Nur VPN-Verbindung am PC zulassen - alles andere blocken

[=DarkEagle=]

Moin,
in der Firma haben wir auf unseren Notebooks den Checkpoint VPN Client installiert. Wenn nun jmd. sein Notebook mit nach Hause nimmt oder auf Geschäftsreise, kann er sich nur via VPN zu unserem Firmennetzwerk verbinden und dann darüber ins Netz. Alles andere wird geblockt. Also ein Sicherheitsverfahren blockiert direkte Zugriffe aufs Internet.
Hat jmd. ne Ahnung, ob es sowas auch für OVPN gibt? Ich verwende im privaten Umfeld vermehrt OVPN und es wäre super, wenn aller Internettraffic nur über den VPN-Server läuft und falls die VPN-Verbindung mal abbricht (timeout, reconnect des Routers) kein Internetzugriff direkt möglich ist, sondern alles immer nur über den OVPN-Server laufen kann. Kennt da jmd. ne Lösung?

 

[marcol1979]

in der Firma haben wir auf unseren Notebooks den Checkpoint VPN Client installiert. Wenn nun jmd. sein Notebook mit nach Hause nimmt oder auf Geschäftsreise, kann er sich nur via VPN zu unserem Firmennetzwerk verbinden und dann darüber ins Netz. Alles andere wird geblockt. Also ein Sicherheitsverfahren blockiert direkte Zugriffe aufs Internet.

Gehe mal davon aus das du auf diesen nicht als Admin unterwegs bist?
Von daher wird das ganze Netzwerktechnisch so eingerichtet sein.

 

[=DarkEagle=]

Das Ganzer egelt bei Checkpoint ein Sicherheitsverfahren. Dies kann manuell von jedem Anwender deaktiviert werden, sodass ein direkter Zugriff auf das Internet dann möglich ist. Als Domänenadmin und als lokaler Admin bin ich in der Firma unterwegs.

Das Ganze ist ja denke ich nix anderes als ein Art Firewall, die allen ausgehenden Traffic auf dem normalen Netwzerkadapter blockt außer von der VPN-Software selber.
Das könnte ich vllt sogar mit einer billigen Desktopfirewall hinkriegen. Ich aktivere die nur für den normalen netwzerkadapter und nicht für den VPN-Adapter und erlaube dann nur der VPN-Software an dem Netzwerkadapter Traffic ins Internet durchzuschleußen. Bin vorher nicht drauf gekommen....ich probiere das nachher mal

 

[Kranky]

Du solltest eigentlich einfach eine Standardroute (0.0.0.0) einrichten können. So läuft es zumindest bei der Nutzung von Sonicwall SSL-VPN - wähle ich in der Konfiguration den Punkt "Tunnel all" aus, wird beim Verbindungsaufbau in die Routingtabelle des Clients eine neue Standardroute mit höherer Priorität eingetragen, die den gesamten Internettraffic über das VPN-Interface leitet.

 

[lsof]

Kann ein nicht-Admin bei Win Routen ändern? Falls nicht brauchst du auf dem Rechner nicht mal ne Firewall dafür, wenn eh das VPN-gw als default-gw fungiert.

 

[=DarkEagle=]

Das VPN dient ja dann schon als Standardgateway. Ich will allerdings, dass wennd as VPN abbricht und keine Verbindung mehr hat, auch kein Traffic über den normalen Netzadapter (wingateway) heraus kann.

Der Befehl für das Ändern des Routings lautet wohl "route add 0.0.0.0 mask 0.0.0.0 192.168.12.1" bei CMD.