Ernüchterung - Lancom/IPSec taugt?

[eddia]

Hallo omd,

- Sind Firewall-Regeln mit VPN-Häkchen das vorgesehene Werkzeug, um VPN-Regeln festzulegen
- Firewall-Einträge welcher Art sind für VPN-Regeln relevant, und welche VPN-Regeln werden aus welchen Firewalleinträgen erzeugt

Das hängst zuerst einmal von der Einstellung in der VPN-Verbindung ab. Steht dort 'automatisch' wird der Eintrag in der Routingtabelle für diese Verbindung herangezogen und daraus eine passende Regel erstellt - eben automatisch.

Zusätzlich kannst Du weitere Regeln für die VPN-Verbindung erstellen, falls die automatisch erstellte Regel nicht ausreicht (z.B. beim Routing über mehrere Netze). Damit die für die VPN-Verbindung gültig wird, muss das Häkchen 'VNP-Regel...' gesetzt werden.

Wenn Du den Automatismus abschalten willst, setzt Du den Eintrag in der VPN-Verbindung auf manuell. Dann musst Du aber zwingend manuelle Regeln erstellen, da sonst keine Verbindung mehr zustande kommt.

Das Konzept, VPN-Einstellungen über Firewallregeln festzulegen, stellt mich vor Rätsel.

Man hätte dafür bestimmt eine eigene VPN-Regeltabelle vorsehen können. Aber da die ja fast identisch mit der Regeltabelle der Firewall wäre, hat man das wohl zusammengefasst und die Unterscheidung mit dem VPN-Häkchen realisiert.

Was ist damit gemeint -- das, was man mit "show vpn" angezeigt bekommt (die beteiligten Netzwerk- und Schnittstellenadressen)?

Du siehst vor allem, von bzw. welchem Netz oder IP-Adresse eine Kommunikation für eine VPN-Verbindung erlaubt ist.

Gruß

Mario

[omd]

Du siehst vor allem, von bzw. welchem Netz oder IP-Adresse eine Kommunikation für eine VPN-Verbindung erlaubt ist.

Dafür gibt es meines Erwachtens nach Firewallregeln. Beim VPN kommt es doch eher auf das richtige Routing an, oder.

Sorry, ich verstehe immer noch nicht was diese VPN-Regeln sind und weshalb sie als Firewallregeln eingetragen werden sollen.

Sind Firewall-Regeln mit VPN-Häkchen auch Firewall-Regeln, nur solche die sich eben auf VPN-Verbindungen beziehen? Zu welchem Zweck muss ich diese dann miti dem Häkchen versehen? Und welche Konfiguration wird daraus ggf. noch zusätzlich abgeleitet?

Sorry, vielleicht stehe ich vollständig auf dem Schlauch... bin ich der einzige, der mit den "VPN-Regeln" nichts anfangen kann?

Gruß,
omd

[eddia]

Hallo omd,

Dafür gibt es meines Erwachtens nach Firewallregeln. Beim VPN kommt es doch eher auf das richtige Routing an, oder.

Wenn ich es richtig verstanden habe, dienen die VPN-Regeln zur Konfiguration des VPN-Tunnels - so dass die Netzbeziehungen mit in die Aushandlung des Tunnels einbezogen werden. Mit Firewall-Regeln hat das nichts zu tun.

Gruß

Mario

[omd]

Also wenn der Router samt VPN irgendwann einmal erfolgreich in Betrieb genommen worden sein sollte, dann mache ich drei Kreuze...

[omd]

Hallo nochmal in die Runde,

es klappt, endlich! Heute abend bin ich der glücklichste Mensch auf der Erde (oder so).

Und so kam es: Erst hab' ich noch ein paar Stunden den Endpunkten bei fröhlichen ARE_U_THERE-Gesprächen zugeschaut. Eben dann mal alle VPN-Client-Software vom Client deinstalliert und danach den Adv. Client neu installiert. Seitdem wird der Datenverkehr wie gewünscht durchgeleitet.

Mit dem Client hinter unserem Linux-Router funktioniert es auch. Bleibt noch abzuwarten, ob der später verwendete WLAN-Router mitspielt. Und ich würde gerne um die Verwendung des kostenpflichtigen Advanced Client herumkommen...

Vielen Dank an die geduldigen Unterstützer. Jetzt kann es entspannter weitergehen...

Gruß,
omd

[omd]

Da ich zunächst so enttäuscht war, hier noch ein vorläufiger "Abschlußbericht":

Der Router ist jetzt im Einsatz. VPN-Einwahl mit Zertifikaten, Main Mode und beidseitig dyn. IP funktioniert, die Router auf Clientseite sind entgegen der Befürchtung bisher kein Problem, dort waren auch keine besonderen Vorkehrungen nötig.

An LANconfig kann man sich gewöhnen, es ist dann letztlich doch komfortabel. Besonders schön sind LANconfig und LANmonitor remote über die VPN-Verbindung mit dem gewohnten Komfort. Nur die routereigene ssh-Konsole wirft mich über vpn immer noch direkt nach der Anmeldung raus.

Der Einarbeitungsaufwand war letztlich unerwartet hoch, woran bisherige völlige Unkenntnis über IPSec ihren Anteil hatte. Ich wurde von LANconfig erstmal ganz schön "erschlagen". Sollte man -- aus Sicht eines "Wissenden" -- nicht unterschätzen.

Danke nochmal an alle Helfenden. Bleibe dem Forum wohl noch eine Weile verbunden.

Gruß,
omd