VPN vraagjes

[Erhnam]

Na een beetje zoeken kwam ik er achter dat het met VPN mogelijk is vanaf afstand je interne netwerk te benaderen: VPN. Een paar dingen waar mij niet geheel duidelijk. Ik heb diverse howto's en manuals gelezen maar ik blijf toch met wat vragen zitten voordat ik echt aan de slag wil. Nadat alles werkt zoals ik wil, ga ik er denk ik ook een Nederlandse Howto overschrijven.

- Mijn gateway/router wil ik klaar gaan maken voor VPN. Maar iets is mij niet geheel duidelijk. Hoe wordt de VPN verbinding opgebouwd ? Handeld de (linux)server dit af, of forward die iets naar binnen toe naar een interne (windows)pc waar je vervolgens verder mee werkt ? (Pc's in mijn interne netwerk krijgen dhcp via de linux server.)

- Ik neem aan dat je de pc ook waar mee je het interne netwerk in wilt ook moet voorzien van software. Hier waren diverse programma's voor, commercieel als non-commercieel. Welke raden jullie aan ?

- De verbinding kon je ook voorzien van een encryptie.. Ook hier waren verschillende pakketen voor aanwezig? (Kep ook iets gelezen over een nieuwe kernel patchen/bakken) Wie kan mij hier iets over vertellen, moet dat nog steeds (kernel patchen) ?

[ Voor 8% gewijzigd door Erhnam op 11-01-2003 22:26 ]

[Verwijderd]

openvpn (user space, zonder kernel te recompilen) en freeswan

[ Voor 11% gewijzigd door Verwijderd op 11-01-2003 22:28 ]

[Erhnam]

Verwijderd schreef op 11 January 2003 @ 22:27:
openvpn (user space, zonder kernel te recompilen) en freeswan

Wat ik van openvpn begrepen heb dat dit meer een implementatie is om echt 2 verschillende netwerken aan elkaar te knopen.

Ik ga voor 3 maanden naar het buitenland en ik zit er daarom over te denken om een router met VPN op mijn werkplek te zetten, zodat ik met mijn laptop (met windows 2000 erop) via het internet toch toegang krijg tot het interne netwerk. Iemand hier een advies voor? Volgens mij is dit met openvpn niet mogelijk omdat die er vanuit gaat dat er aan de andere kant ook een gateway staat. Is dat gene wat ik wil mogelijk ?

update: ben nu bezig met die freeswan.. laat het wel weten.

[ Voor 21% gewijzigd door Erhnam op 12-01-2003 21:39 ]

[Verwijderd]

Erhnam schreef op 12 januari 2003 @ 20:51:
[...]

Ik ga voor 3 maanden naar het buitenland en ik zit er daarom over te denken om een router met VPN op mijn werkplek te zetten, zodat ik met mijn laptop (met windows 2000 erop) via het internet toch toegang krijg tot het interne netwerk.

Ik zou voor je verder gaat hiermee even aan de security officer vragen of dit soort dingen gewenst zijn. Grote kans dat dit absoluut niet past binnen de security-policies van het bedrijf of de universiteit waar je zit. Als het wel mag heb je een redelijke kans dat ze een kant-en-klare oplossing voor je hebben. Succes!

[Erhnam]

Verwijderd schreef op 12 January 2003 @ 22:40:
[...]

Ik zou voor je verder gaat hiermee even aan de security officer vragen of dit soort dingen gewenst zijn. Grote kans dat dit absoluut niet past binnen de security-policies van het bedrijf of de universiteit waar je zit. Als het wel mag heb je een redelijke kans dat ze een kant-en-klare oplossing voor je hebben. Succes!

De hele infrastructuur is door ons opgezet Dus dat wordt geen probleem. Er draait nu een Windows 2000 bak waar het hosting gebeuren op draait (die stond er al) + een draytec router. Deze wil ik eigenlijk vervangen door een Linux-firewall en daarnaast ook VPN op de firewall installeren zodat de studenten die worden uitgezonden naar het buitenland toch nog een verbinding kunnen maken met het interne netwerk.

[ Voor 6% gewijzigd door Erhnam op 12-01-2003 22:56 ]

[Verwijderd]

Als je toch een aparte linux-doos neer wilt zetten (wat ongetwijfeld geld kost), kijk dan ook eens naar: http://www.checkpoint.com/products/connect/smalloffice.html. Kost $875 en draait gewoon op win2000. Misschien wel goedkoper dan een linux-doosje neerzetten. Bovendien is het ongetwijfeld goed gesupport en is er voldoende documentatie aanwezig.
Het leuke is dat je de clients hiervoor ook op PocketPC's kunt installeren!

[pablo_p]

Tja, als je kiest voor een firewall, is er ook een andere grote speler. Cisco met hun PIX-jes. De kleinste PIX, de 501 heeft ok mogelijkheden voor VPN connecties met een losse client. Zit ook professionele support. Met PIX Device Manager grafisch makkelijk in te stellen. Vanafprijs €519 (zie pricewatch), duurder als je meer VPN connecties wil enzo.
Is net als Checkpoint goed upgradebaar naar zwaardere firewall indien gewenst, alleen goedkoper. Is ook een box in-een, dus niet een OS + Firewall software (=2 licenties, 2 x onderhoud, twee mogelijke oorzaken voor problemen), dus handiger dan 2000 +afzonderlijke software (CP op Nokia is al beter, maar erg duur)).
Een nadeel wat wij merken van Checkpoint is wat problemen bij licenties enzo. En licentie kosten Management Station zijn de pan uit gerezen. Wij doen tegenwoordig meer PIX dan CP.

[ Voor 6% gewijzigd door pablo_p op 12-01-2003 23:35 . Reden: Prijs toegevoegd ]

[Erhnam]

Bedankt voor het advies! Maar ik denk dat ik toch gewoon voor een Linux-box ga.

Veel howto's gaan uit van de volgende setup:

client (windows2000) -> linux-gateway -> internet -> linux-gateway -> interne netwerk

Weet iemand of het volgende ook mogelijk is, dus zonder tussen komst van een 2de gateway/firewall?

client (windows2000) -> internet -> linux-gateway -> interne netwerk

[ Voor 23% gewijzigd door Erhnam op 13-01-2003 01:44 ]

[arikkert]

Erhnam schreef op 12 januari 2003 @ 23:44:
Weet iemand of het volgende ook mogelijk is, dus zonder tussen komst van een 2de gateway/firewall?

client (windows2000) -> internet -> linux-gateway -> interne netwerk

Deze implementatie heb ik met poptop (http://www.poptop.org) op freebsd 4.7 gerealiseerd, maar kan ook met linux.
Leuke hiervan is dat een compatible vpn client al standaard in win2000 zit.
NB: Encryptie is niet zo goed als die van bijv ipsec.

[ Voor 23% gewijzigd door arikkert op 13-01-2003 02:08 ]

[Verwijderd]

is Cipe mischien iets voor je.

[Verwijderd]

Ik zat gisteren toevallig de docs van IPcop te lezen en kwam daar een interessante howto tegen (in combinatie met IPcop 1.2). Als je meerdere externe IP's heb kun je misschien eenvoudig een ipcop doosje neerzetten, of de configuratie uit IPcop halen en op een eigen bakje invoegen

Succes!

[Erhnam]

Ben er uit.

Kep het uiteindelijk tot met poptop gedaan. Kep er meteen ff een kleine en beknopte howto van gemaakt.. Leuk voor de mensen die er ooit nog eens aan willen beginnen

http://www.euronet.nl/users/erhnam/linux/vpn/vpn.htm