Opzetten Server-Site VPN

[Emtrix]

Hallo,

Voor een bedrijf met meerdere locaties zijn wij momenteel bezig om een netwerk op te zetten. Onze situatie is wat exotisch, daarom heb ik ook besloten dit topic hier te plaatsen.

Het hele netwerk wordt gebouwd rond Windows SBS2008. Deze server staat in een datacentrum (colo)
Taken zijn o.a. domeincontroller en exchange. Het bedrijf heeft meerdere locaties, daarom is ook besloten voor deze colo oplossing.

Op dit moment maakt slechts het hoofdkantoor verbinding d.m.v. een simpele PPTP VPN tunnel. Deze verbinding wordt gemaakt door de Draytek Vigor 2910 router. Op deze manier heeft het gehele lokale netwerk verbinding met de server. Exchange is reeds actief en maakt ook verbinding met de server.

Hoe is de VPN nu configureerd:
De server beschikt over 2 NIC's
NIC 1 hangt direct aan het internet (zonder nat e.d.) (statisch IP adres)
NIC 2 hangt aan het lokale netwerk van het datacentrum (heeft geen internet toegang, statisch IP)
Dan is er nog een virtuele NIC (Microsoft Loopback Adapter) met IP 10.0.1.1

Deze laatste is in het leven geroepen om de huidige VPN te kunnen faciliteren. DHCP is op deze verbinding geconfigureerd om IPadressen uit te delen in de range 10.0.1.x.

Het probleem is nu dat de VPN server zich een IP van 10.0.1.18 toekent. Voor exchange is dit geen probleem en dit werkt dan ook prima. Echter voor de domeincontroller vormt dit wel een probleem. De domeincontroller staat geregisteerd op de 3 NIC's met bijbehorende IPadressen. Maar niet op 10.0.1.18. Zodra je een computer lid wil maken van het domein krijg je terug dat er geen verbinding kan worden gemaakt met de PDC op 10.0.1.1. Nu kunnen we in DNS registereren dat de PDC ook luistert op 10.0.1.18 maar daar willen we niet naartoe:

Waar willen we dan wel naartoe:
We willen toe naar een transparante verbinding, alsof de server lokaal zou staan. Vanaf de server zijn de clients bereikbaar en andersom. De router op het hoofdkantoor moet deze verbinding maken, zodat alle computer erachter probleemloos de server kunnen bereiken. Later is het de bedoeling om ook nog andere vestigingen met de zelfde opzet aan te sluiten.

Advies, suggesties, tips, alles is welkom

En alvast fijne feestdagen

[Verwijderd]

De SBS server hangt verder zonder firewall aan het internet dus? Niet echt handig. Anyway, wat is je budget? Wil je het via de SBS blijven doen? Of geld investeren in een meer robuuste oplossing?

Volgens mij is het overigens ook wel mogelijk dit goed aan het werkt te krijgen via de SBS server. Ik snap ook niet helemaal waarom er met een loopback gewerkt wordt. Wij hebben tijden een VPN tussen twee windows bakken gehad welke verder gewoon transparant voor de machines is. Gewoon twee subnetjes waartussen je route. Dus, wil je het probleem van de huidige VPN oplossen? Of zoek je een oplossing met bv Cisco?

[Robinski]

Wil je eigenlijk wel afhankelijk zijn van één server voor een heel bedrijf?
Zou je daarom niet (en ook om logins sneller te laten lopen), lokaal domain controlers neerzetten.

Verder zou ik ook voor een andere VPN oplossing zoeken waarbij je dus route tussen je subnetten.

[The Lord]

Emtrix schreef op donderdag 24 december 2009 @ 09:14:...exotisch...

Valt wel mee hoor. Er zijn zat andere partijen die op eenzelfde manier doen. Waaronder mijn eigen bedrijf. En het kan goed en veilig.

In jouw geval, als er geen firewall aanwezig is op de colo (van de service provider of bijvoorbeeld ISA server op jullie colo server) zou ik IPsec inzetten voor zowel de VPN als de algemen beveiliging van de colo server.

Voordeel is dat je dan niet met een apart VPN subnet hoeft te werken zoals bij PPTP het geval is. Nadeel is dat je of statische IP adressen aan de bedrijfsvestiging kant nodig hebt of met certificaten moet gaan werken. In het laatste geval zal je dus ook een PKI op moeten zetten.

Als je wel met (een) apart(e) VPN subnet(ten) wil werken dan zal er gerouteerd moeten worden tussen de subnetten. Maar dit is behoorlijk bewerkelijk op een server vanaf de commandline. En dan blijft nog het stuk veiligheid over. Als er dus niet één of andere firewall aanwezig is dan kun je eigenlijk alsnog niet om IPsec heen voor het afschermen van verkeer van buitenaf. Gelukkig heb je daarvoor geen PKI omgeving nodig.

[axis]

Zo zijn volgens mij velen begonnen

Nu zou ik echter gewoon wat cisco firewalls neerzetten. Als je minder dan 10 locaties hebt zou ik een simpele ASA5505 neerzetten op elke locatie, en site-to-site ipsec VPN's opzetten tussen de locaties. Voordeel is dat je netwerkconnectiviteit gescheiden is van je servers, en dat is qua onderhoud en troubleshooting een heel stuk makkelijker. Je SBS heeft dan nog maar 1 enkele NIC met een enkel ip'tje..

[Bl@ckbird]

Wil je verschillende locaties aan een hoofdlocatie hangen dan kan je kijken naar een ASA firewall.
(Bijvoorbeeld een 5505 op bijlocaties en een 5510 op de hoofdlocatie.)

Dit is handig als je een dedicated security box nodig hebt met alleen ethernet poorten.

Heb je verschillende typen WAN lijnen (ADSL / SDSL / Ethernet) en ga je in de toekomst VoIP / Unified Communications uitrollen, dan kan je beter naar ISR routers kijken.
Ook hiermee kan je firewallen en VPNen. ISR routers ondersteunen DMVPN.

Bel je via VoIP tussen 2 bijlocaties (of ander netwerkverkeer), dan wordt er dynamisch een tunnel opgezet tussen deze 2 locaties. ( In plaats van dat al het verkeer eerst via de hoofdlocatie loopt. ) Dit scheelt jitter en latency, wat belangrijk is bij VoIP.

Daarnaast kan je de ISR routers uitrusten met modules voor extra services. (Vanaf een 2811 oud / 2911 nieuw)

Als je LAN-like performance via het WAN wil hebben, dan moet je aan WAN optimalisatie denken.

Bekende fabrikanten zijn Cisco WAAS, Riverbed en Bluecoat.

TCP verkeer moet om de paar pakketten een acknowledgment hebben. Wanneer je latency op de lijn hebt, heeft dit een directe impact op de max. throughput die je kan halen.
WAN optimalisatie producten lossen dit op een TCP proxy te gebruiken. TCP krijgt daardoor de performance van UDP. Dit is vooral belangrijk bij CIFS / Windows filesharing, omdat dit erg chatty verkeer is. ( Een hoop kleine packets om een bestand te versturen. )

Men doet ook aan caching. ( Niet op file basis maar op basis van bitpatronen. )
Alleen wijzingingen worden over de lijn verzonden.
Daarnaast comprimeert men het netwerkverkeer.

Cisco WAAS integreerd mooi met hun ISR routers. De WAAS software op een module in hun routers.
Voor grotere omgevingen hebben ze ook losse appliances.

Riverbed is technisch gezien verder dan Cisco.

Cisco WAVE appliances draaien naast WAN optimalisatie, ook Windows 2008 server.
Deze staat dan op de bijlocatie en kan je inrichten voor zaken als DHCP, DNS, AD en Print services.
Al het andere verkeer loopt dan via het WAN.

Bij Riverbed kan je naast WAN optimalisatie software ook ESX draaien.
Je kan dan tot 5 VM's op de Riverbed appliance draaien.
Voor zaken als DHCP, DNS, en Print services kan je Windows server of Linux inrichten.

Ook kan je virtuele appliances draaien van bijvoorbeeld Check Point voor firewalling / VPN en Websense voor URL filtering / Websecurity. Je hebt dan nog wel een routertje om je ADSL / SDSL lijn te termineren.

Voor thuiswerkers hebben zowel Riverbed, als Cisco Mobiele oplossingen.
Je installeert dan een client op de laptop en al het verkeer tussen de laptop en de colo wordt dan geoptimaliseerd.

[arjants]

We maken veel gebruik van zywalls.
Een zware 1050 of zywall 70 op de colo (ligt aan het aantal verbindingen) en op de locaties zywall2's of gecombineerde modem/routers (prestige 334)

Draait al jaren als een zonnetje!
Simpel, niet duur en door iedereen makkelijk te onderhouden via een standaard adsl abbo.

[PcDealer]

Naast wat

Bl@ckbird schreef op donderdag 24 december 2009 @ 16:28:
Wan optimalisatie

Is er ook Exinda.

Naast alle eerdere genoemde Cisco en Zywall hardware oplossingen is er ook de SonicWALL TZ100 voor de bijvestigingen en een NSA 240 voor de cololocatie prima voor site2site vpn. Stapje groter en racked is de NSA 2400. Vooral de TZ serie biedt veel waar en functionaliteit out of the box in een Total Secure pakket voor die prijs

[ Voor 3% gewijzigd door PcDealer op 28-12-2009 19:52 ]

[Emtrix]

Allereerst, sorry voor mijn late reactie,

De mooiste oplossing zou inderdaad zijn met Zywalls een verbinding te maken, echter is het ophangen van een Zywall op de colo vrij prijzig.

Momenteel hebben we OpenVPN op de server draaien in Bridge modus.
Op het hoofdkantoor hebben we een testPC uitgerust met pfSense. Dit werkt op dit moment half. pfSense kan de server bereiken, echter alleen op het ip adres en nog niet op de hostname. Een simpele Windows machine met OpenVPN client lukt dit wel. OpenVPN server deelt ip adressen uit en geeft ook DNS en WINS adressen mee. Dat pfSense de server kan bereiken is heel mooi, alleen lijkt deze de DNS en WINS te negeren. Verder moeten ook de clients achter de pfSense machine de server kunnen bereiken...