Sicher surfen am Hotspot mittels Firmen-VPN?

  • Normalerweise kenne ich mich mit so Zeugs ja selbst ganz gut aus, aber hier brauche ich mal fachkundigeren Rat, als ich mir selbst geben kann... ;)


    Also, gegeben sei ein unverschlüsselter Hotspot im Hotel, am Flughafen, wo auch immer. Gegeben sei weiterhin ein vorhandener VPN-Dialer (in diesem Falle von AT&T), der dazu verwendet wird, eine getunnelte Verbindung zum Firmen-Intranet herzustellen. Diesen Dialer benötige ich grundsätzlich immer, also auch, wenn ich von zu Hause aus arbeite, hat also mit offenem oder sicheren WLAN erstmal nichts zu tun.


    In einem offenen WLAN hat die VPN-Verbindung nun zusätztlich den Vorteil, dass jemand, der die offene WLAN-Verbindung belauscht, nichts mit dem mitgeschnittenen Traffic anfangen kann.


    Nun zur eigentlichen Aufgabenstellung: Wenn die VPN-Verbindung aktiv ist, dann werden ausschließlich Verbindungen zum Firmen-Intranet über den Tunnel geleitet, d.h. wenn ich z.B. im Browser eine Intranetseite anwähle, dann läuft diese Verbindung natürlich über den Tunnel, klicke ich dagegen auf Google, dann geht dies quasi "am Tunnel vorbei".


    Was ich nun gerne hätte, ist, dass der GESAMTE Traffic meines Notebooks ausschließlich über den VPN-Tunnel geht. Von der Sache her ist das kein Problem, da unser Intranet wiederum natürlich auch InTERnetverbindungen, POP3 usw. zulässt. Im VPN-Dialer selbst gibt es auch eine Option, ob die VPN-Verbindung nur für Intranet- oder auch Internetverbindungen verfügbar sein soll - habe natürlich Letzteres ausgewählt. Irgendwie muss ich jetzt aber Windows noch beibringen, dass es sämtlichen Netzwerktraffic über diesen Tunnel routen soll.


    Die in Windows eingebaute VPN-Funktionalität nützt mir IMHO nichts, da ich ja wie gesagt diesen AT&T-Dialer nutze; da komme ich auch nicht drumherum.


    Ich will also letztlich erreichen, dass ich, wenn ich unterwegs bin, die sichere VPN-Verbindung zum Firmennetzwerk auch für meine privat anzusurfenden Seiten nutzen kann und nicht jeder Depp, der nebenan im Zimmer sitzt, mein GMX-Passwort im Klartext mitschneiden kann.


    Kann da jemand helfen?

    Ist das eine von den Kirchen, wo man so kleine Cracker kriegt? Ich habe Hunger!

  • Mit Dialer meinst Du einen Client von AT&T? Ich kenne den leider nicht. Normalerweise nennt sich das Feature, dass Ziele die außerhalb des Tunnelinterfaces liegt Split-Tunneling - zumindest bei Cisco. Da wird nichts anderes gemacht, als eine Route auf das Tunnel-Interface zu setzen. Quasi alles was in den Tunnel gehört, soll auch dahin geroutet werde. Der Rest halt über das Defaultgateway. Sollte aus Sicherheitsgründen per Default natürlich abgeschaltet werden.


    Probier doch mal die Route zum Standardgateway, sprich die Route zum WLAN-AP rauszunehmen (cmd > route del x.x.x.x) und eine Default-Route auf den Tunnel bzw. auf das Tunnelende zu setzen. Die aktuelle Routingtabelle siehst Du per


    Ich weiß leider nicht, was AT&T als VPN definiert. VPN ist nicht immer VPN und IPSec nicht immer IPSec. Machst Du überhaupt IPSec?

    In Search of Sunrise

  • Melone:


    Ja, es ist definitiv IP-Sec.


    In Deinem Posting scheint was zu fehlen. Wie sehe ich die aktuelle Routingtabelle? Wie setze ich eine Route auf das Tunnelinterface, und welche IP wäre das (wo sehe ich die)?



    Blarney:


    Ich bin sicher, dass alles, was nicht zum IBM-Intranet gehört, offen ist. Sicheres Anzeichen: Wenn ich auf http://www.ip-adress.com gehe, sehe ich die IP-Adresse des HotSpots. Würde alles über den VPN-Tunnel gehen, müsste ich eine IP-Adresse aus dem Adressbereich des IBM Global Networks sehen, nämlich die, die mein VPN-Client zugewiesen bekommen hat.


    Screenshot von netstat -a:



    Aktive Verbindungen


    Proto Lokale Adresse Remoteadresse Status
    TCP T60:epmap T60:0 ABHÖREN
    TCP T60:microsoft-ds T60:0 ABHÖREN
    TCP T60:990 T60:0 ABHÖREN
    TCP T60:5800 T60:0 ABHÖREN
    TCP T60:5900 T60:0 ABHÖREN
    TCP T60:6060 T60:0 ABHÖREN
    TCP T60:1029 T60:0 ABHÖREN
    TCP T60:1045 T60:0 ABHÖREN
    TCP T60:1065 T60:0 ABHÖREN
    TCP T60:1067 localhost:1068 HERGESTELLT
    TCP T60:1068 localhost:1067 HERGESTELLT
    TCP T60:1083 localhost:1084 HERGESTELLT
    TCP T60:1084 localhost:1083 HERGESTELLT
    TCP T60:5679 T60:0 ABHÖREN
    TCP T60:7438 T60:0 ABHÖREN
    TCP T60:netbios-ssn T60:0 ABHÖREN
    TCP T60:1099 147.129.85.209.in-addr.arpa:http FIN_WARTEN_1
    TCP T60:1103 147.129.85.209.in-addr.arpa:http FIN_WARTEN_1
    TCP T60:1104 147.129.85.209.in-addr.arpa:http FIN_WARTEN_1
    TCP T60:1105 147.129.85.209.in-addr.arpa:http FIN_WARTEN_1
    TCP T60:1106 147.129.85.209.in-addr.arpa:http FIN_WARTEN_1
    TCP T60:1107 147.129.85.209.in-addr.arpa:http FIN_WARTEN_1
    TCP T60:1108 147.129.85.209.in-addr.arpa:http FIN_WARTEN_1
    TCP T60:kpop 147.129.85.209.in-addr.arpa:http FIN_WARTEN_1
    TCP T60:1122 104.235.14.72.in-addr.arpa:http FIN_WARTEN_1
    TCP T60:1131 104.129.85.209.in-addr.arpa:http FIN_WARTEN_1
    TCP T60:1147 ug-in-f93.google.com:http HERGESTELLT
    UDP T60:microsoft-ds *:*
    UDP T60:isakmp *:*
    UDP T60:1031 *:*
    UDP T60:1048 *:*
    UDP T60:1096 *:*
    UDP T60:1097 *:*
    UDP T60:1098 *:*
    UDP T60:4500 *:*
    UDP T60:ntp *:*
    UDP T60:1032 *:*
    UDP T60:1900 *:*
    UDP T60:ntp *:*
    UDP T60:netbios-ns *:*
    UDP T60:netbios-dgm *:*
    UDP T60:1900 *:*

    Ist das eine von den Kirchen, wo man so kleine Cracker kriegt? Ich habe Hunger!

  • Zitat

    Original geschrieben von BigBlue007
      Melone:


    Ja, es ist definitiv IP-Sec.


    In Deinem Posting scheint was zu fehlen. Wie sehe ich die aktuelle Routingtabelle? Wie setze ich eine Route auf das Tunnelinterface, und welche IP wäre das (wo sehe ich die)?


    Da fehlt nichts, ich wusste nur Deinen Kenntnisstand nicht ;-)


    Quote mal bitte das Ergebnis was bei "route print" in der Eingabeaufforderung angezeigt wird. Da wird sicherlich eine Route drin sein, die auf den Adressbereich in Deiner Firma zeigt. Jetzt ist nur die Frage, ob das Verbiegen der Route hilft, oder ob der VPN-Client bzw. Dialer eine Access-Liste hat, die lediglich den IPSec-Tunnel triggert, wenn Du als Ziel eine IP in Deinem Firmennetz hast.


    Leider etwas wenig Infos. Kann ich aber auch verstehen. Denn nacktes IPSec ist so ziemlich das ekligste, was es zu konfigurieren gibt.

    In Search of Sunrise

  • route print - Ergebnis s.u.. Alles mit 9. am Anfang ist das Intranet; diese Einträge gibts ergo nur, wenn ich mit dem Dialer gerade online bin, so wie jetzt im Moment. Ich nehme an, die Challenge besteht jetzt darin, die Defaultroute manuell auf den Dialer umzubiegen. Wie genau wäre der Befehl hierfür?



    Ist das eine von den Kirchen, wo man so kleine Cracker kriegt? Ich habe Hunger!

  • So aus dem Kopf heraus sollten die beiden Befehle die Defaultroute umbiegen.


    route del 0.0.0.0
    route add 0.0.0.0 mask 0.0.0.0 9.145.241.168


    Ui, mit etwas nachdenken, könnte das doch etwas komplizierter sein. Aber probier das erst einmal aus. Wenn es nicht läuft, stellt ein Reboot den definierten Zustand wieder her.
    Das Problem ist der IPSec-Schlüsselaustausch, der ja zumindest für Phase 1 über die offiziellen Adressen und nicht über die Tunneladressen stattfindet. Und dafür bräuchte der Rechner eigentlich eine Route ins Internet. Könnte aber auch funktionieren, da 9.x.x.x offizielle Adressen sind...


    Hmm, ist wirklich recht schwierig ohne die gesamte Topolgie und die Gateway-Konfiguration zu kennen.

    In Search of Sunrise

  • Melone:


    Versuch ich gleich mal.



    Blarney:


    Wieso? Die Defaultroute (der erste Eintrag in der Liste) zeigt doch auf die IP des HotSpots (172.24.1.2), den ich hier gerade nutze.



    edit: Geht leider nicht. Das Umbiegen der Defaultroute auf die VPN-IP (war bei meinem Versuch dann eine andere, weil ich die Verbindung zwischenzeitlich getrennt hatte, aber für soviel Mitdenken reichts gerade noch... :D ) ging zwar problemlos, allerdings waren anschließend vom Browser aus nur noch Intranet-, aber keine Internetseiten mehr erreichbar... :(


    Gibts eigentlich unabh. von Firmen-VPN-Dialern eine allgemeine Lösung, wie man an öffentlichen HotSpots sicher surfen kann?

    Ist das eine von den Kirchen, wo man so kleine Cracker kriegt? Ich habe Hunger!

  • Ok, ich habs vermuten.


    Da sind zu viele Unbekannte in der Geschichte. Evtl. erlaubt auch euer IPSec-Gateway keine Ziele außerhalb des Firmennetzes, oder es existiert halt auf Client Seite eine ACL, die das untersagt, oder, oder, oder...

    In Search of Sunrise

Jetzt mitmachen!

Sie haben noch kein Benutzerkonto auf unserer Seite? Registrieren Sie sich kostenlos und nehmen Sie an unserer Community teil!