Übersicht
- Ziel
- Einführung
- VPN Basics
- Cisco
- Check Point
- OpenVPN
- Praktische Beispiele
Ziel
- Überblick über die Möglichkeiten der verschiedenen VPN Clients
- Darstellung der Vorteile bei den unterschiedlichen Lösungen
- Angabe zu den Nachteilen im Betrieb
- Entscheidungshilfen für die Einsatzplanung
- Live-Demonstration
Einführung
- Warum diese Thematik
- Beschränkung auf Windows als Client-Betriebssystem
- Beschränkung auf drei Clientvarianten (Cisco, Check Point, OpenVPN)
- Nur kurzes Eingehen auf die jeweilig notwendigen Gegenstellen (Server)
- Alle Lösungen getestet mit Windows 2000 und Window XP
- Auf die zugrunde liegende Technik (IPSec, SSL, ...) wird nicht eingegangen
- VPNs selbst werden als bekannt vorausgesetzt
VPN (Virtual Private Network) Basics
- Site-to-Site VPNs (Verbindung zwischen Netzen)
- Client-to-Site bzw. Remote Access VPNs (Verbindung von Client zu einem Netz)
- Management der VPN-Clients Lokal/Zentral
- Firewall integriert und zentral managebar bzw. eigenständiges Produkt
- IP-Adressen, Routen
- Routing/Bridging
- Sonstige Möglichkeiten zur Sicherheit (z.B.: Status des Virenschutzes)
Cisco Überblick
- Client Version 4, da Version 5 noch nicht für alle Betriebssysteme verfügbar ist
- Funktioniert sowohl gegen einen dedizierten VPN-Konzentrator als auch gegen eine Firewalllösung (PIX/ASA) bzw. einen entsprechenden Router
- Unterstützt nur mit VPN-Konzentrator eine zentral managebare Firewallfunktion am Client
- Sehr aufwändige Fehlersuche
- Benötigt einige Ports (in Kundennetzen oft nicht verfügbar)
- Kaum Zusatzfunktionen, da das Cisco-Modell diese in den Switch verlagert
Check Point Überblick
- VPN-1 Zusatz für die Firewall des Herstellers notwendig
- Zwei Lösungsarten: SecuRemote (nur VPN, kostenlos) und Secure Client (VPN und Client-FW, kostenpflichtig)
- Clientfirewall zentral administrierbar
- Einfachste Fehlersuche auch mit Hilfe des Anwenders durch ein einfaches Ampelsystem
- Clientseitig nur ein Port notwendig (UDP 2746)
- Zusatzfunktionen für die Überprüfung des Clients verfügbar (z.B.: Virenpattern aktuell?)
OpenVPN Überblick
- Server und Clientversionen werden gemeinsam entwickelt und installiert (Unterschied durch Konfiguration)
- OpenSource-Lösung, d.h. Sourcecode und Windowsinstaller von den Projektbetreibern verfügbar
- Unterstützt keine zentral managebare Firewallfunktion am Client
- Komplexität der Fehlersuche zwischen den beiden anderen Lösungen
- Clientseitig nur ein Port notwendig (z.B.: UDP oder TCP 1194)
- Keine Zusatzfunktionen zur Überprüfung des Clientstatus
Cisco Installation 1 - Verzeichnis
Cisco Inst2 - Sprachauswahl
Cisco Inst3 - Start
Cisco Inst4 - Lizenz
Cisco Inst5 - Zielverzeichnis
Cisco Inst6 - Installationsbereitschaft
Cisco Inst7 - Ende
Cisco Inst8 - Neustart
Cisco Inst9 - Zusätzliches Netz
Cisco Konfiguration 1 - Erster Start
Cisco Konf2 - Verbindungkonfiguration
Cisco Konf3 - Client mit Definition
Cisco Konf4 - Anmeldung erfolgreich
Cisco Konf5 - IP-Konfiguration
Cisco Konf6 - Statistik
Cisco Konf7 - Log-Einstellungen
Cisco Konf8 - Log-Ergebnis
Cisco Konf9 - Benachrichtigungen
Check Point Installation 1 - Start
CP Inst2 - Lizenz
CP Inst3 - Zielverzeichnis
CP Inst4 - Art (nur VPN/VPN inkl. FW)
CP Inst5 - Installationsbereitschaft
CP Inst6 - Installationsablauf
CP Inst7 - Ende
CP Inst8 - Neustart
CP Inst9 - Kein Netz sondern Dienst
|
|
|
CP Konf1 - Client erster Start
CP Konf2 - Konfigurationswizard
CP Konf3 - Authentifizierungsmethode
CP Konf4 - Zertifikatsdaten
CP Konf5 - Verbindung herstellen
CP Konf6 - Verbindungseinstellungen
CP Konf7 - Verbindungsoptionen
CP Konf8 - Sicherheitsseinstellung
CP Konf9 - Zertifikatsmöglichkeiten
CP Konf10 - Erweitere Einstellungen
CP Konf11 - Verbindung erfolgreich
CP Konf12 - IP Konfiguration
Check Point Diagnostics
OpenVPN Installation 1 - Start
OpenVPN Inst2 - Lizenz
OpenVPN Inst3 - Komponentenauswahl
OpenVPN Inst4 - Zielverzeichnis
OpenVPN Inst5 - Windows Logo Test !
OpenVPN Inst6 - Installation
OpenVPN Inst7 - Ende
OpenVPN Inst8 - Zusätzliches Netz
OpenVPN Konf1 - Notwendige Dateien
OpenVPN Konf2 - Dateiinhalte
- ca.crt - Public Key der CA
- ta.key - Schlüssel für die TLS Authentifizierung
- test.key - Private Key des Clients
- test.crt - Public Key des Clients
- test.ovpn - Konfigurationsdatei
OpenVPN Konf3 - Parameter 1
| Eintrag | Bedeutung |
|---|---|
| client | Schalte OpenVPN in den Client-Mode |
| dev tun | Wähle Routing (nicht Bridging; wie Server) |
| ;dev-node VPN-Adapter | Welcher VPN-Adapter im Client |
| remote buero.coufal.at 1194 | Angabe des Servers und des Ports |
| proto udp | TCP oder UDP (wie Server) |
| resolv-retry infinite | Serversuche bis Benutzer abbricht |
| nobind | Kein bestimmter lokaler Port |
| persist-key | Schlüsselparameter über Neustart bewahren |
| persist-tun | Schnittstellenzustand über Neustart bewahren |
| ;mute-replay-warnings | Wiederholungen von Warnungen unterdrücken (WLAN) |
OpenVPN Konf4 - Parameter 2
| Eintrag | Bedeutung |
|---|---|
| ca ca.crt | Angabe des CA-Zertifikats |
| cert test.crt | Angabe des Client-Zertifikats |
| key test.key | Angabe des Client-Schlüssels |
| ns-cert-type server | Zertifikat der Gegenstellen muß vom Typ Server sein |
| tls-auth ta.key 1 | TLS-Schlüssel (soferne Server) |
| cipher AES-256-CBC | Verschlüsselungsparameter (wie Server) |
| comp-lzo | Kompression (wie Server) |
| verb 3 | Umfang für die Logdatei |
| ;mute 20 | Unterdrücke Wiederholungen von Einträgen |
Livedemonstrationen
- Ciscoclient gegen Cisco ASA als VPN-Server
- Checkpointclient gegen FW-1/VPN-1 auf Secure Plattform
- OpenVPN-Client gegen OpenVPN-Server auf OpenSuSE 11.0
Quellen
Fragen
?
Danke für Ihre Aufmerksamkeit