Virtual Private Network EN LAN gebruiken

[Hu9o]

Hallo mede tweakers, ik heb een vraag.

Ik heb verbinding met internet doormiddel van een linux router. Dit werkt prima.
Om op een ander netwerk te komen (campusnet) heb ik een Dial-up Virtual Private Network verbinding geinstalleerd. Deze werkt ook prima.

Nu het probleem.
Om gebruik te maken van de VPN verbinding, heb ik ingesteld bij eigenschappen van Internet Explorer > connections > 'Always dail my default connection' = m'n campusnet verbinding.

Zo kan ik met IE op het campusnet komen, MAAR nu kan ik niet bij de nieuwsgroepen van m'n provider komen, omdat Outlook nu ook de campusnet verbinding wil gebruiken.... en dat werkt niet.

Weet iemand hoe ik dit kan oplossen, zonder m'n verbinding met campusnet te hoeven verbreken?

[ Voor 4% gewijzigd door Hu9o op 10-09-2003 00:10 ]

[PtrO]

Aparte route toevoegen (route add....) voor het IP adres (of subnet) van je ISP. Nadat je VPN met het Campusnet actief is.

[paella]

Slecht idee alleen. Voor hackers is een VPN van iemand thuis de makkelijkste manier om op een (bedrijfs)netwerk te komen. Daarom is dit zo gedaan.

[Hu9o]

Bedankt voor de reacties

PtrO schreef op 10 September 2003 @ 00:43:
Aparte route toevoegen (route add....) voor het IP adres (of subnet) van je ISP. Nadat je VPN met het Campusnet actief is.

Hoe voeg ik deze aparte route toe? Want als ik naast VPN op add klik, geeft de wizzard 4 mogelijkheiden aan. Welke moet ik hier dan voor hebben?

paella schreef op 10 September 2003 @ 08:07:
Slecht idee alleen. Voor hackers is een VPN van iemand thuis de makkelijkste manier om op een (bedrijfs)netwerk te komen. Daarom is dit zo gedaan.

Hoe bedoel je slecht idee, van mij om 2 verbindingen te willen gebruiken, of dat de campus een VPN gebruikt?

[paella]

Dat je naast je verbinding met je VPN server ook de verbinding met je eigen provider actief hebt dmv van een aparte route. Dan kunnen dus eventueel hackers ook je systeem in en direct via de VPN naar het bedrijfsnetwerk. Groot securityrisk, want hoe goed de beveiliging van het bedrijfsnetwerk ook, mensen thuis zijn makkelijker te hacken en op die manier kom je dus simpeler een bedrijfsnetwerk op.

[frapex]

in de tcp/ip settings van je vpn staat ergens iets van "use gateway by default" (ofzo) in een van die tabjes. (dat moet je dus UITvinken) Op die manier kun je nog gewoon internetten en ook gebruik maken van de VPN

[ Voor 11% gewijzigd door frapex op 10-09-2003 12:13 . Reden: bla ]

[EricV]

Wat je moet doen is gewoon IE instellen om via je LAN te internetten. De gateway in je netwerksettings moet dan ook staan naar je router. Je defaultroute is dan die van je router.
Als je dan normaal kan internetten moet je de VPN met campusnet opzetten (gewoon de verbinding dubbelklikken). Dan wordt automatisch een route toegevoegd naar 130.89.xxx.xxx (ofzo) adressen via de VPN. Als je naar een campusadres gaat neemt hij deze route, anders neemt hij de route naar je provider.

[Verwijderd]

Hoogstwaarschijnlijk 'pushed' de VPN server een policy naar je VPN client die al het verkeer de VPN op stuurt. Dit is, zoals paella al zegt, om te voorkomen dat crackers via jouw PC het bedrijfsnetwerk op komt... dit kan je waarschijnlijk niet omzeilen en als het wel kan zou ik het niet doen...

[Hu9o]

Ok om redenen met de beveiliging zal ik dus maar niet verder proberen om 2 verbindingen tegelijkertijd te krijgen.

Maar nu ga ik steeds als ik m'n VPN wil gebruiken naar Internet Explorer > Eigenschappen > Connections > Dial Default.
En als ik die weer uit wil, dan zet ikdeze weer op Never dial. Maar dit is erg omslachtig.

Kan dit ook makkelijker?? Met een soort van snelkoppeling (1 voor aan 1 voor uit oid)??

[paella]

Ik heb een snelkoppeling van mijn VPN verbinding in mijn quicklaunch gezet, ff klikken en ik zit op het bedrijfsnetwerk en kan mijn werk doen, thuis

[PtrO]

Hu9o schreef op 10 September 2003 @ 10:42:
Bedankt voor de reacties
[...]
Hoe voeg ik deze aparte route toe? Want als ik naast VPN op add klik, geeft de wizzard 4 mogelijkheiden aan. Welke moet ik hier dan voor hebben?

Simpel:

code:

ROUTE [-f] [-p] [command [destination]
   [MASK netmask]  [gateway] [METRIC metric]  [IF interface]

Dus nadat je VPN actief is doe je in een command/dos box het volgende:

route add xxx.xxx.xxx.xxx mask 255.255.255.yyy zzz.zzz.zzz.zzz

waabij
xxx.xxx.xxx.xx0 het(/de) IP adres(serie) is die je niet via de VPN wilt laten lopen.
yy0 is 255 wanneer het gaat om 1 specifiek adres.
zzz.zzz.zzz.zzz het IP adres is van je provider gateway

Let op wil je een serie hebben, zet dan xx0 = 000 en yy0 op 000.
Bijv (stel je ISP gateway heeft adres 192.168.3.2 en je wil alle addressen tussen 10.0.0.1 en 10.0.0.254 daarover heen routeren, type dan:
route add 10.0.0.0 mask 255.255.255.0 192.168.3.2

Lukt het niet en voordat je gaat vragen, voeg dan ook even de output van het ROUTE PRINT commando toe (nadat je VPN actief is) en zet neer wat je wilt routeren over je provider verbinding.

[...]
Hoe bedoel je slecht idee, van mij om 2 verbindingen te willen gebruiken, of dat de campus een VPN gebruikt?

Is in principe helemaal geen slecht idee en wordt zelfs vaak gedaan wanneer je meerdere interfaces hebt. Theoretisch bestaat ms/wel het risico dat er via jou vice versa kan worden gerouteerd tussen campus en externe wereld.
Jijzelf zult nergens last van hebben omdat je dan fungeert als router. Formeel gezien ms en heel evt. vragen aan de campus-systeembeheerder of er wat op tegen is. De vraag stelling is dan eik of het wel/niet is toegestaan om meerdere interfaces actief te hebben.

Suc6

[ Voor 7% gewijzigd door PtrO op 10-09-2003 17:51 . Reden: stomme typos ]

[Verwijderd]

Mijn situatie: laptop rechtstreeks op een LAN aangesloten en via dat LAN een VPN-tunnel naar een server. Nu heb ik een route gemaakt zodat de echte en de virtuele verbinding tegelijkertijd gebruikt kunnen worden. Zo kan de laptop via het LAN op internet en via het VPN bij de windows shares op de VPN-server komen. De windows shares op de VPN-server staan alleen open naar het privenetwerk erachter, vandaar dat de VPN-verbinding vanaf de laptop nodig is om toegang tot deze shares te hebben.

paella schreef op 10 september 2003 @ 08:07:
Slecht idee alleen. Voor hackers is een VPN van iemand thuis de makkelijkste manier om op een (bedrijfs)netwerk te komen. Daarom is dit zo gedaan.

De laptop heeft een firewall draaien dus hackers komen er niet zomaar in. Bovendien zijn de belangrijkste windows shares read-only en niet privacygevoelig (films, muziek etc). Dus als er al ingebroken wordt dan kan zelfs een hacker niet veel uitrichten behalve de nieuwste films bekijken/downloaden . Of zie ik iets over het hoofd?

[ Voor 28% gewijzigd door Verwijderd op 06-05-2004 18:07 ]

[Guru Evi]

Wat ik doe is een VPN verbinding maken (PPTP) en een route toevoegen enkel voor de ip's binnen de VPN.
Zodanig zit ik via de kabel op het grote wijde internet en enkel voor de interne ip's op de VPN. snappie?
Hackers? Als je een goeie firewall hebt (Linux 4 me) dan is er weinig kans, een echte hacker geraakt wel overal in en daarvoor dient je bedrijf een VPN veiligheidspolicy te hebben (enkel bepaalde servers bereikbaar, apart subnet etc.)

[Donuts]

Hoeft allemaal niet zo ingewikkeld, gewoon het vinkje "Use gateway on remote network" afvinken in de Advanced Properties van TCP/IP op tapblad Networking van je VPN verbinding en voila...

[Exterazzo]

Verwijderd schreef op 06 mei 2004 @ 17:31:
Mijn situatie: laptop rechtstreeks op een LAN aangesloten en via dat LAN een VPN-tunnel naar een server. Nu heb ik een route gemaakt zodat de echte en de virtuele verbinding tegelijkertijd gebruikt kunnen worden. Zo kan de laptop via het LAN op internet en via het VPN bij de windows shares op de VPN-server komen. De windows shares op de VPN-server staan alleen open naar het privenetwerk erachter, vandaar dat de VPN-verbinding vanaf de laptop nodig is om toegang tot deze shares te hebben.


[...]

De laptop heeft een firewall draaien dus hackers komen er niet zomaar in. Bovendien zijn de belangrijkste windows shares read-only en niet privacygevoelig (films, muziek etc). Dus als er al ingebroken wordt dan kan zelfs een hacker niet veel uitrichten behalve de nieuwste films bekijken/downloaden . Of zie ik iets over het hoofd?

Hacken is wel iets meer dan alleen kijken of er windows shares openstaan hoor

[Verwijderd]

Donuts schreef op 07 mei 2004 @ 17:22:
Hoeft allemaal niet zo ingewikkeld, gewoon het vinkje "Use gateway on remote network" afvinken in de Advanced Properties van TCP/IP op tapblad Networking van je VPN verbinding en voila...

Zo simpel is het niet. Als je dat namelijk doet dan is het hele VPN netwerk niet bereikbaar voor in dit geval de laptop. IP ranges moeten expliciet in de routes staan.

Guru Evi schreef op 07 mei 2004 @ 17:14:
Wat ik doe is een VPN verbinding maken (PPTP) en een route toevoegen enkel voor de ip's binnen de VPN.
Zodanig zit ik via de kabel op het grote wijde internet en enkel voor de interne ip's op de VPN. snappie?
Hackers? Als je een goeie firewall hebt (Linux 4 me) dan is er weinig kans, een echte hacker geraakt wel overal in en daarvoor dient je bedrijf een VPN veiligheidspolicy te hebben (enkel bepaalde servers bereikbaar, apart subnet etc.)

Precies hetzelfde wat ik dus heb gedaan. Maar in principe kan er dan vanaf het internet via de laptop op het VPN ingebroken worden.

[Verwijderd]

Mijn VPN-verbinding reageert ineens niet meer. De verbinding zelf komt wel tot stand, maar de VPN-server reageert nergens op via de VPN-verbinding.

Het interne (VPN) ip-adres van de server is 192.168.10.1 en die van de VPN-client is 192.168.1.1. Route voeg ik toe via:

code:

route add 192.168.10.1 192.168.1.1 metric 1

met als resultaat deze regel in de routetabel:

code:

Network Destination        Netmask          Gateway       Interface  Metric
     192.168.10.1  255.255.255.255      192.168.1.1     192.168.1.1    1

192.168.1.1 is dan de (virtuele) interface waarmee je de VPN opgaat. Metric 1 geeft deze regel de hoogste prioriteit voor de bestemming 192.168.10.1.

Dit heeft altijd gewerkt, maar nu ineens niet meer. De VPN komt gewoon tot stand (icoontje verschijnt in de taakbalk; ip-adressen van VPN-server en -client worden in de eigenschappen bevestigd), maar zelfs een simpele "ping 192.168.10.1" reageert de VPN-server niet meer op. Ik zie aan het VPN-icoontje overigens wel dat de ping verzonden wordt. Op de server heb ik niets veranderd. Tenminste, ik heb daar gisteren SNMP op geinstalleerd en PRTG om netwerkverkeer te loggen, maar ik kan me niet voorstellen dat het daar iets mee te maken heeft.

Normaal gebruik ik VPN voor remote desktop en file sharing maar dat kan nu dus allemaal niet meer. Ik kan morgen pas weer op de server zelf kijken via mijn private LAN, maar misschien herkent iemand dit probleem waardoor ik niet met instellingen, protocollen, programma's e.d. hoef te klooien.

[Verwijderd]

Vanaf het interne netwerk werkt het allemaal prima. Vanaf het internet niet, ondanks dat de vpn-poort gewoon openstaat. Ik ga het binnenkort eens vanaf een andere pc via internet proberen.

*edit*
Ik heb de VPN-service even herstart en toen was het probleem opgelost. Geen idee hoe, maar het werkt weer en daar gaat het om.

[ Voor 28% gewijzigd door Verwijderd op 22-03-2006 02:17 ]