VPN-Ersatzclient für Netgear ProSafe

[Voronwe]

Hey Leute,

hab ein kleines Problem: Möchte mich (wieder) über VPN ins Büronetzwerk reinhängen (dortige Firewall ist ein Netgear ProSafe UTM 25).

Wieder heißt, bislang tat ich das auch, nur eben über einen Mac mit "VPN Tracker". Nun hab ich (zusätzlich) einen Win 10-PC, und genannter Client gibt es nicht für Windows. Es gab, bzw gibt zwar einen offiziellen VPN Client von Netgear für die Firewall, allerdings gibt es keine Keys mehr zu erwerben, da die Linie eingestellt worden ist. Der Client hat mit der Testversion ganz gut funktioniert, aber nun ist eben 30-Tage-Frist abgelaufen.

Punkt ist, mit der eingebauten VPN-Funktion von Win 10, aber auch zB der Cisco-Client, sind offenbar auf eine "andere" VPN-Verbindung ausgelegt, als es Netgear bietet. Neben Host und Passwort sind noch einige andere Daten, allen voran der FQDN, für den Tunnel anzugeben (die bei VPN-Tracker problemlos einzutragen sind, Win und Cisco jedoch keine Felder dafür anbieten).

Bin nun schon etwas verzagt, weil ich einfach keine VPN-Clients im Netz finde, bzw mir sonst keine Lösung einfällt. Bin jetzt auch nicht wahnsinnig qualifiziert was IT angeht, das ganze kommt mehr aus einem Interesse an der Materie, und was man sich so im Laufe der Jahre aneignet. Nur bei dem Thema steh ich leicht verloren da.

Irgendwelche Ideen?

 

[snaxilian]

1. Warum fragst du dies nicht den dafür zuständigen Admin bzw. Systemhaus, dass diese Firewall und die VPN Zugänge betreut?
2. Es gibt mehrere verschiedene VPN-Technologien. SSL VPN, L2TP/IPsec, PPTP, OpenVPN und jene, die ich vergessen habe.

Finde heraus, welche Zugangsart genutzt wird. Dann kann man dir ernsthaft weiter helfen, alles andere ist nur Nebel in der Glaskugel. Windows kann z.B. von Haus aus pptp (unsicher, da geknackt, da kannst auch VPN gleich sein lassen) und L2TP/IPsec ohne weitere Clients. Für OpenVPN kannst den OpenVPN Client nutzen.

 

[Voronwe]

1. Warum fragst du dies nicht den dafür zuständigen Admin bzw. Systemhaus, dass diese Firewall und die VPN Zugänge betreut?

Das wäre dann wohl ich...

2. Es gibt mehrere verschiedene VPN-Technologien. SSL VPN, L2TP/IPsec, PPTP, OpenVPN und jene, die ich vergessen habe.

Das rennt über IKEv1, Phase 1 im Agressive Mode. Wie gesagt, der Win 10 Client geht nicht...

 

[snaxilian]

Wenn du der Admin bist, dann bist du auch für den sicheren Betrieb zuständig. IKEv1 in Kombination mit Aggressive Mode gilt als unsicher und ist zu vermeiden.
Win 10 z.B. unterstützt von Haus aus den Aggressive Mode gar nicht. Ich würde daher eher versuchen, auf Main Mode umzustellen.

Ansonsten betreibst du offenbar mit nicht allzu tiefem Wissen (soll kein Vorwurf sein, keiner ist allwissend und kann alles in jeder perfekten Tiefe) ein Gerät, für dass der Hersteller seit bald fast zwei Jahren keinerlei Support mehr gewährt. Weiß dies dein Chef und nimmt das so hin? Denn im worst case bist du der "Dumme".

 

[iSource]

Versteht mich nicht falsch, aber wer ...

[...] nicht wahnsinnig qualifiziert was IT angeht [...]

... ist und nebenbei auch noch ...

[...] Netgear ProSafe [...]

Equipment verbaut, hat dann in der Rolle ...

[...] dafür zuständigen Admin [...]

Das wäre dann wohl ich [...]

... eigentlich nichts verloren.

Sorry, aber wir sprechen hier nicht von irgendeinem Notebook, auf dem man als unbedarfter "Freizeit-Administrator" meint bspw. CCleaner im Unternehmen drauf machen zu müssen. Wenn man auf die (indirekte) Frage, welche Art von VPN-Protokoll verwendet wird, mit "IKEv1" antwortet, lässt das darauf schließen, dass hier gewisse notwendige Grundlagen fehlen und IKEv1 nicht das VPN-Protokoll, sondern die Methode zum (nicht mehr wirklich so empfehlenswerten) Schlüsselaustausch darstellt und wiederum Teil von IPsec ist.

Ich will dich damit ernsthaft nicht blöd anfahren, aber hier geht's darum, dass du einen Dienst betreibst, der u.U. Tür und Tor öffnet, um dem Unternehmen beachtlichen Schaden zuzufügen.

Das fällt für mich in die gleiche Kategorie wie die Personen, die hier ein Mal die Woche auftauchen und 'nen eigenen Root Server inkl. Web Shop betreiben wollen, aber fragen müssen, wie man sich per SSH auf einen Linux-Server verbindet - ist ja nicht so, dass so Kisten dann gerne mal Teil eines Botnets werden.

Sei's drum, ich würde an deiner Stelle bei einem Systemhaus anfragen, wenn es sonst niemanden qualifizierten im Unternehmen gibt. Wenn ihr keine IT-Abteilung habt, wird sich vermutlich die Unternehmensgröße und folglich auch der Aufwand für eine korrekt eingerichtige, zeitgemäße und funktionierende VPN-Lösung in Grenzen halten.

 

[Voronwe]

Wenn du der Admin bist, dann bist du auch für den sicheren Betrieb zuständig. IKEv1 in Kombination mit Aggressive Mode gilt als unsicher und ist zu vermeiden.
Win 10 z.B. unterstützt von Haus aus den Aggressive Mode gar nicht. Ich würde daher eher versuchen, auf Main Mode umzustellen.

Lese ich dahingehend, nicht clientseitig was zu suchen, sondern serverseitig ein anderes VPN einzurichten. Auch eine Idee..

Ansonsten betreibst du offenbar mit nicht allzu tiefem Wissen (soll kein Vorwurf sein, keiner ist allwissend und kann alles in jeder perfekten Tiefe) ein Gerät, für dass der Hersteller seit bald fast zwei Jahren keinerlei Support mehr gewährt. Weiß dies dein Chef und nimmt das so hin? Denn im worst case bist du der "Dumme".

Eh, aber Kosten und Nutzen sollten sich in Waage halten. Wir reden hier von einem 3-Mann-Betrieb. Nix IT-Abteilung oder so...

Versteht mich nicht falsch, aber [...].

Haha, ne.

Ihr habt nur leider alle quer durch die Bank eine sehr lehrbuchartige Vorstellung von Unternehmen - und das ebenso nicht falsch verstehen.

[...]Wenn man auf die (indirekte) Frage, welche Art von VPN-Protokoll verwendet wird, mit "IKEv1" antwortet, lässt das darauf schließen, dass hier gewisse notwendige Grundlagen fehlen und IKEv1 nicht das VPN-Protokoll, sondern die Methode zum (nicht mehr wirklich so empfehlenswerten) Schlüsselaustausch darstellt und wiederum Teil von IPsec ist.

Tatsache ist aber, dass jeder, der sich etwas damit auskennt, weiß, dass es um IPsec geht, als ganz ehrlich, man kann auch statt Lösungen einfach um den heißen Brei herumreden...

Ich will dich damit ernsthaft nicht blöd anfahren, aber hier geht's darum, dass du einen Dienst betreibst, der u.U. Tür und Tor öffnet, um dem Unternehmen beachtlichen Schaden zuzufügen..

Kosten und Nutzen. Siehe oben.

Sei's drum, ich würde an deiner Stelle bei einem Systemhaus anfragen, wenn es sonst niemanden qualifizierten im Unternehmen gibt. Wenn ihr keine IT-Abteilung habt, wird sich vermutlich die Unternehmensgröße und folglich auch der Aufwand für eine korrekt eingerichtige, zeitgemäße und funktionierende VPN-Lösung in Grenzen halten.

Fun fact, die ursprüngliche Einrichtung erfolgte durch ein ach so qualifiziertes Systemhaus, ist vielleicht 5 Jahre her seitdem die Firewalls ausgetauscht wurden.

Fakt ist ebenso, dass es schon einen Grund hat, warum ich ausgerechnet hier nach Lösungen frage. Möchte das selbst lösen, kann ja keine Dinge der Unmöglichkeit sein. Nur außer einem konkreten Vorschlag, nämlich eher auf Seiten des Servers einen besseren VPN-Service einzurichten, kam recht wenig.


Mir ist schon klar dass mein Netzwerk nicht als Bot-Netz herhalten soll, aber eine etwas weniger anmaßendere Belehrung, dass zB dieses und jenes unsicher und nicht zu empfehlen ist, wäre auch gegangen. Könnte man irgendwie quasi unter "Kundenorientierung" verstehen...

 

[snaxilian]

IPsec ist aber nun einmal nicht IPsec und mal ehrlich was erwartest du für Antworten in einem IT-Forum?
Wenn vor 5 Jahren das Systemhaus beauftragt wurde: Einrichtung mit folgenden Funktionen dann wurde dies doch auch korrekt umgesetzt. Wurde auch Support/Wartung beim Systemhaus "gekauft" und läuft dies noch? Falls ja sollen die sich darum kümmern.
Die Ausrede "wir sind nur eine kleine Bude mit 3 Leuten" kann ich nicht ernst nehmen, sorry. Habt ihr einen Dienstwagen? Schraubt ihr da auch selbst dran rum oder lasst ihr den in der Werkstatt warten und reparieren? Hat euer Büro eine Heizung? Schraubt ihr da auch dran herum oder ruft ihr bei komplexen Änderungen oder Wartung einen HLS-Monteur?

 

[Voronwe]

Habt ihr einen Dienstwagen? Schraubt ihr da auch selbst dran rum oder lasst ihr den in der Werkstatt warten und reparieren? Hat euer Büro eine Heizung? Schraubt ihr da auch dran herum oder ruft ihr bei komplexen Änderungen oder Wartung einen HLS-Monteur?

Ja, schrauben wir durchaus auch selbst herum, warum auch nicht?

Aber ist schon in Ordnung, werde das auch so hinbekommen. Danke für Hilfe.

 

[snaxilian]

Ölwechsel, defekte Glühbirne, etc ja, wenn ich verstehe und nachvollziehe was ich da machen kann. Bei sicherheitsrelevanten Themen und/oder komplexen Problemen sollte man dies aber eben nur erledigen wenn man weiß was man da tut, die Risiken kennt und abwägen kann und wenn das eben nicht so ist, den Fachmann entsprechend das erledigen lassen.
Zu deinem Problem würde ich wie gesagt von Aggressive auf Main umstellen. Musst dann natürlich auch alle anderen bestehenden VPN-Verbindungen anpassen.