Netzwerk überwachbar durch VPN-Software?

[WinNutzer1]

Das Notebook gehört der betreffenden Firma, wurde gestellt und auch von denen eingerichtet. Ich weiß nicht was da eingestellt wurde. Ich habe nur ein mal gesehen dass in der VPN-Software mehrere Netze "verbunden" sind, unter anderem eines das eben den selben IP-Bereich wie mein eigenes Heimnetz hat. Der Drucker in meinem Netzwerk funktioniert vom Laptop aus nicht, so lange die VPN-Software auf dem Laptop aktiv ist.

Als nicht-ITler reime ich mir das so zusammen, dass das VPN-Programm die Anfrage Richtung z.B. 192.168.1.5 (der Drucker) sieht, der Meinung ist dass damit "sein" 192.168.1.x gemeint ist, die Anfrage "abfängt", über den VPN-Tunnel leitet, versucht in "seinem" 192.168.1.x erreichen, wo der Drucker aber gar nicht steht.
Daraus ergibt sich dann für mich die Frage, ob das nicht anders rum auch passieren kann...

 

[DJKno]

Bleib entspannt.
Es wird absolut jede Abfrage über den VPN-Tunnel geleitet, darum erreichts du auch deinen Drucker nicht.
Du reimst dir da ein Szenario zusammen, was gar nicht exisitert.
Das gestellt Notebook ist, wenn es mit dem VPN verbunden ist, völlig getrennt von deinem sonstigen Heimnetzwerk.
Zum Test kannst du ja mal die IP des Notebooks (welche es in deinem Netz bekommen hatte) anpingen.
Da sollte keine Antwort kommen.

 

[WinNutzer1]

Ich kann den Laptop anpingen, er antwortet wie jedes andere Gerät hier.

Ergänzung (25. Februar 2020)

Aus Sicht der Firma bzw. des VPN-Netzes ist das lokale Netz des VPN-Clients gar nicht sichbar. Die Firma wüsste nicht mal, ob der Client, wo auch immer er sich aufhält, eine lokales 192.168.178.0/24 oder 192.168.2.0/24 oder 172.72.72.0/26 Netz hat, lediglich die WAN-IP bzw. die öffentliche IP des Zugangspunktes, mit dem der Client physisch verbunden ist, ist dem VPN-Server und somit der Firma bekannt.

OK, das heißt aus Sicht des VPN-Servers gibt es mein Netzwerk nicht, sondern nur die öffentliche WAN-IP, die dann angesprochen wird. Die Information an welches Gerät das Paket vom VPN-Server gerichtet ist hat mein Router über seinen NAT-Table. Um ein Paket absichtlich an ein anderes Gerät in meinem Netzwerk zu lenken, müsste man schon aktiv den NAT-Table in meinem Router manipulieren. Habe ich euch da richtig verstanden?

Je nach Konfiguration des VPN Servers bzw. der Firewall des Unternehmens ist es möglichlich, nachzuvollziehen, welche Webseiten bei bestehender Verbindung angesurft werden.

Aber nur vom Rechner mit dem Client aus, oder?

 

[TheManneken]

Nein, steht z.B. in der Statistik des Web Content Filtering Teils der Firewall, prozentual auf den kompletten Traffic, granular je nach Nutzung über VLANs/DMZ/VPN und ggf. auch mit Verbindung zur Client-IP. Kommt ganz auf die Firewall an.

 

[gaym0r]

Naja, letzteres schon. Je nach Konfiguration des VPN Servers bzw. der Firewall des Unternehmens ist es möglichlich, nachzuvollziehen, welche Webseiten bei bestehender Verbindung angesurft werden. Hierbei ist entscheidend, ob nur dir firmenseitigen Dienste über den Tunnel geroutet werden oder der gesamte Traffic.

Bitte genau lesen! Es geht nicht um den Traffic des Gerätes, welches per VPN mit der Firma verbunden ist, sondern um Geräte aus dem Netzwerk! Dass bei einem Catch-All Tunnel oder wenn DNS-Anfragen zum Firmen-DNS-Server geschickt werden, der Webseitenverlauf für die Firma nachvollziehbar ist, ist logisch.

"Kann der über VPN verbundene Laptop dazu genutzt werden die über die Internetverbindung (nicht die per VPN) gesendeten Daten der sonst im Netzwerk befindlichen Geräte irgendwie abzugreifen? Zum Beispiel - Kann es für die VPN-Gegenstelle sichtbar sein wenn einer der Rechner im lokalen Netzwerk computerbase.de aufruft?"

@WinNutzer1
Lass dich nicht verunsichern. Die Firma kann es nicht.

Theoretisch möglich, der Client kann theoretisch das Routing auf lokale Interfaces aktivieren. Das wäre für die Firma rechtlich aber sehr problematisch.
Auf der Server Seite dann eine Route für dein lokales Netz zu setzen, ist auch nicht schwer.

Selbst wenn der Client das Routing auf dem lokalen Interface aktiviert hat - was ändert es? Die anderen Geräte im Netzwerk haben nicht den Client als Gateway eingetragen - wie soll also Traffic über den Client, über den VPN zur Firma laufen?

 

[martinallnet]

Man könnte halt passiv lauschen auf dem Interface, das liefert oft schon genug Daten.
Ebenso könnte man das Netz scannen und Dienste versuchen aufzurufen.
Klar ist das eben nicht alles, aber wenn man will geht da einiges.

 

[BeBur]

Man könnte halt passiv lauschen auf dem Interface, das liefert oft schon genug Daten.
Ebenso könnte man das Netz scannen und Dienste versuchen aufzurufen.
Klar ist das eben nicht alles, aber wenn man will geht da einiges.

Das ist allerdings nicht so recht die Frage des TE. Der macht sich keine Sorgen, seine Firma könnte Spionage-Software heimlich installieren um seinen Privatbereich zu beschnüffeln, sondern war einfach besorgt bezgl. der identischen IP Ranges.

 

[gaym0r]

Man könnte halt passiv lauschen auf dem Interface, das liefert oft schon genug Daten.

Ja? Was denn so?

 

[martinallnet]

Ja? Was denn so?

Ich wollte damit ausdrücken, wer auf dem Weg in das Netz will, schafft es auch. Einmal Bereich scannen und schauen was so offen ist.