VPN server met rbpi + Horizon; veilig?

[SeatRider]

Ik wil thuis een VPN server draaien, zodat ik te allen tijde met telefoon, tablet en laptop gebruik kan maken van (in principe onvertrouwde) wifi spots. Ik heb een mooie walk-through gevonden om de VPN server op te zetten: http://www.bbc.com/news/technology-33548728 .

Wat me niet lekker zit, is dat dit soort verhaaltjes altijd juichen dat ik dan van buitenaf bij mijn bestanden op mijn NAS zou kunnen. En dat wil ik nu juist niet. Ik heb het niet nodig, en wil al helemaal niet die deur op een kier zetten voor hackers.

In principe zet ik een server(tje) open, toegankelijk vanaf het internet, een hacker die via die server binnenkomt, kan dus hetzelfde als een ieder die op mijn netwerk is verbonden. Dat zit me niet lekker. Dus vroeg ik me af, of ik die VPN server op een "afgesloten" stuk netwerk kan laten draaien. Ik heb een Horizon box, dus geen overdreven heftige router met veel configuratiemogelijkheden.

Ik zat zelf op deze route: wat nou als ik de VPN server nu een IP adres en network mask geef waardoor hij niet bij mijn NAS kan. Maar ja, dat kan een hacker misschien ook weer terugveranderen als hij eenmaal op het systeem binnen is.

Kan ik dit enigszins veilig krijgen, of kan ik dan maar beter een VPN service extern afnemen? Cyberghost ofzo?

[Dennis]

Met een Horizon kun je dat verkeer in principe niet scheiden. Ook met firewallinstellingen kom je in jouw geval niet echt heel ver. Eigenlijk is mijn conclusie dat het op een volledig veilige manier niet kan. Een eventuele kleine mogelijkheid is nog je VPN devices een vaste IP-range geven en die toegang weigeren op je NAS. Bedenk wel dat je veiligheidslaag daarmee klein is en bovendien is de rest van je netwerk alsnog toegankelijk via je VPN.

Als de noodzaak er niet is om bij je bestanden te komen, zou het dan niet het overwegen zijn om een VPN provider te nemen? Heb je dit topic al gezien? [VPN] Internetten via een VPN-provider

[Koldur]

Als iemand je VPN kan hacken, is het voor die persoon makkelijker om je netwerk van buitenaf te hacken, dus je zorgen zijn nergens voor nodig

[Cageman1984]

Het hangt er ook een beetje vanaf wat voor VPN server je gaat draaien. Als je op je pi PPTPD draait (128 bit versleuteling), dan is het in principe voor een hobbyist mogelijk om je VPN server te hacken. PPTPD is overigens wel in 5 minuten aan de gang te krijgen! Het zal nog steeds niet snel gebeuren dat iemand je VPN kraakt denk ik.

OpenVPN is al veel veiliger maar je loopt tegen wat problemen aan omdat de client niet standaard op je windows/apple apparaten staat.

Misschien kan je je NAS makkelijker beveiligen? als iemand het op een bepaalde manier voor elkaar krijgt om in te loggen op je VPN, maar vervolgens geen loginnaam en wachtwoord heeft voor je mappen op je NAS?

[SeatRider]

Dennis schreef op vrijdag 21 augustus 2015 @ 09:41:
Met een Horizon kun je dat verkeer in principe niet scheiden. Ook met firewallinstellingen kom je in jouw geval niet echt heel ver. Eigenlijk is mijn conclusie dat het op een volledig veilige manier niet kan. Een eventuele kleine mogelijkheid is nog je VPN devices een vaste IP-range geven en die toegang weigeren op je NAS. Bedenk wel dat je veiligheidslaag daarmee klein is en bovendien is de rest van je netwerk alsnog toegankelijk via je VPN.

Geen fijn idee

Als de noodzaak er niet is om bij je bestanden te komen, zou het dan niet het overwegen zijn om een VPN provider te nemen? Heb je dit topic al gezien? [VPN] Internetten via een VPN-provider

Zojuist mee begonnen, interessant leesvoer!

[Dennis]

Cageman1984 schreef op vrijdag 21 augustus 2015 @ 09:55:
Misschien kan je je NAS makkelijker beveiligen? als iemand het op een bepaalde manier voor elkaar krijgt om in te loggen op je VPN, maar vervolgens geen loginnaam en wachtwoord heeft voor je mappen op je NAS?

Dit zou ik altijd afraden. Er hoeft maar één lek in je NAS te zitten (herinneren we ons Synology nog) en je hebt een probleem.

[laugh]

Ik zou voor OpenVPN gaan. Ik draai zelf een OpenVPN server op me router en om het goed en veilig in te stellen kost dat veel tijd. Iemand van buitenaf kan er niet zomaar in zonder certificaten en keys. Het is dus niet effetjes een wachtwoord intikken en je kan verbinden. Zelfs dan zie ik vaak portscanners vanwege mijn gekozen poort en heb aantal keren hackers gehad maar die kwamen geen stap verder en werden na een seconde eruit gezet door onjuiste cerificaten en keys.

[SeatRider]

laugh schreef op vrijdag 21 augustus 2015 @ 10:27:
Ik zou voor OpenVPN gaan. Ik draai zelf een OpenVPN server op me router en om het goed en veilig in te stellen kost dat veel tijd. Iemand van buitenaf kan er niet zomaar in zonder certificaten en keys. Het is dus niet effetjes een wachtwoord intikken en je kan verbinden. Zelfs dan zie ik vaak portscanners vanwege mijn gekozen poort en heb aantal keren hackers gehad maar die kwamen geen stap verder en werden na een seconde eruit gezet door onjuiste cerificaten en keys.

Ik snap dat het VPN protocol an sich wel veilig is, maar 1 abstractieniveau hoger is het gewoon een webservice waar je op allerlei manieren tegenaan kunt hacken, misschien wel om het VPN protocol heen (buffer overflow of underrun, whatever).

[laugh]

SeatRider schreef op vrijdag 21 augustus 2015 @ 11:17:
[...]

Ik snap dat het VPN protocol an sich wel veilig is, maar 1 abstractieniveau hoger is het gewoon een webservice waar je op allerlei manieren tegenaan kunt hacken, misschien wel om het VPN protocol heen (buffer overflow of underrun, whatever).

Mwa. Als je het zo bekijkt is niks veilig maar ik ga er vanuit dat je hoogstens misschien wat gaat internet bankieren bij een onveilig Wi-Fi zoals een coffeeshop. Dat daar een professionele hacker gaat zitten, die en jou zou willen targeten en door je hele VPN (dat stevig beveiligd is op hoog niveau) door te kraken is zeer onwaarschijnlijk tenzij jij dus een zogenaamde "zware crimineel" bent die gezocht wordt door de geheime dienst ofzo . Een OpenVPN server met RSA 4096 bit, AES-256 cipher, SHA512, TLS-auth breekt een "normale hacker" niet door heen.

[Ximon]

Je kan als extra beveiliging de VPN tunnel op de Raspberry Pi zo firewallen dat er geen verkeer mogelijk is tussen de virtuele VPN adapter (uit mijn hoofd tun0) en jouw lokale netwerk (met iptables). Dit kost wat moeite, maar dan is e.e.a. wel beter beveiligd.

[Thralas]

Ximon schreef op vrijdag 21 augustus 2015 @ 17:03:
Je kan als extra beveiliging de VPN tunnel op de Raspberry Pi zo firewallen dat er geen verkeer mogelijk is tussen de virtuele VPN adapter (uit mijn hoofd tun0) en jouw lokale netwerk (met iptables). Dit kost wat moeite, maar dan is e.e.a. wel beter beveiligd.

Dit.

Allow verkeer van de VPN interface naar alles-behalve-LAN, drop de rest.