Netzwerksicherheit VPN

[Licrus]

Guten Tag alle zusammen,

zwecks sensiblen Daten (Forschungsarbeit), wünsche ich mir die bestmöglichste Netzwerksicherheit.
Ich würde gerne mein gesamtes Heimatnetzwerk absichern, um meine Daten so gut es geht zu verschlüsseln.
Verwendet wird ein Huawei B715s Router, ich bin nicht kabelgebunden, sondern per Mobilfunk im Internet unterwegs.

Meine Netzwerk ist folgendermaßen aufgebaut:

Client --> externer TP-Link WLAN ROUTER --> Huawei B717 Mobilfunkrouter --> WWW


Ich hätte mich so gut es geht in die Richtung Netzwerksicherheit unsw. eingelesen, leider finde ich keinen Baum im Wald.

Also wie VPN Grundlegend funktioniert ist mir klar. (Die Daten des Clienten laufen über einen externen Server und dabei wird auch die IP vom Server verwendet)

Was ich allerdings nicht verstehe, um ins Internet zu gelangen muss ich ja die Daten ohnehin schon über meinen Netzwerkbetreiber senden, oder ist hier die Software im Einsatz?

Andernfalls hätte VPN keinen Sinn wenn der Netzbetreiber Zugang zu meinen Daten hat.

 

[Cool Master]

Wenn du wirklich das gesamte Netzwerk absichern willst liegst du bei min. ~1000 € alleine für HW. Die muss dann aber auch noch richtig eingestellt werden. Dazu kommt dann noch ein VPN Anbieter der auf dem neuem Router läuft und alles verschlüsselt.

ich würde mir also erst mal Gedanken über mein LAN machen Stichwort VLAN und richtige Berechtigungen setzen.

 

[Lawnmower]

Für richtig sensible Daten ist ein Heimnetzwerk mMn. in den allermeisten Fällen komplett ungeeignet.

Die Übertragung ins Internet ist nur einer von vielen Punkte, aber wenn z.B. im Heim LAN alles offen ist, ein WLAN mit einfachem Passwort rumfunkt, andere Clients im Netzwerk rumschwirren und das eigene System weder passwortgesichert noch verschlüsselt ist (und auch softwaretechnisch nicht sicher ist), hat man zwar an einer einzigen Stelle was gemacht aber das reicht eben bei weitem nicht.

Bez. VPN: Das wäre ja am sichersten wenn das entsprechende Institut ein VPN Server anbieten würde wo sich dann die Beteiligten/Teilnehmer/Mitarbeiter hin verbinden. Im eigenen Netz sollte es dann ein isoliertes Netzwerk sein das keine Verbindung ins regulärer Heimnetz hat. Und natürlich separate Hardware auf denen Daten verschlüsselt und der Zugriff passwortgeschützt ist.
Und ob da Consumer Hardware im Netzwerk jetzt sich für sowas eignen, habe ich mal auch viele Fragezeichen.

Aber ist ja alles relativ was man unter "sensiblen Daten" versteht.

 

[Digitalzombie]

VPNs sind dafuer gedacht, die Verbindung zwischen zwei Endpunkten zu verschluesseln.
In klassischen Sinne sitzt du im Urlaub in der Hotel-Lobby und baust mit deinem VPN Client eine Verbindung zu deinem Buero auf. Der Datenverkehr zwischen Buero und deinem Laptop erfolgt dann verschluesselt und relativ sicher. Der Netzbetreiber kann nur erkennen das ein VPN verwendet wird, aber an der Stelle nicht reinschauen.

Die ueblichen VPN Anbieter auf dem Markt gebe dir die Möglichkeit mit einem Server eine Verbindung aufzubauen und so die originale Ursprungssadresse zu verschleiern.

Alles was außerhalb der beiden Endpunkte passiert (also dein eigenes Netzwerk und natuerlich der "Internetverkehr" vom VPN-Server aus) sind weiterhin im Klartext. Dort muss dann zum Beispiel mit SSL gearbeitet werden. Also https Websites und IMAP ueber SSL zum Beispiel.

Kommt immer drauf an welche Daten und welche Wege man versucht abzusichern.

 

[wahli]

Dann mache vom Laptop eine eigene Internetverbindung per Mobilfunk auf und verbinde dich nur per VPN mit der Forschungseinheit. Du darfst natürlich niemals mit dem Gerät ins Internet direkt gehen. Surfen usw. ist natürlich verboten. Eigentlich muss der Laptop sogar in der Forschungseinheit bleiben.

Oder du fragst einfach nach, wie du dich mit dem Laptop verhalten sollst

Sind die Daten direkt auf der Platte? Ist die Platte verschlüsselt?

 

[Wilhelm14]

Von wo kommen die Daten und nach wo sollen sie? Denn...

Also wie VPN Grundlegend funktioniert ist mir klar. (Die Daten des Clienten laufen über einen externen Server und dabei wird auch die IP vom Server verwendet)

das ist nur eine Anwendung von VPN, die "heutzutage" genutzt wird um in erster Linie seinen Standort zu verschleiern, nicht um zu verschlüsseln und auch nicht ein virtuelles LAN aufzubauen. "Ursprünglich" dient VPN dazu, zwei LAN übers Internet zu koppeln, als wären sie ein LAN. Eine Verschlüsselung wurde da natürlich drauf gesetzt, damit niemand "hinein" gucken kann. Eine Verschleierung des Standortes war nicht das Thema.

 

[RalphS]

WLAN? Mobilfunk? Und dann sicher? Puuh. 😕

Spontan fällt mir eigentlich grad nur L2TP+IPsec in client-to-site Konfiguration ein. Das erfordert Zertifikate. Dann kann man eine eigene Namensauflösungstabelle nutzen und per Firewall alle anderen Verbindungen abschießen und hat so relative Sicherheit nach innen.

Für WLAN könnte man mit WPA2/3 Enterprise kommen. Noch mehr Zertifikate plus Konfigurationsaufwand.

Dann noch eine ordentlich verschlüsselte SSL-Verbindung - TLS 1.2 oder 1.3 plus 256bit plus... wieder weitere Zertifikate.


Möglichkeiten gibt es da. Aber die sind aufwendig. Vielleicht wäre es gescheiter, sich mit der IT zusammenzutun -- die haben vermutlich schon praktische Erfahrungen mit sowas.

Der beste Weg ist natürlich, vor Ort zu bleiben. Home Office schön und gut, aber sicherheitstechnisch etwas... aufwendig.

 

[Paradox.13te]

Der Netzbetreiber kann nur erkennen das ein VPN verwendet wird, aber an der Stelle nicht reinschauen.

Deswegen sollte man eigentlich auch ein VPN benutzen der den Verkehr verschleiert sprich DPI nutzlos macht. (Das sollte ja aber in Deutschland nicht ganz so wichtig sein)

 

[Digitalzombie]

@Paradox.13te
Das funktioniert aber nur solange die Endpunkte auch ENDpunkte bleiben.

Sobald der Server auf der anderen Seite doch nur ein Gateway ins Internet darstellt, ist die Sicherheit wieder dahin. Dann stellt sich die Frage ob man dem Internetanbieter an seinem eigenen Standort oder dem Anbieter am Standort der VPN Gegenstelle mehr vertraut