nicht angemeldet
VPN-Client blockiert lokales Netz
hallo Forum,
ich muß (unter WindowsXP) einen VPN-Client nutzen, um mich ins Intranet eines Auftraggebers einzuwählen; das geht über ein Zertifikat. Da noch ein Proxy vorgeschaltet ist, stört mich das im allgemeinen wenig, von meinem Rechner aus komme ich trotzdem an alle Internetadressen.
Aber dieses Stück Software blockiert mir meine lokalen Netzverbindungen. Ich habe noch einen zweiten Rechner, der ebenfalls WindowsXP fahren kann (und, was hier wichtig ist, noch IE6 hat). Normalerweise würde ich den in der "Netzwerkumgebung" sehen können, und er müßte auch über meinen lokalen Apache verbunden sein. Ist er auch, wenn ich diesen VPN-Client ausschalte. Aber sobald ich ihn wieder anschalte, bricht mir die lokale Verbindung ab.
Ich finde beim Softwarehersteller keine Begründung für dieses Verhalten, kann allerdings verstehen, daß eine VPN-Verbindung doch bitteschön auf den Rechner beschränkt bleiben soll, für den sie zertifiziert ist. Ich will ja mit meinem zweiten Rechner auch gar nicht da "einbrechen", mir genügt der Zugriff, den ich vom ersten Rechner aus habe. Aber ich muß Seiten, an denen ich da baue, sowohl mit IE6 wie auch mit IE7 durchtesten können, was im Normalfall über einen lokalen virtuellen Host geht. Und nun blockiert mir dieses Teil meinen lokalen Apache.
Logs gibt es nicht. Das heißt, es gibt eine kleine GUI, in der bei Zugriffsversuchen gemeldet wird, ein Zugriffsversuch von 192.168.0.2 sei zurückgewiesen worden - "reject" steht da, mehr nicht. Das hat aber leider keine Grundlage in einer Textdatei, sondern das "log" ist binärer Code, den ich manuell nicht als Text darstellen kann. Und die Zurückweisung wird nicht begründet.
In den "Eigenschaften" für die lokale Verbindung ist als neuer Dienst "CheckPoint SecuRemote" eingetragen und aktiviert. Das ist der Übeltäter. Ich kann das aber nicht deaktivieren. Wenn ich es deaktiviere und dann den VPN-Client starten will, meldet er mir, es gebe "ungeschützte Verbindungen" und startet gar nicht erst.
Vielleicht hat jemand einen Hinweis, wie ich beides hinbekomme: daß ich erstens von meinem einen Rechner das Intranet meines Auftraggebers erreichen kann und zweitens mein lokales kleines Netzchen nicht blockiert wird.
Ich habe leider keine Ausweichmöglichkeit auf Linux, da ich das Zertifikat nur unter Windows nutzen kann.
Grüße aus Berlin
Christoph S.
-
Hallo Christoph,
ich muß (unter WindowsXP) einen VPN-Client nutzen, um mich ins Intranet eines Auftraggebers einzuwählen; [...]
Aber dieses Stück Software blockiert mir meine lokalen Netzverbindungen.das ist normal und verständlich - und Du hast das sicherlich auch schon im
entsprechenden Abschnitt des Wikipedia-Artikels zu VPN nachgelesen.Ich finde beim Softwarehersteller keine Begründung für dieses Verhalten,
ja doch, sicher. Das ist einfach die sicherste Einstellung für einen VPN-Client.
Vielleicht hat jemand einen Hinweis, wie ich beides hinbekomme: daß ich erstens von meinem einen Rechner das Intranet meines Auftraggebers erreichen kann und zweitens mein lokales kleines Netzchen nicht blockiert wird.
Die von Dir verwendete VPN-Software beherrscht Split-Tunneling, steht zumindest
im Datenblatt (siehe Dein eigener Link). Ich kann jedoch verstehen, wenn dieser
Modus gemäß den VPN-Sicherheitsrichtlinien Deines Auftraggebers deaktiviert ist.Freundliche Grüße
Vinzenz
-
Hallo Vinzenz,
Die von Dir verwendete VPN-Software beherrscht Split-Tunneling, steht zumindest
im Datenblatt (siehe Dein eigener Link). Ich kann jedoch verstehen, wenn dieser
Modus gemäß den VPN-Sicherheitsrichtlinien Deines Auftraggebers deaktiviert ist.Ich halte diese Sicherheitsargumente für Augenwischerei. Diese Angriffe gehen nämlich davon aus, dass entweder die Software auf dem Rechner nicht vertrauenswürdig ist (d.h. Malware darauf ist oder Software mit Sicherheitslücken, über die man Malware einschleusen kann) oder der Benutzer vor dem Rechner nicht vertrauenswürdig ist und somit irgend etwas explizit öffnet. Und zu "Sicherheitslücken" zähle ich auch aktiviertes IP Forwarding - das braucht man auf einem Client nämlich grundsätzlich nicht.
Klar, ein "Live-Zugriff" wird durch Abschottungsmaßnahmen verhindert, aber wenn der Benutzer nicht vertrauenswürdig ist, dann hat man sowieso verloren und wenn auf dem Rechner auf irgend eine Weise Malware gelangen kann, dann kann diese z.B. auch VPN-Zugangsdaten ausspähen oder andere lustige Dinge machen, die es zwar einem Angreifer leicht erschweren, irgend etwas zu tun, aber eine wirklich große Hürde ist das nun auch wieder nicht (eine fernsteuerbare Malware könnte sich ja über die Internetverbindung [1] innerhalb des VPN mit einem IRC-Channel verbinden und dort auf Befehle warten).
Viele Grüße,
Christian[1] Die ja zumindest in diesem Fall zweifelsohne vorhanden ist. HTTP-Proxies machen die Aufgabe lediglich etwas schwieriger, nicht unmöglich, zudem kann man auch über DNS tunneln, was in internen Netzen oft direkt aktiviert ist, selbst wenn da ein Proxy dazwischen ist etc.
-
hallo Vinzenz,
Du hast das sicherlich auch schon im entsprechenden Abschnitt des Wikipedia-Artikels zu VPN nachgelesen.
Habe ich natürlich, ja. Nur habe ich dem Artikel nicht wirklich vertraut. Es ist nämlich problemlos möglich, mein lokales Netz trotzdem zu benutzen - wenn der zweite Rechner Linux fährt. Dann kriege ich den sogar über Samba in der "Netzwerkumgebung" zu sehen, und der zweite (Linux-)Rechner erhält durchaus alles, was ihm mein auf dem ersten Rechner laufender lokaler Apache bereitstellt. Allerdings habe ich da dann eben nicht den IE6 zur Verfügung. Wenn ich auf der Linux-Kiste jetzt noch VMWare installiere und in VMWare erneut ein WinXP, habe ich mit diesem WinXP genau dieselben Zugriffsprobleme wie bei einer "echten" Windows-Installation.
Nun geht SAMBA über ein anderes Protokoll, aber mein lokaler Apache kann ja trotzdem nur eines. Mir ist nicht klar, warum bei einer Rechnerverbindung Linux<->Windows die VPN-Software des Windowsrechners anscheinend "umgangen" werden kann, bei einer Rechnerverbindung Windows<->Windows dagegen nicht.
Ich kann jedoch verstehen, wenn dieser Modus gemäß den VPN-Sicherheitsrichtlinien Deines Auftraggebers deaktiviert ist.
So völlig unverständlich ist mir das, wie bereits angegeben, auch nicht. Nur: wenn mir schon jemand die Tunnelung in sein nichtöffentliches Netz erlaubt, muß da ja bereits ein gewisses "Vertrauen" vorhanden sein...
Grüße aus Berlin
Christoph S.
-
-
Hallo Christoph,
Ist er auch, wenn ich diesen VPN-Client ausschalte. Aber sobald ich ihn wieder anschalte, bricht mir die lokale Verbindung ab.
Ich kenne Deinen konkreten VPN-Client jetzt nicht, habe aber von der Uni aus Erfahrung mit dem Cisco-VPN-Client - und den kann der Administrator des VPN-Gegenstücks so anweisen, dass er alle lokalen Verbindungen nicht mehr zulässt und *jeglicher* Netzwerktraffic nur noch über das VPN geht.
Dagegen kannst Du nicht viel tun. Für den Cisco-Client gibt's unter Linux eine Alternative namens 'vpnc', die sich von so etwas nicht beeindrucken lässt - für Windows gibt's die meines Wissens aber nicht (kann mich täuschen) - ob's sowas allerdings für Dein Produkt gibt, keine Ahnung.
Einen Ausweg kann ich Dir anbieten: Installiere VMWare, VirtualBox, qemu, bochs o.ä. und nutze den VPN-Client nur innerhalb einer virtuellen Maschine. Wenn Du dann etwas im VPN machen musst, nutze die virtuelle Maschine. Du kannst dann zwar *innerhalb* der virtuellen Maschine genausowenig auf das lokale Netz zugreifen, aber Du kannst ja einfach rauswechseln.
Viele Grüße,
Christian-
hallo Christian,
Dagegen kannst Du nicht viel tun. Für den Cisco-Client gibt's unter Linux eine Alternative namens 'vpnc'
Den kenne ich, nutzt mir leider nix wegen des Zertifikats.
Einen Ausweg kann ich Dir anbieten: Installiere VMWare, VirtualBox, qemu, bochs o.ä. und nutze den VPN-Client nur innerhalb einer virtuellen Maschine.
Das habe ich einmal versucht und bin damit gescheitert.
Naja, so, wie ich es jetzt habe, ist es einfach bloß lästig, das Ding ein paarmal am Tag an- und wieder abzuschalten.
Grüße aus Berlin
Christoph S.
-
Hallo Christoph,
Dagegen kannst Du nicht viel tun. Für den Cisco-Client gibt's unter Linux eine Alternative namens 'vpnc'
Den kenne ich, nutzt mir leider nix wegen des Zertifikats.
Ich würde mal viel eher vermuten, dass es nicht funktioniert, weil ihr kein Cisco verwendet (außer die Lösung ist Cisco-kompatibel, aber naja, keine Ahnung, kenne das nicht ;-)).
»Hybrid mode« (d.h. Server-Zertifikat + Username/Pw auf Client-Seite) kann VPNC übrigens ab 0.5 - nur der Modus mit Zertifikaten für Server *UND* Client kann er (angeblich) noch nicht (aber auch nie probiert) - und es würde mich zumindest wundern, wenn Du ein Client-Zertifikat hättest anstelle eines Usernamens und Passworts.
Einen Ausweg kann ich Dir anbieten: Installiere VMWare, VirtualBox, qemu, bochs o.ä. und nutze den VPN-Client nur innerhalb einer virtuellen Maschine.
Das habe ich einmal versucht und bin damit gescheitert.
Woran?
Viele Grüße,
Christian-
hallo Christian,
Installiere VMWare, VirtualBox, qemu, bochs o.ä. und nutze den VPN-Client nur innerhalb einer virtuellen Maschine.
Das habe ich einmal versucht und bin damit gescheitert.
Woran?Kann ich nicht mehr genau angeben. Irgendwas wie "installation failure ..." Ich werde es nochmal probieren.
Im Moment würde es schon deswegen nicht gehen, weil auf dem Hostrechner der VPN-Client installiert ist. Eine Doppelinstallation im selben (Sub-)Netz ist nicht möglich.
Grüße aus Berlin
Christoph S.
-
Hallo Christoph,
Im Moment würde es schon deswegen nicht gehen, weil auf dem Hostrechner der VPN-Client installiert ist. Eine Doppelinstallation im selben (Sub-)Netz ist nicht möglich.
Würde mich aber sehr wundern, in der Regel funktioniert nur die gleichzeitige Benutzung nicht.
Viele Grüße,
Christian-
hallo,
in der Regel funktioniert nur die gleichzeitige Benutzung nicht.
Schon richtig. Bei einer Installation wird aber einmal kurz getestet, ob der angegebene Server erreichbar ist. Jedenfalls macht das _dieser_ Client. Und wenn dann der auf dem Hostrechner grade aktiv ist, haut das halt nicht hin.
Grüße aus Berlin
Christoph S.
-
Hallo Christoph,
in der Regel funktioniert nur die gleichzeitige Benutzung nicht.
Schon richtig. Bei einer Installation wird aber einmal kurz getestet, ob der angegebene Server erreichbar ist. Jedenfalls macht das _dieser_ Client. Und wenn dann der auf dem Hostrechner grade aktiv ist, haut das halt nicht hin.
Und wo ist dann das Problem, für die Dauer der Installation den Client auf dem Hostrechner zu deaktivieren? ;-) Sollte ja in 5 Minuten wohl erledigt sein...
Viele Grüße,
Christian-
hallo Christian,
Und wo ist dann das Problem, für die Dauer der Installation den Client auf dem Hostrechner zu deaktivieren? ;-)
Du nervst ;-)
Ich habe es jetzt ja noch gar nicht wieder probiert, warte mal ab, bis ich genau sagen kann, ob ich wieder scheitere oder ob es klappt.Sollte ja in 5 Minuten wohl erledigt sein...
Volle fünf Minuten? Hm. Normalerweise geht das Abschalten eines Dienstes deutlich schneller, selbst wenn ich im Taskmanager nachkucke, ob noch irgendein Prozeß weiterläuft.
Grüße aus Berlin
Christoph S.
-
Hallo Christoph,
Und wo ist dann das Problem, für die Dauer der Installation den Client auf dem Hostrechner zu deaktivieren? ;-)
Du nervst ;-)
*hehe*
Sollte ja in 5 Minuten wohl erledigt sein...
Volle fünf Minuten? Hm. Normalerweise geht das Abschalten eines Dienstes deutlich schneller, selbst wenn ich im Taskmanager nachkucke, ob noch irgendein Prozeß weiterläuft.
Ähm, ich meinte inklusive Installation. ;-)
Aber OK, melde Dich einfach wieder, sobald Du weißt, warum das in der VM nicht geht.
Viele Grüße,
Christian-
hallo Christian,
melde Dich einfach wieder, sobald Du weißt, warum das in der VM nicht geht.
Gut, jetzt hat es nach dem Abschalten des Dienstes auf dem Host-Rechner in VMWare doch erstmal mit einer Installation problemlos funktioniert. Aber Installation ist das eine, Konfiguration das andere, und das habe ich jetzt noch nicht in Angriff genommen - ich muß dazu aus meinen Browsern auf dem Host-Rechner nicht nur den Dienst deaktivieren, sondern den Proxy auch wieder aus den Browsereinstellungen entfernen. Und neu starten :(
Um der ganzen Geschichte aber noch eine Nuance hinzuzufügen: ich habe ja unten an Vinzenz bereits geantwortet, daß es das Teil offensichtlich nicht stört, wenn ein "zweiter" Rechner Linux fährt. Um das zu verdeutlichen, hier ein Screenshot: http://home.arcor.de/schnauss/bilder/vpnclient.jpg Es ist zu sehen, daß Ping auf den zweiten Rechner funktioniert, und daß dessen shares in der "Netzwerkumgebung" auch aufgelistet werden. Zur Verdeutlichung, daß der VPN-Client aktiv ist, gibts den kleinen Tooltip-Kasten rechts unten, der beim Überfahren des Icons, das die Software in die Taskleiste einbindet, erscheint.
Leider kann ich nicht zugleich einen Screenshot des Linuxrechners mitgeben - ich habe dummerweise eine Neukompilierung des X-Servers veranlaßt, und solange das andauert, kriege ich keine grafischen Screens zustande.
Also: warum blockiert mir das Teil eine Verbindung Windows<->Windows und läßt eine Verbindung Windows<->Linux zu? Sind die Softwarebastler da bloß zu kurzsichtig gewesen und haben nicht gedacht, daß jemand auch im eigenen Netz Linux inclusive SAMBA fahren könnte?
Grüße aus Berlin
Christoph S.
-
Hallo Christoph,
Sind die Softwarebastler da bloß zu kurzsichtig gewesen und haben nicht gedacht, daß jemand auch im eigenen Netz Linux inclusive SAMBA fahren könnte?
Ohne wirklich eine Ahnung zu haben scheint mir das die plausibelste Erklärung zu sein, bezogen auf die Symptome, die Du beschreibst.
Viele Grüße,
Christian
-
-
-
-
-
-
-
-
-
-
