Clientless SSL VPN (Cisco ASA) / WebVPN

[nemexx]

Kennt jemand eine Open Source Alternative des "SSL VPN Service" wie sie bei der ASA vorhanden ist? Checkpoint bietet das ebenfalls an, aber gibt es auch was für den Heimgebrauch? Open Source?

 

[Rache Klos]

So richtig Clientless ist das aber weder bei der ASA noch bei der Checkpoint, zumindest wenn du wirklich z.B. den SSL VPN Extender von Checkpoint und nicht das Portal zum Tunneln von Webseiten meinst.

Ich muss dir ehrlich sagen, kennen tue ich keines und all die ich kenne die einigermaßen funktionieren, setzen dennoch eine Installation vorraus. Entweder ActiveX, Java oder irgendeinen anderen Helper der im Hintergrund läuft.

 

[pfl4um3]

Kenne leider auch kein System, dass komplett ohne clientseitige Komponenten auskommt.
Juniper macht das per Client (früher zusätzlich per Browser-Komponente), Sophos und Watchguard nutzen einen umgebautes OpenVPN Client.

 

[gaym0r]

Watchguard nutzen einen umgebautes OpenVPN Client.

Da du schon WatchGuard ansprichst... Ich glaube der TE meint ein Feature, das bei Watchguard "Access Portal" genannt wird. Das ist client-less.

 

[pfl4um3]

Da du schon WatchGuard ansprichst... Ich glaube der TE meint ein Feature, das bei Watchguard "Access Portal" genannt wird. Das ist client-less.

Das könnte sein - sowas bietet Sophos mit dem "HTML5 VPN Portal" auch, evtl ist das ja in der kostenlosen Version der Firewall (Sophos UTM Home) enthalten.

 

[nemexx]

Ich hab mal 2 Screenshots von unserer ASA gemacht, vielleicht versteht man besser was ich meine.
1. ASA öffentlich erreichbar - Login (Bild 1)
2. Portal mit "eingebautem Browser" (Man surft quasi über die ASA und deren Verbindung) (Bild 2 & 3)

 

[snaxilian]

@pfl4um3 Die Sophos ist nett aber unnütz da auch in Zeiten von IPv6 das Limit von 50 IPs greift...

@nemexx Was du suchst ist ein "SSL VPN". Die einzig mir bekannte und kostenfreie Variante ist zugleich Open Source und hört auf den Namen Apache Guacamole. Installation direkt auf nem Linux oder per Docker (insgesamt 3 Container). Als "Backend", sprich für deinen entfernten Browser könntest dann einen kleinen weiteren Container verwenden, der einen Chrome per VNC zur Verfügung stellt, z.B. anhand dieses Artikels und der verlinkten GitHub Seite: https://medium.com/dot-debug/running-chrome-in-a-docker-container-a55e7f4da4a8
Workflow wäre dann: Anmeldung an Guacamole im Browser > VNC zum docker-browser > surfen.

Wobei das ggf. mit Kanonen auf Spatzen geschossen ist. Wenn es nur um reines browsen geht dann wäre meine erste Recherche bei der Suchmaschine des geringsten Misstrauens "reverse proxy to vnc" für eine "lite Variante" des eben genannten.
Den Reverse Proxy z.B. mit nginx realisieren, dort gleich TLS termination machen, Zertifikate gibt's gratis von let's encrypt, Zugriffsabsicherung per "basic authentication" ebenfalls noch im nginx und dahinter dann der chrome-vnc-Container.

Mit Guacamole kannst halt gut mehrere Ziele/Dienste anbinden und gut mehrere User verwalten. Die zweite Lösung ist da etwas schlanker gehalten.

 

[rocketworm]

evtl ist das ja in der kostenlosen Version der Firewall (Sophos UTM Home) enthalten.

Ja ist auch in der Home enthalten, da ist eigentlich alles drin außer den Redundanz Features.

Die Sophos ist nett aber unnütz da auch in Zeiten von IPv6 das Limit von 50 IPs greift...

Naja, für zu Hause sollte das wohl reichen...

 

[pfl4um3]

@pfl4um3 Die Sophos ist nett aber unnütz da auch in Zeiten von IPv6 das Limit von 50 IPs greift...

Ja ist auch in der Home enthalten, da ist eigentlich alles drin außer den Redundanz Features.

Naja, für zu Hause sollte das wohl reichen...

Denke auch das 50 IPs für den Heimgebrauch reichen - zur Not kann man auch die XG Home Edition verwerden, die hat das Limit angeblich nicht.

 

[rocketworm]

Vielleicht wäre guacamole auch noch ne Alternative? "Free and open source"
https://guacamole.apache.org

 

[snaxilian]

@rocketworm Da IPv6 inzwischen überall verbreitet sein sollte hat ein PC zuhause mindestens 3 IPs: link local, global unicast und die private IPv4 Adresse. 50 / 3 ergibt 16,66666, also 16 Geräte. Davon ist eins die Sophos an sich, bleiben 15 Endgeräte.
TV, Streaming-Client (firetv oder shield oder was auch immer), zwei PCs oder Laptops, zwei Smartphones, ein NAS und vielleicht ein Smarthome Gerät/Bridge. Bleiben 7 Geräte übrig.

Wer ne Sophos oder sonstige Selbstbau-Firewalllösungen betreibt hat oft genug ein leistungsfähiges NAS mit VMs oder ggf. Containern oder ne Spielekonsole, irgendwelche WiFi Lautsprecher (Sonos o.ä.), ggf. kann der AVR auch ins Internet für $Musikstreaming, etc.

Zähle ich die netzwerkfähigen Geräte in meinem 2-Personen-Haushalt zusammen komme ich auf 20 Geräte inkl. managed switch, Router, PCs, Laptops, Handys, $Entertainment-Zeugs, Raspis und da sind Gäste im Gäste-Wifi nicht mit eingerechnet oder der Dienstlaptop bei Homeoffice oder Bereitschaft, etc.

 

[nemexx]

Erstmal danke für die ganzen Ideen an alle. Aber eine Remote VNC via HTML5 fällt für mich aus, dies ist oft blockiert bei diversen Proxies (WebRTC).

Ich habe etwas anderes gefunden: Dies scheint ähnliches zu realisieren:
https://github.com/joshdick/miniProxy

Das werde ich mal testen, aber ggf hat der ein oder andere ja noch eine Idee oder ein Produkt das infrage kommt.

 

[snaxilian]

Guacamole nutzt kein webrtc