Sicheres Verbindung von der Hochschule nach Hause

[Krik]

Moin,


Es geht um diese Systeme:
Desktop mit Windows 7 Prof.
Server mit Windows Server 2008
Laptop mit Windows 7 Prof.

Der Desktop und der Server stehen bei mir zu Hause, der Laptop kommt dort ins WLAN, DynDNS läuft und alles so weit kein Problem.

Jetzt möchte ich aber - wegen Studium - von der Hochschule aus mit dem Laptop auf den Server zugreifen können (zB auf den Team Foundation Server, den ich da demnächst installieren werde, aber erst muss noch SQL drauf).
In der Hochschule steht uns ein zertifikatsgesicherter WLAN-Zugang mit Internetanschluss (100 MBits/s ) zur Verfügung.

Was habe ich für Möglichkeiten, wenn ich

• sowohl von zu Hause als auch von der Hochschule aus ohne viel Umherschalterei die jeweilige Internetverbindung nutzen möchte,
• eine gesicherte Verbindung zwischen Server und Laptop in der Hochschule haben möchte,
• ggfs. auch von einem anderen Ort aus per Internet eine gesicherte Verbindung zum Server haben möchte,
• den Laptop manchmal nicht nur per WLAN sondern per LAN-Kabel ins das Heimnetz bringen will?
  (Da muss ich noch was umbauen, das wird später erst umgesetzt.)
• Der Desktop muss auf dieselben Sachen zugreifen können wie der Laptop. Wenn der Server und der Laptop verbindungstechnisch auf eine neue Ebene gehoben wird, dann muss der Desktop mitziehen können.

Ich habe mich umgesehen und ein VPN wäre wohl das richtige für mich. Allerdings scheitere ich sowohl an dem Windows Server eignen VPN-Dienst als auch an der OpenVPN-Konfiguration.
Bei Windows VPN-Dienst sehe ich irgendwie gar nicht durch, was ich machen muss. Die Tutorials im Netz haben da nicht wirklich weitergeholfen. Sie sind zu ungenau.
Bei OpenVPN ist es noch schlimmer, da sind die Tutorials meistens veraltet und die Linux- und Windows-Konfiguration munter miteinander vermischt, so dass keiner mehr durchblickt.

Was hättet ihr für Ideen, wie man das - simpel - umsetzen könnte?


Gruß, Laurin

 

[EDV-Berni]

mit dem Windows VPN Server würde es wunderbar funktionieren
dazu musst du den RAS Service installieren und dann konfigurieren

EDIT:
hier eine anleitung
http://www.serverhowto.de/Teil-4-Einrichten-eines-VPN-Servers.60.0.html

 

[Masamune2]

Also ich habe mich in den letzten Tagen in OpenVPN eingearbeitet und blicke da mittlerweile durch. Habe bei mir jetzt auch einen Server laufen und kann von der Firma aus durch den http Proxy (da SSL VPN) auf mein Netz zugreifen.

Das "schlimmste" an Open VPN ist die Erzeugung der Root-CA und entsprechender Zertifikate für Server und Client. Am übersichtlichsten fand ich die Anleitung hier: http://support.mva.ch/tech-blog/openvpn-unter-windows-anleitung/

Wenns irgendwo hängt kann ich dir gern helfen.

 

[Krik]

Ich hab den Windows-eigenen VPN-Dienst nun hinbekommen. Dass man die Benutzeraccounts explizit dafür VPN-Verbindungen freischalten muss, wusste ich nicht, bzw. bin nicht zuerst über diese Info gestolpert.

Ich habe da noch eine Frage.
Im Moment geht die Verbindung nur über PPTP. L2TP und SSTP sind sicherer. Für L2TP benötigt man einen Zertifizierungsdienst, der wiederum Active Directory voraussetzt. SSTP benötigt ebenfalls Active Directory. Und der wiederum benötigt den DNS-Dienst.
Da hängt also eine ganze Menge Rattenschwanz dran für so etwas "simples". Geht das nicht einfacher?

 

[EDV-Berni]

natürlich ist L2TP und SSTP sicherer, aber siehe es mal so, warum solle man ausgerechnet dein vpn knacken in dem du eh keine interessanten daten für haker hast
außerdem kannst du ja die sicherheit durch die wahl deines passworts bestimmen

EDIT: ich verwende selbst nur PPTP mit der EAP-MSCHAP2 authentifizierung und hatte damit noch keine sicherheitsprobleme

 

[Masamune2]

Geht das nicht einfacher?

Ja, mit OpenVPN gehts wesentlich einfacherer.

 

[Krik]

@Masamune2
OpenVPN hab ich abgehakt, weil das Windows-VPN im Moment schon läuft. Gibt keinen Grund, jetzt wieder umzustellen.


Das VPN funktioniert so weit. Mit einem Freund habe ich getestet, inwiefern Rechner über das Internet herein können usw. Da ist aufgefallen, dass dass er nicht meinen Rechner im Netzwerk sieht und ich wiederum nicht seinen. Anpingen über die VPN-IPs funktioniert aber und auch der direkte Zugriff über die IP-Adresse geht. Er verlangt dann einen Login. Zugriff über die Rechnernamen funktioniert nicht. Vermutlich funktioniert die Namensauflösung nicht so ohne weiteres.
Meine Rechner hingegen werden mir alle angezeigt.

1)Wie bekomme ich es hin, dass alle Rechner im Netzwerk angezeigt werden?


Der Server selber nimmt eine VPN-IP in Beschlag. Allerdings kann man über sie überhaupt nicht auf den Rechner zugreifen. Nur Anpingen funktioniert. Ich habe mir daraufhin gedacht, dass ein VPN-Server ja in erster Linie das VPN verwaltet und deshalb noch lange nicht im VPN sein muss. Ich habe dann versucht, den Server in das VPN einzubinden, aber da meckert bei jedem Verbindungsversuch, dass es nicht geht. Die Netzwerkdiagnose sagt daraufhin, dass alles i. O. ist. Die Serverprotokollierung meldet an dieser Stelle weder einen Fehler noch einen Verbindungsversuch.

2) Was ist der Grund dafür? Was ist hier los?

 

[Masamune2]

Hast du DNS und WINS auf deinem Server laufen und bei den Clients auch eingetragen? Firewall irgendwo aktiv?

 

[Krik]

DNS und WINS läuft auf dem Server nicht. Sie bekommen ihre IP und Kram vom DHCP-Server des Routers zugewiesen. Die Firewalls dürfte kein Problem sein, da sie automatisch von den Rollen richtig eingestellt wird.

Ich werde mich aber wegen DNS und WINS noch mal schlau machen. Vielleicht liegt es ja daran.

 

[Der_Dicke82]

Jo, denke wenn du dich über deinen Server via VPN verbindest, bekommt der DNS/WINS des Routers nichts mit und deshalb gibt es auch keine Namensauflösung. Beides zum Server verlegen könnte das Problem lösen.

Melde dich auf jeden Fall mal ob und wie es geklappt hat :-)

Gruß, Stefan

Edit: Hast du mal überlegt den Router als VPN-Server zu nutzen?

 

[Krik]

Ich wusste bis eben nicht, dass man FritzBoxen auch als VPN-Server einrichten kann. Leider ist meine nicht kompatibel bzw. sie hat keinen Menüpunkt dafür. Hab ein bissel bei Google geschaut, man müsste dafür die Firmware modifizieren. Ist a bissl sehr aufwendig, wenn du mich fragst. Ich denke, ich lasse das lieber sein.

Ich habe im Moment noch ein paar andere Probleme mit dem VPN-Netzwerk, ich muss mal noch schauen, was da schief geht (komme von außen nicht rein, obwohl ich genau das mit einem Kumpel vorher getestet habe - und da ging es).

 

[M-X]

Welche Fritzbox hast du? Normalerweise lässt sich mit einer neuen FW jede FB zum VPN dienst bewegen.

 

[Krik]

Ich habe die 7112. Das ist eine abgespeckte 7170, die nur noch VoIP kann.