Gibt es ein Portable/Standalone Tool um mit Windows zu OpenVPN-Server zu verbinden?

[Miner]

Hi,
wie die Überschrift schon verrät suche ich ein Tool um mit einem Windows PC eine Verbindung zu einem VPN-Server (mit OpenVPN mit Zertifikaten) herzustellen. Natürlich kann man dort OpenVPN installieren, alles konfigurieren und als Dienst mit laufen lassen. Ist mir ehrlich gesagt zu viel Arbeit. Vor Jahren hatte ich mich damit befasst. Ich war damals nur dankbar, als alles funktionierte. Das mit dem Routen etc. hatte ich noch verstanden. Aber die Einträge im Log bzw. der Config geben mir heute noch teilweise Rätsel auf. Wenn man im Wiki liest, wenn es "hier so ist" muss es "da so sein" - dann macht man das und es läuft. Aber warum, was es bedeutet und wozu man es macht... kein Schimmer. Selbst die Beschreibung zu lesen hilft mir teilweise nicht. Als ich zuletzt das Smartphone wechseln musste habe ich auf dem neuen Gerät die neue App parallel zur alten App konfiguriert. Lief nicht. Keine Ahnung wo da wieder der Fehler war. App dann via BackUp übertragen und ein Update ausgeführt. Dann lief es. Wozu die Mühe machen?

Natürlich ist verstehen immer das Optimum. Man kann etwas lernen und wieder verlernen. Etwas zu verstehen und dann wieder "ent-zu-verstehen" gestaltet sich deutlich schwerer. Oftmals schwerer als es Leuten lieb ist. Die würden sich sonst die Sitzungen beim Psychiater sparen.

Vielleicht gibt es ja so ein Tool? Gibt ja auch z.B. Portable-FTP-Server für Windows. Am liebsten ein Tool, dass nicht in die Programmbibliotheken aufgenommen wird. Entpacken, starten, Zertifikate einlesen/übergeben, Adresse angeben, verbinden = fertig?!

Hintergrund ist, ich habe eben gelesen, dass Google zum 01.01. das Cloud-Prining einstellt. Das ist so ätzen, kaum hat man alle "Löcher gestopft" wird der nächste Dienst abgestellt. War vielleicht nicht so schick wie man es gerne hätte, aber war Platformübergreifend, Druck-Hersteller übergreifend und lief einfach.
Da der alte VPN-Server-Dienst noch läuft und funktioniert (über Sicherheitslücken dabei denke ich mal gar nicht erst nach) einfach verbinden und die Drucker als Netzwerkdrucker freigeben fertig. Alles was man selbst betreibt wird auch nicht ganz so schnell abgestellt.

Ich habe mal nach Alternativen geschaut. Die es natürlich weil Google ein funktionierendes Produkt für gratis anbietet nicht gibt. Dafür das Google immer so tut, als würden sie die Welt nur besser machen wollen schalten sie aber schnell ab, wenn man damit kein Geld verdienen kann. Hätten ja jedes 2 Blatt mit Werbung volldrucken können LOL . Bor wie ich es hasse Sachen doppelt machen zu müssen - Löcher stopfen kostet immer so viel Zeit und Kraft ohne das man hinterher einen Mehrwert hat. Bestenfalls den Status Quo gehalten.

 

[Art Vandelay]

Ich würde mal nein sagen, da die OpenVPN Connect Software ja einen TAP Treiber für den virtuellen LAN Adapter im Windows System installiert und das nicht als Portable machbar ist. Aber lasse mich auch gerne eines besseren belehren, falls es doch funktioniert.

 

[Miner]

Ich befürchte das auch. Aber Hoffen kann man ja. Cisco installiert doch auch einen Adapter oder.
Und es gibt so geile Portable Tools ...

 

[GaborDenes]

Ich hab mal kurz 3 sekunden gegoogelt und sofort mind. 2 Varianten gefunden. Ausprobiert habe ich keine.
Suchbegriff "openvpn client portable download"
Ich hoffe, ich habe dich nicht missverstanden.

 

[PHuV]

Ich verstehe ehrlich gesagt Dein Problem nicht. Du installierst einen OpenVPN Client auf dem Windows System, um Dich dann mit einem OpenVPN Server zu verbinden. Und mehr brauchst Du doch gar nicht.

 

[cloudman]

Naja die settings korrekt hinzubekommen kann man schon eine Herausforderung sein. Da hilft allerdings eine portable app auch nicht viel.
Ohne zu wissen was der Server genau braucht wird es schwierig unabhängig davon ob die App portable ist oder nicht, Ein Zertifikat ist z.b nicht unbedingt notwendig
Wenn du über HTTP auf die ip des Servers gehst kannst du normalerweise eine client config herunterladen

 

[PHuV]

Nochmals, wenn ich als Admin einen VPN Server konfiguriere, bekommt der Client die Settings, die ich ihm vorgebe. Da hat dann kein weiterer was rumzufummeln, und da braucht man üblicherweise auch nichts weiter als Client zu konfigurieren. Daher verstehe ich das Grundproblem nicht. Server verlangt einen gewissen Client, fertig. Alles andere ist hinfällig und müßig.

 

[Miner]

ähm... ich fand die Anglegenheit unter Android Smartphone schon erheblich leichter.
Da gibt die 3 Teile... weiß nicht mehr genau, CA, Key und noch was. Und da ließt man die Datei schön ein und da .... na ja so ähnlich? LOL
Man ist ewig her. Lief dann fix. Beim Windows hatte ich damals keine GUI. Da gabs ne Config-File die in einem bestimmten Ordner liegen musste. Dann eben auch die 3 Teile beim Client und natürlich alle beim Server. Hab bis heute nicht begriffen wie man die Zertifikate bzw. Keys wieder "revoked" oder so ähnlich war der Ausdruck. Zwischenzeitlich sind die Client-PC's ohnehin ziemlich tot. Der Adapter war versteckt. Ging irgendwie über die Registry. Im Prinzip hat der Mitarbeiter NICHTS davon gesehen, dass der PC/Laptop mit dem Betrieb verbunden war. Da gab's einfach einen Netzwerk-Ordner und der war eben auf dem Server. Und in so weit das der Client PC Internet hatte, konnte der Kollege daran. Nix Passwort, nix machen, nix gar nichts. Na ja Windows Passwort.
Und es musste eben alles präzise adressiert sein. Da gab es dann ganz bestimmte Schreibweise vom Pfad und diverse "Befehle" wo ich mich immer gefragt hab, brauch ich den? Was macht der nur? Ist es eher besser wenn ich den auch nutze oder stört der mehr als das er hilft und worauf hat das wohl Auswirkung? Lief aber richtig gut. Der Mitarbeiter konnte auch auf Netzwerkdruckern drucken. Routing war beim Server aktiv. Eigentlich gehört so ein VPN Netz mit zu den schönsten Sachen die man im Internet machen kann. Man kann sich so auch theoretisch helfen, wenn man in ein Netzwerk will, dass keine externe IP hat (LTE-Internetverbindung) usw. kannst ne IP anpingen und wenn eine Antwort kommt, weißt du, der Kollege ist gerade im Betrieb weil sein PC läuft LOL

Ich dachte bei de Windows-Exe mehr an sowas von der Art her wie die Android App. Ich will da nicht irgendwelche Ordner anlegen, Pfade bestimmen, Einträge machen... das Tool soll sich die Zertifikate und Keys einlesen und gut. Und dann möglichst wenig Müll verursachen. Möglichst keine Registry-Einträge und nicht noch in sonst wo hinterlegten Ordnern irgendwelche Logs anlegen. Alles schön im Verzeichnis wo die Exe liegt oder noch besser alles im Programm intern. Ich hasse dass, wenn der Müll über die Kante schwabt und man sich immer fragt, wo der Kram da schon wieder her kommt. Programme sollten wie Gäste in einem National-Park sein. Programme sollten ihren ganzen Müll mitnehmen, wenn sie wieder gehen müssen. LOL

Ergänzung (25. Dezember 2020)

Wann werden eigentlich alte Forenbeiträge gelöscht 🤔

Ergänzung (25. Dezember 2020)

Wenn ich das hier so lese...
https://sourceforge.net/projects/ovpnp/
da beklagt sich ein User, dass die Portable-App einen Tap-Adapter installieren will und deshalb natürlich die Admin-Rechte verlangt.
Die Admin-Rechte wären bei mir nicht das Problem, aber wenn ein Tap-Adapter installiert wird... wird der denn beim Programm-Beenden wieder entfernt? Und will Windows dann nicht auch ständig neu starten? Irgendwie klingt das so gar nicht nach Portable LOL

 

[PHuV]

Ich verstehe immer noch nicht, was Du eigentlich willst. Und Root Zertifikat etc. interessiert Dich für VPN und Co. gar nicht. Nochmals, ich erstellen einen VPN-Server, Du verbindest Dich dann mit Deinen Credentials (mit der Du vorher auf dem Server angelegt wurdest, oder über LDAP, AD sonstwas) auf diesen Server, lädst Dir den entsprechend vorgegebenen VPN-Client auf Dein Gerät, und fertig.

Nur mal so, ich mache das seit Jahren rauf und runter, und das was Du da erzählst, gibt nirgends einen Sinn.

 

[Miner]

ähm... glaube ja gerne, dass Du da voll der Profi bist und so.
Leider ist es bei mir auch so, dass ich mir kein Reim auf Deine Aussagen machen kann.
Ist bestimmt alles richtig, aber ergibt keinen Sinn für mich ;-)

Ich habe je Client min. 3 Dateien. einen client.crt ein client.key und ein ca.crt.
Dann die IP bzw. Adresse wohin verbunden werden soll, der Port, UDP/TCP und eine Config die beim starten des Dienstes abgearbeitet wird. z.B. Routen die übernommen werden usw. Tun/Tab usw.

Ich möchte einen Windows PC mit einem anderem über das Internet verbinden, wobei auf dem anderen schon OpenVPN als Server läuft. Auf dem zu verbindenem PC soll aber möglichst nichts dauerhaft installiert werden. Ist immer nur eine Zeit zu Zeit Nutzung. Hauptsächlich um die Drucker von der Server Seite dann zu nutzen.

 

[PHuV]

Wo ist das Problem, dann Dich mit dem Windows Server zu verbinden über die URL vom OpenVPN? Dort wird Dir dann der Client zum Download angeboten, und den installierst Du auf dem PC. Und wenn Du den nicht mehr brauchst, wird der wieder deinstalliert und gelöscht. Ich verstehe immer noch nicht, warum Du hier so umständlich rumkekst? Nochmals, Dein VPN Server gibt die Zertifikate vor, da mußt Du nichts machen. Jeder VPN-Client macht das anders. Du kannst auch die VPN Verbindung von Windows verwenden, aber da machst Du auch nichts anderes, als das VPN fest zu konfigurieren, was sich dann in die Tiefen von Windows und Registry verewigt. Daher, was soll Dir bitte hier eine portable Varianten bringen?

Eine mobile Variante ohne Installation, so wie Du sie Dir vorstellst, funktioniert nicht so einfach.

 

[Miner]

Na sind ja nicht immer eigene Systeme - der Client soll so weit wie möglich so hinterlassen werden wie vorgefunden wurde. Portable-Apps sind da oft ganz praktisch. Wäre auch nett, wenn es vom USB liefe. Dann muss da sonst "nichts" drauf sein, da alles vom Server kommt.

Ich wüsste nicht, dass mir da der Client zum download angeboten wird. Nö?! Die IP ist formal eine dynamische, wenn sie auch nur selten wechselt. So gibt es dann auch einen Dyndns-Dienst. Wie sollte ich die URL oder IP denn aufrufen um etwas zum download angeboten zu bekommen? Via Browser? Mit Port? Nö da kommt nix.

Nett wäre auch gewesen, wenn Admin-Rechte nicht nötig sind, aber dass kann ich wohl vergessen. Vielleicht mal nach einem Mini-Router suchen?
Ich suche nach einer eleganten Lösung die für andere wie Voodoo-Zauber aussehen

 

[PHuV]

Ich suche nach einer eleganten Lösung die für andere wie Voodoo-Zauber aussehen

Wenn Du keine Ahnung hast und nur angeben willst, ist das wohl der ganz falsche Ansatz. Warum machst Du dann nicht ein RDP auf den Zielserver und schiebst die zu druckenden Datei dorthin, und dann druckst Du sie auf dem Ziel mit dem dort installierten Drucker eben aus?

Hast Du auf dem Ziel das OpenVPN selbst installiert?
https://www.mva.ch/support/tech-blo...ter-windows-2012-r2-und-windows-10-anleitung/
https://www.huerter.me/index.php/20...ter-windows-server-2016-und-client-anbindung/
https://www.andysblog.de/openvpn-server-unter-windows-einrichten

 

[chrigu]

Anderer Weg.... anydesk, ist zwar kein VPN aber kann Portable gestartet werden, ohne Installation, im browser. Trotzdem kannst du damit auf den pc zugreifen, ohne Zertifikate und Blabla

 

[PHuV]

Und wenn ich das mit der Anleitung von OpenVPN installierte, ging OpenVPN ratzfatz:
https://openvpn.net/quick-start-guide/
Am Ende, wenn alles per WebGui konfiguriert ist, macht man das hier:

OpenVPN Connect​

OpenVPN Connect is available for your end users and devices from your preferred web browser by navigating to the Client UI URL. This typically, https://[IPaddress]:943/. Make sure to replace [IPaddress] with the specific IP of your server.


When users log in to your Client UI, they’ll have the option to download the Connect app of their choice or a connection profile (client.ovpn), which can be imported into a VPN client. You may also download the Connect client directly, then enter the Client UI URL into the app to import the profile after authenticating with your credentials.

Dann ruft mal die URL des OpenVPN Servers auf, loggt sich mit den dort hinterlegten User Credentials ein, lädt sich den gewünschten Client runter, installieren, fertig.

 

[Miner]

LOL eben nicht. Ich will eben nicht angeben. Die Welt ist nicht für mich alleine gemacht worden. Sondern für uns alle. Ich möchte in dem Vorhandenen eine Struktur etablieren, die für mich optimal funktioniert. Optimal funktioniert etwas dann, wenn ich mich eigentlich um nichts kümmern muss. Umständliche Lösungen gibt es viele. Beispielsweise könnte man Dateien an eine Druckerei weiterleiten, die drucken das aus und stellen es per Post am nächsten Tag zu. Es gibt viele aufwendige und nicht selten kostspielige Lösungen. Ich könnte auch PDF's erstellen und dann extra dahin um zu drucken etc.
Die optimale Struktur ist auch nur dann optimal, wenn sie andere nicht stört. Und am wenigsten stört etwas, dass nicht mal jemand bemerkt.
Ich habe eine Anleitung für ein Raspberry gefunden... aber... die ist so Zeilenweise beschrieben.
Punkt 1 - kauf dir n Pi. = Kurz und simpel beschrieben. Aber dann ja doch viel Arbeit. Erst mal schauen was genau benötigt wird. Dann wo ich den bekomme, dann bestellen, dann überweisen, dann warten, dann bei der Post abholen... - klar ist es soweit noch ganz einfach. Nur eben doch mehr Arbeit 3 1/2 Worte vermuten lassen.
Und so einfach beschrieben kamen noch viele Zeilen mit diversen Querverweisen. Und wenn irgendwann etwas kommt, das man (ich) nicht mehr versteht...

Ich befürchte auch, dass ich möglicherweise Adresskonflikte schaffe.
Vereinfacht ausgedrückt geht es um Home Office.
Bevor jemand sagt, "wende dich an den Administrator" das bin ich.
Meine Anstellung da ist eine wenige Stunden umfassende Stelle mit gänzlich anderen Aufgaben.
Jemand anderes, der dort den Admin geben könnte gibt es nicht. Wird dort eingespart.
Ist es so wie es sein sollte? Natürlich nicht.
Sind die Corona Fallzahlen in DE so wie sie sein sollten? Natürlich nicht. Na und? So ist das Leben.

Netz A ist lokal wo Leute arbeiten.
In Netz A gibt es einen VPN-Server der Netz B (VPN) bereitstellt. Zwischen A und B wird von dem geroutet.
Mitarbeiter bauen so sie es nutzen punktuell (jeder für sich / auch mal mehrere gleichzeitig) via Cisco (Netz C) eine RDP Verbindung zu einem anderen Server (Netz D) auf und arbeiten online via RDP. Drucken geht dann in Netz A da über die RDP die Druckaufträge durchgereicht werden.
Wenn ein Mitarbeiter seinen Laptop mit nach Hause nimmt (Netz E) dann kommt er via Cisco zu Netz D und kann arbeiten. Er kann aber nicht in Netz A drucken, da er nicht dort ist.
Der Gedanke war auf Server Netz D eine Verbindung zu Server Netz A herzustellen. Wäre aber ein Kreis und könnte Probleme machen. Google Coud war da natürlich gut. Einfach n Portable Chorme auf Server Netz A laufen lassen, die Drucker da rein und fertig.

 

[PHuV]

Und allen Netze A-D liegen in Eurem Zuständigkeitsbereich?
Variante A
Wenn ja, warum dann nicht den Drucker über AD/Exchange einbinden und per Gruppenrichtlinie an die Clients rausrollen? Gut, erfordert etwas Netzwerkkenntnisse und die Netze A und D müßten bereits verbunden sein. Was verwendet Netz A für eine Router/Firewall? Dann würde ich das eben mit der Cisco in C koppeln, und fertig.
Variante B
Ansonsten Dokumente in einer Cloud per PDF ablegen, Druckserver in Netz A, der sich automatisch die Dateien aus der Cloud holt und dann automatisch an den Drucker weiterleitet und nach Beendigung des Druckauftrages die Dateien verschiebt.

Trotzdem sind alle Lösungen nicht so dolle, weil aus der Ferne keiner weiß, was mit dem Drucker vor Ort so passiert. Sprich, da muß dann immer jemand vor Ort sein, der das überwacht und beobachtet, und diverse Druckerprobleme entsprechend behebt. Aber allein schon, um das nachvollziehbar und wiederholbar zu machen, würde ich Variante B bevorzugen. Da kann man dann wurderbar Druckaufträge in dem Druckserver zwischenspeichern, protokollieren, wiederholen, administrieren etc.

 

[Miner]

Kann ich nicht bei einem Netzwerkdrucker einfach einen Port im Router freigeben? Über die ext. IP von Netz A mit Port dann in Netz D als Netzwerkdrucker installieren?

Ergänzung (25. Dezember 2020)

Jain - was heißt Zuständigkeitsbereich. A ist Eigentum und Besitz. D ist extern gemietet.

 

[PHuV]

Bevor jemand sagt, "wende dich an den Administrator" das bin ich.
Meine Anstellung da ist eine wenige Stunden umfassende Stelle mit gänzlich anderen Aufgaben.
Jemand anderes, der dort den Admin geben könnte gibt es nicht. Wird dort eingespart.

Warum kümmerst Du Dich darum, wenn es weder Deine Befugnis noch Dein Job ist? Klar möchtest Du was gutes tun, aber Du bist auch in der Pflicht, wenn was schiefgeht. Wenn Du da eine Sicherheitslücke mit Schaden verursachst, kannst Du abgemahnt und gekündigt werden, und die Schadensersatzforderungen für System- und Arbeitsausfälle kommen noch dazu. Wenn das kein zuständiger Vorgesetzer vorher abgesegnet und freigegeben hat, würde ich das mal tunlichst unterlassen. Ich finde das echt immer spannend, wie sich Laien hier so mal einfach unnötig einem hohen Risiko aussetzen. Klar, wenns geht, bist Du der Held, aber wenn es schiefgeht, bist Du der Gelackmeierte. Ich bin beispielsweise rein rechtlich mit allem im IT-Bereich abgesichert (wenn keine grobe Fahrlässigkeit nachgewiesen werden kann), weil mein Portfolio entsprechend dem Arbeitsvertrag so definiert ist, Du aber nicht.

Ganz einfach formuliert. Du bist für einen bestimmten Job mit einem bestimmten Tätigkeitsprofil eingestellt worden. Und dann darfst Du, rein rechtlich, auch nur in diesem Bereich wirken. Bewegst Du Dich dann außerhalb, ohne Zustimmung und Kenntnis der Geschäftsleitung, machst Du Dich eigentlich strafbar, gerade was auch bei "Manipulation/Eingriff" von systemrelevanten Infrastruktur betrifft. Das ist vielen so nicht ganz klar, und ja, es wird in manchen Arbeitsumgebungen lax gehandhabt, solange meistens nichts schlimmes passiert. Aber das kann sehr wohl üble Konsequenzen haben. Daher, wenn das nicht Dein Tätigkeitsfeld ist, Finger weg. Wenn Dich ein Vorgesetzter anweist, fremde Dinge zu tun, haftet klar er. Aber dann würde ich mir das immer schriftlich geben lassen.

Ergänzung (25. Dezember 2020)

Kann ich nicht bei einem Netzwerkdrucker einfach einen Port im Router freigeben? Über die ext. IP von Netz A mit Port dann in Netz D als Netzwerkdrucker installieren?

Klar geht sowas. Wie gesagt, dann muß Router/Switch/Firewall mit Cisco in C sprechen können, die wiederum das in das Netzwerk D weiterleiten. Dann legt man entsprechende Weiterleitungsregeln an, und fertig. Aber das ist für Übergang eigenes/Fremdsystem so nicht zu empfehlen, und meistens dann mit zig Dienstleister und Zuständigkeiten doch nicht so einfach zu lösen.

Daher Empfehlung Variante B. Da brauchst Du keine fremden Netze anbinden und Du bewegst Dich risikofreier.

 

[Miner]

Na ja meine Befugniss ist es schon. Ehrlich, Du siehst da jetzt das Problem zwischen Realität und Theorie. Da ist oft ein Unterschied. Ich gehe ja auch noch mal einkaufen und bin nicht gegen Corona abgesichert. Sicherheit ist eine Illusion. Kontrolle ist Illusion. Es bewegt sich alles im Bereich von Wahrscheinlichkeiten. Auf 0 Risiko kommt man erst im Tot. Natürlich muss man auch nicht derbe daneben handeln. Lücken gibt es immer, man muss aber nicht alles auf dem Silbertablett servieren. Die meisten Angreifer fassen nur an der Türklinke an. Dann gibt es viel "dazwischen" und "die" am anderen Ende, "die" noch die letzte Lücke nutzen können, gegen "die" hat man kaum eine Chance. Das man es mit "denen" zu tun hat ist aber Unwahrscheinlich. Und ob "die" nicht ohnehin von der NSA sind und nur schauen weiß man dann auch nicht.
Noch mal, wenn alles funktioniert, dann bin ich sicherlich kein Held, sonder niemand sonst (inkl. poten.Angreifer) hat was bemerkt.
Jeder Profi war mal ein Laie. Ohne ausprobieren gibt es keine Erkenntnisse.