Bei Verbindung mit Firmen-VPN kein Internetsurfen möglich

[Einige_Fragen]

Hallo zusammen,

ich habe schon einige Firmen-Notebooks von verschiedenen Großunternehmen gesehen. Alle hatten die Möglichkeit, sich via VPN mit dem Firmennetzwerk zu verbinden bzw. mindestens zum E-Mail-Abruf mit Outlook musste man sich stets via VPN verbinden. Bisher war es immer so, dass man während des Bestehens der VPN-Verbindung auch gleichzeitig im Internet surfen konnte.

Jetzt habe ich zum ersten Mal den Rechner eines Freundes vor mir, der bei bestehender VPN-Verbindung kein Surfen im Internet zulässt. Vielmehr kommt man da mit dem Browser lediglich auf eine Intranetseite mit firmeninternen News etc. Surfen im WWW ist nicht möglich.

Trennt man die VPN-Verbindung bzw. baut sie gar nicht erst auf, kann man ganz normal mit WLAN oder Surfstick etc. im WWW surfen. Es ist auch firmenseitig nicht verboten im WWW zu surfen. Innerhalb der Firmenzentrale ist der WWW-Zugang auch bei bestehender VPN-Verbindung offen.

Es ist für meinen Freund umständlich, außerhalb der Firmenzentrale immer zwischen VPN und nicht VPN umschalten zu müssen, wenn er zwischen WWW und Outlook wechselt.

Frage:
Hat jemand eine Idee bzw. einen Tipp, wie man bei bestehender VPN-Verbindung (über Cisco-Client) es gleichzeitig hinbekommt, dass man auch Surfen kann? Sicherlich kann man jetzt auch die firmen-IT bemühen, aber bis die in die Gänge kommen und Abhilfe schaffen, kann es dauern. Möglicherweise stellen die sich auch stur. Das Surfen muss keinesfalls über die VPN-Verbindung bzw. über die Firmen-IP erfolgen etc. Es reicht also aus, wenn der "normale Internetzugang" neben der bestehenden VPN-Verbindung weiter genutzt werden kann.

Bisher habe ich versucht, neben dem installierten Internet Explorer einen weiteren Browser zu installieren, der nicht proxytechnisch konfiguriert wurde - leider ohne Erfolg.

Adminrechte sind übrigens vorhanden. Auch hüte ich mich davor, tief in ein fremdes Firmensystem einzugreifen. Aber vielleicht reicht ja irgendwo der Haken an der richtigen Stelle?

Ich kann mir die "Sperrung" momentan auch nur so erklären, dass man normales Surfen evtl. nicht über VPN-Traffic abwickeln will.

 

[marcol1979]

Hat jemand eine Idee bzw. einen Tipp, wie man bei bestehender VPN-Verbindung (über Cisco-Client) es gleichzeitig hinbekommt, dass man auch Surfen kann?

Wenn das VPN Serverseitig so eingerichtet ist das alle Routen über das VPN laufen, und von dort aber nicht ins Internet, kannst nichts machen.
Ist halt eine Frage der Sicherheit die das Unternehmen vorgibt.

 

[Dikri]

Wenn er aber admin Rechte hat, sollte er die Routen anpassen können mit route print anschauen, mit route add Routen hinzufügen...

http://www.microsoft.com/resources/documentation/windows/xp/all/proddocs/en-us/route.mspx?mfr=true

Und hey, wo Windows 8 drauf steht, ist ebenfalls Win Vista drin 6.2

 

[Luxuspur]

Wenn er aber admin Rechte hat, sollte er die Routen anpassen können mit route print anschauen, mit route add Routen hinzufügen...

wenn das als Sicherheitspolice vom Unternehmen so vorgegeben ist und er das eigenmässig ändert ist das nen Grund zur Abmahnung bis hin zur Kündigung!

Manche Firmen nehmen es mit Ihrer Netzwerksicherheit eben noch ernst.

 

[Merle]

Ja von dem Tunnel aus wirds eben keinen Proxy geben oder was weiss ich. Dass es lokal geht, ist ganz normal, da ist ja auch der next hop dein Router, ganz normal. Bei VPN ist der next hop "virtuell" der Server des Unternehmens, und der macht da, was er will.
Es liegt (außer der oben genannten Möglichkeit, die je nach VPN Client auch nicht immer geht) also nicht in deiner Hand. Und wenn, dann legst du mit deinem Laptop als Schnittstelle den Step 2 Netze zu verbinden. Bei uns wäre das ein Abmahnungsgrund. Die Proxys und VPN Server im Unternehmen sind nämlich ziemlich sicher, aber der Laptop? Hmm...

Und warum baut er im Unternehmen ein VPN auf? Da ist er doch schon im Netz? Oder ist das ein anderer Tunnel?
Ohne sehr genaue Betrachtung fände ich die Tatsache, dass es mit VPN im Firmennetz geht, komisch. Aber es kann schon sein (bei uns gibts 4 VPN Tools).

 

[Dikri]

Im ersten Thread steht meiner Meinung nach, das der Tunnel von zuhause INS Firmennetz aufgebaut wird, und das ist ja denke ein ganz normaler weg. Aber auch intern kenne ich das, z.B. um ins GSB zu kommen, also in interne, abgeschottete Netze.

Die Frage ist und bleibt aber weiterhin, wieso kann er in der Firma surfen, aber von zuhause aus nicht. Wenn das nicht gewollt ist, (weil der Traffic über den VPN geht) sollte es eine Richtlinie geben, das könnte man ja mal erfragen.
Abhelfen kann man sich dann damit die Route zu verbiegen. Ob das von der Firma gelaubt/geduldet wird, muss man natürlich erfragen. Dazu können wir hier sicher keine Antwort liefern.

Wenn man keine Ahnung von der Sache an sich hat, sollten eh keine Firmenlaptops mit Admin Rechten raus gegeben werden. Aber da spielt sicher auch die größer der Firma ne Rolle.

 

[Merle]

Genau so ist es. Erfragen wäre gut.
Und ja, die größe spielt beim "Engineering" (wenn es eins gibt) schon die größte Rolle.

 

[Einige_Fragen]

Hallo zusammen,

vielen Dank für Eure Beiträge.

Wie bereits eingangs dargelegt, zielte meine Frage auch eher in die Richtung, ob es nur an einer Kleinigkeit liegt, die man bedenkenlos würde abstellen können, eben z. B. nur ein kleiner Haken im Cisco Client o. ä.

Ob dahingehende Veränderungen jetzt ein Abmahngrund wären oder nicht, lasse ich einmal dahingestellt. Wie Ihr es schon selbst sagt, kommt es da eben sehr viel auf die Firmenpolitik, die Firmengröße, aber auch auf die eigene Position und Stellung an. Letztendlich geht es eben bei einer Abmahnung zum Teil auch um die Motivationsursachen des Mitarbeiters, z. B. ob er wider besseren Wissens so gehandelt hat, obwohl es ausdrücklich verboten war etc.

Wie dem auch sei, ich hatte ja im Eingangsposting bereits geschrieben, dass ich bei Änderungen an Firmenrechnern sowieso immer sensibilisiert und vorsichtig bin und da nur etwas ändere, wenn ich mich auskenne und es unbedingt sein muss. Dabei habe ich auch schon so mancher IT-Abteilung viel Arbeit erspart, wenn es darum ging, einen Rechner am Wochenende hunderte Kilometer von der Firmenzentrale wieder in Gang zu bringen o. ä.

Weshalb man innerhalb dieser Firmenzentrale einen VPN-Zugang benötigt, weiß ich nicht genau. Möglicherweise sind da mehrere personifizierte Dinge mit verknüpft, z. B. der E-Mail-Zugriff o. ä.

Besagter Rechner wird ganz selten überhaupt in der Firmenzentrale eingesetzt und ansonsten immer an verschiedenen Orten. Sicherlich auch zu Hause, aber auch bei Kunden, im Hotel/Pensionen oder eben über mobile Datenverbindung. Die Einsatzorte und die verwendeten Internetzugänge sind also ganz unterschiedlich.

Adminrechte sind vorhanden, weil die Arbeit ohne Adminrechte extrem behindert wird und man eben nicht einmal kurzfristig ein notwendiges(!) Programm installieren kann. Das Ganze geht schon damit los, wenn am neuen Einsatzort ein neuer Drucker und/oder Scannertreiber installiert werden muss, damit man den lokal vorhandenen Drucker auch nutzen kann.

 

[Merle]

Ich denke, dass der Cisco VPN Client (AnyConnect?) die Einstellungen von Windows ignoriert. Bei uns gibts den allerdings auch nur mit Smartcard und ohne Adminrechte, Admins machen das etwas anders. Also kann ich es nicht sicher sagen.
Wenn du es versuchst, lass es mich/uns bitte wissen, wäre nützlich für einige ausländische Kollegen

 

[Hammelkopp]

Moin,
das was du vor hast nennt sich Split Tunneling. Dabei wird der Routing Table nur mit bestimmten Netzen geupdated so das der normale Inet Traffic am Tunnel vorbei geht. Hat alles Vor und Nachteile.... zum einen hat man/die IT keine Kontrolle über den Inet Traffic während man mit dem Firmennetz verbunden ist d.h. Packet Inspection und Proxies werden ausgehebelt. Das wird der Grund sein warum die IT deines Freundes das nicht will.
Da dein Freund aber Admin Rechte auf seinem Läppi hat kann er natürlich die Routen händisch anpassen. Er muss einfach nur die Default Route wieder auf seinen Router setzen und für die entsprechenden Netze innerhalb seiner Firma jeweils eine Route legen.
ABER nur weil es geht sollte er tunlichst drüber nachdenken das auch zu machen!!!
Grüße

 

[Merle]

Ich bin mir nicht sicher, ob das der Client nicht unterbindet. Das meinte ich ja. Also nicht das Eintragen, klar geht das. Aber beim Verbindung herstellen könnte das überschrieben werden.

 

[Hammelkopp]

Hm scheint wirklich so zu sein... Hab gerade mal gegooglet...
http://superuser.com/questions/284709/how-to-allow-local-lan-access-while-connected-to-cisco-vpn
Das geschilderte Problem ist nicht ganz das gleiche aber das Prinzip dahinter passt. Der VPN Client passt den Routing Table so an das man da wohl nichts dran drehen kann.
Hier auch noch was aus dem Supportforum dazu:
https://supportforums.cisco.com/thread/2011938
Grüße

 

[Merle]

So hatte ich es auch im Kopf... Wie es inzwischen ist, weiß ich nicht. Jedenfalls nicht ganz trivial.