warten ..
Mitglied: goolgetter
16.08.2007 um 14:08 Uhr
Danke erstmal für die rasche Antwort!

Ehrlich gesagt habe ich mir darüber noch keine Gedanken gemacht welches VPN Protokoll ich einsaetzen will.
Muss mich darüber erstmal schlau machen.
Was mir welches Protokoll bietet.

Ist dieses Protokoll abhängig vom Betriebssystem?

Wie würde ich eine Verbindung zum VPN Server aufnehmen können? z.B.: mit einem Labtop, dieser hat aber nur eine UMTS Karte. Ich muss ja irgendwie die IP Adresse vom VPN Server eingeben oder.
Das ich einen Account bei DynDNS.org benötige habe ich schon geahnt. Weil ich halt keine feste IP Adresse habe.
Bitte warten ..
Mitglied: spacyfreak
16.08.2007 um 14:10 Uhr
Wie (wohl) schon die Vorgänger geschrieben haben, ist wohl die "einfachste" und beste Möglichkeit, einen VPN fähigen Router zu nehmen.
In kleineren Unternehmen reichen die Netgear oder Draytec Vigor VPN Router, in grösseren wäre Cisco ASA eine professionelle Lösung.

Es gibt Router, die gleichzeitig VPN Server sind (also Tunnel-Endpunkte), und es gibt Router, die VPN Tunnels nur "durchschleifen". Im zweiten Fall wäre der VPN Server z. B. ein Server 2003 auf dem der VPN Server läuft, oder eben ein belibiger anderer Server im Firmen Netz, der als VPN Endpunkt dient.

In jedem Fall braucht man auf dem zugreifenden Client einen entsprechenden VPN Client. Dieser wird zum VPN Router meist mitgeliefert. Windows bietet auch eine onboard VPN Client Variante, die u. U. ausreichen könnte, vor allem wenn man einen Windows VPN Server nimmt.

Ich würde auf jeden Fall zu einem VPN Router tendieren, wenn man unbedingt VPN machen will / muss.

Wenn die Firma recht klein ist, würde auch die folgende Lösung unter Umständen völlig ausreichen.


http://www.administrator.de/Fernzugriff_aufs_Firmen-Intranet_-_sicher%2 ...
Bitte warten ..
Mitglied: goolgetter
16.08.2007 um 14:23 Uhr
Danke Alforno für deine ausführliche Beschreibung, sie hilft mir sehr weiter.

Das LAN Netz in der Firma basiert auf Win NT 4.0. Mit 2 Win NT Servern.

Der Laptop hat OS Windows 2000.


Habe noch keinen VPN Server aufgesetzt.
Brauche halt erst die Infos dazu.
Bitte warten ..
Mitglied: aqui
16.08.2007 um 17:50 Uhr
@goalgetter

Das mit Server aufsetzen.. ist alles obsolet wenn du dich für den richtigen Router entschieden hast. Den setzt du in dein Netzwerk, aktivierst IPsec und PPTP Dialin fürs VPN, damit hats du die beiden wichtigsten Protokolle unterstützt und bist unabhängig von Plattform und Betriebssystem, da du ja alles supportest. Den DynDNS Account gibt es zudem kostenlos !

Unter Windows setzt du dann ganz einfach einen PPTP VPN Client auf mit Eigenschaften Netzumgebung -> Assitent für neue Verbindungen -> Verbindung mit dem Netz am Arbeitsplatz herstellen -> VPN Verbindung -> Name -> DynDNS Adresse usw. das wars dann !
Ein Doppelklick auf diese Verbindung vernetzt dich per VPN mit dem remoten Netzwerk !

Über welchen Adapter du dann gehst ob UMTS, GPRS, LAN, DSL, analoges Modem, ISDN oder was auch immer spielt keine Rolle denn das Transportprotokoll basiert ja auf IP und nicht auf dem darunterliegenden Medium.

Einfacher gehts wirklich nicht und dafür muss nirgendwo ein dicker Windows Fileserver in der Ecke glühen und darauf warten das du dich dort einwählst.....

@Alforno
Im Grunde genommen benötigst du keine Firewall denn das hat ein gute VPN Router ja mit an Bord. Was ist denn eine Pix oder der NetGear in diesem Umfeld. Nichts weiter als ein NAT Firewall Router mit VPN Funktion. Genau das bieten dir alle guten VPN Router wie z.B. die von Draytek schon von Haus aus !
Bitte warten ..
Mitglied: Alforno
16.08.2007 um 18:11 Uhr
Danke für dein Posting.

Leider werde ich daraus auch nicht schlauer.
Für mich stellt sich einfach die Frage für welchen Router ich mich denn nun entscheiden soll.
Ich habe hier nen Router stehen, SMC 7004ABR, würde mich aber nicht trauen damit mein Firmen-LAN ans I-Net anzubinden.

Für mich stellt sich einfach die frage wie sicher beispielsweise die Lösung mit FVX538 wäre?
Also:
ISP--->FVX538--->Switch->Server +Clients

und dann per prosafe client vpn aufbauen.

Du sprichst Draytek an. Welchen würdest du empfehlen? Es gibt offensichtlich eklatante Preisunterschiede.
Habe mir den Vigor 2950i angesehen. Empfehlenswert?

Für mich stelt sich eigentlich immer wieder die Frage, was ich als eine 'sichere' Lösung bezeichnen kann.

Kleines Szenario:
Wenn ich nen Draytek nehme und alle Ports dicht mache, fernwartung per vpn zulasse.
Die Clients dürfen nicht ins Netz(nicht surfen, keine mails).

Wenn ich jetzt davon ausgehe, dass der Client mit dem ich die VPN verbindung herstelle, sauber ist und der Draytek was VPN angeht keine bekannten Sicherheitslücken hat.

Darf ich das dann als sicher ansehen auch ohne den Einsatz einer DMZ.

Wäre es dann egal für welchen Router ich mich entscheide.

mfg
Alforno

P.S.: goolgetter ich hoffe du nimmst mir das nicht übel das ich hier dein Beitrag kreuze gehe aber davon aus das der Diskussionsverlauf dir auch bei deiner Entscheidungsfindung zum Thema VPN hilft.
Bitte warten ..
Mitglied: aqui
16.08.2007 um 19:21 Uhr
Draytek ist auch im kommerziellen Umfeld gut vertreten und bei vielen Providern sind diese Produkte Teil einer fertigen Firmen VPN Lösung. Damit kannst du eigentlich nichts falsch machen. Ein gewisses Vertrauen kannst du da also voraussetzen. SMC ist eher ein Consumer Hersteller der nicht so fokussiert ist auf VPNs und den du auch eher mal im Blöd Markt findest und auch eher für diese Clientel gedacht ist.
Alle Draytek Prdukte sind VPN fähig es ist also egal was du wählst. Du musst dich lediglich entscheiden ob mit oder ohne Modem oder ob mit oder ohne VoIP oder ob mit oder ohne WLAN. Allein das bestimmt den Preisunterschied.
Der 2950i ist schon das obere Ende der Skala. Der hat einen Dual Port DSL Anschluss mit Traffic Load Balancing und Failover Feature über diese Links. Wenn du sowas nicht benötigst ist das rausgeschmissenes Geld und ein 2200V oder 2200Eplus leistet das Gleiche ! Das musst du aber für dein Umfeld selber entscheiden.
Wie einfach man ein VPN einrichtet kannst du hier sehen:

http://www.draytek.de/Beispiele.htm

unter der Rubrik VPN Je nachdem mit welchem Client du es realisieren möchtest. Mit Windows Bordmitteln oder separater SW.

Falls du immer noch Bedenken hast hindert dich niemand daran auch ein DMZ Szenario mit einem Draytek vorne und einem SMC als Sekundärrouter ala:

http://www.heise.de/netze/artikel/78397

einzurichten. Natürlich geht das auch mit professionellen Firewalls mit mehreren Interfaces ala Watchguard oder Astaro oder... Oder mit einer professionellen IP Cop Installation auf einem Micro ATX Board ala:
http://www.ipcop.org/
oder noch besser
http://www.endian.com/en/community/about/

Das sind die Optionen die du hast...
Bitte warten ..
Mitglied: Alforno
16.08.2007 um 20:36 Uhr
Ich danke Dir für die Zusammenfassung.

Ich habe aber trotzdem nen Haufen fragen.
Ich hoffe du hilfst mir nochmal bei meiner Entscheidungsfindung für das richtige Konzept.

Wenn ich die VPN Verbindung mit Windows Boardmitteln durchführen möchte, dann muss ich auf IPSec verzichten und mich mit L2TP über IPSec zufrieden geben, ist das richtig?

Ich brauche weder ein Modem noch Wlan und erst recht nicht Load Balancing, habe ja sowieso nur einen DSL Anschluss.
Unterscheiden sich denn der 2950i und der 2200e+ ausschließlich in diesen Merkmalen oder auch in Hinblick auf die Sicherheit, Stichwort Erkennungsmuster? Die Weboberfläche des 2200e ist aber eher Kraut und Rüben. Die sehen in meinen Augen wie ein klassischer Consumer Router aus. Erst wenn sowas Rackfähig ist, erweckt es bei mir den Eindruck das es was taugt.

Du hast ja bereits angesprochen, den verstaubten SMC doch zu integrieren und so eine DMZ zu schaffen. Jetzt steht aber in der Regel in der DMZ doch ein Server der einen Dienst anbietet oder nicht?

Welchen Vorteil hätte ich also wenn ich in die DMZ meinen W2000 Server hänge und hinter dem Router erst die Clients?
Dann wären die Clients gschützt, aber für den Server hätte ich kein Plus an Sicherheit.
Oder habe ich das Konzept einer DMZ nicht verstanden?

Den Draytek finde ich preislich absolut im Rahmen, hätte jetzt mit mehr gerechnet und hatte auch mehr eingeplant.

Die Watchguard Serie habe ich mir auch kurz angesehen, das scheint dann aber schon etwas professionelleres zu sein. Leider konnte ich im Netz keinelei Preise finden, kannst du mir da eine Hausnummer nennen. Ich meine mir die Watchguard Edge x10 angesehen zu haben.

Würde mich wirklich freuen, wenn du mir einige der Fragen beantworten könntest.

Danke für deine Mühe.

mfg
Alforno
Bitte warten ..
Mitglied: aqui
16.08.2007 um 20:50 Uhr
OK, das ist richtig aber ein nicht 19 Zoll Gehäuse sagt erstmal nichts aus. Es ist richtig das diese Lösung natürlich nicht für ein Unternehmensnetz mit mehreren Hundert Ports gedacht ist. Diese Router bedinen klassiche Mittelstandsnetz von 2 bis 100 PCs und dafür haben sie alle Features an Bord die dafür benötigt werden. Klar sieht das GUI etwas bunt aus aber das ist bei jedem hersteller heute mehr oder weniger der Fall. Wichtig ist was die technisch können....
Der Unterschied zw. 2950 und 2200 ist eben diese Performance und das Dual WAN. In Puncto VPN ist das Featureset gleich !

In einer DMZ muss kein Server stehen wenn du dort keine Dienste anbietest. Das Heise Szeanrio ist auch eher ein Schmalhans DMZ Konzept für den hausgebaruch wahrlich nichts für ein professionelles Firmennetz. Tut aber gute Dienste wenn das Netz klein ist und man nicht viel Anforderungen hat. Kann aber auch Nachteile haben denn die VPN User landen in dieser DMZ mit ihrer Session und müssen dann mühsam mit Port Forwarding ins eigentliche Netz gehievt werden was bei vielen Benutzern sehr schnell an seine Grenzen stößt. Also nicht skalierbar !
So kann man also getrost auf sowas verzichten. Ist eigentlich nur für die ganz ängstlichen oder macht Sinn wenn jemand einen öffentlichen Hotspot betreiben will oder 2 oder mehr Mieter eines Hauses am gemeinsamen DSL Anschluss hat die sich nicht sehen sollen. Dann ist sowas sehr sinnvoll.

Preise für die anderen Produkte erfragst du besser bei einem authoriserten Händler oder deren Hotline....
Bitte warten ..
Mitglied: goolgetter
17.08.2007 um 10:17 Uhr
Danke aqui für deine ausführliche Darlegung. Jetzt ist mir einiges klarer.

@ Alforno: macht nichts das du dich in diesem Beitrag mit eingeklingt hast --> so erhalte ich nochmehr Info´s.
Bitte warten ..
Mitglied: aqui
17.08.2007 um 22:39 Uhr
Keine Ursache...dafuer ist ein Forum ja da

Wenns das war bitte
http://www.administrator.de/index.php?faq=32
nicht vergessen !
Bitte warten ..
Neuester Wissensbeitrag
Windows 10

Powershell 5 BSOD

(8)

Tipp von agowa338 zum Thema Windows 10 ...

Ähnliche Inhalte
Verschlüsselung & Zertifikate
gelöst Fragen zur Sicherheit von VPN und öffentlichen Hotspots in Europa (7)

Frage von Zykl0n zum Thema Verschlüsselung & Zertifikate ...

Windows Server
RODC über VPN - Verbindung weg (10)

Frage von stefan2k1 zum Thema Windows Server ...

Router & Routing
InterVlan Routing mit Linksys LRT224 Dual WAN Gigabit VPN Router (1)

Frage von darkliving zum Thema Router & Routing ...

Firewall
gelöst Site-to-Site-VPN und Cisco VPN-Client von gleicher IP (2)

Frage von TripleDouble zum Thema Firewall ...

Heiß diskutierte Inhalte
Microsoft
Ordner mit LW-Buchstaben versehen und benennen (21)

Frage von Xaero1982 zum Thema Microsoft ...

Netzwerkmanagement
gelöst Anregungen, kleiner Betrieb, IT-Umgebung (18)

Frage von Unwichtig zum Thema Netzwerkmanagement ...

Windows Update
Treiberinstallation durch Windows Update läßt sich nicht verhindern (17)

Frage von liquidbase zum Thema Windows Update ...