Alt det andet om at starte virksomhed

Svar: Ekstern (VPN?) adgang til servere for medarbejdere og konsulenter - hvad gør man

Martin Arendtsen — Wed, 22 Jun 2011 07:58:28 GMT

Brian Reinhold Jensen:
SSL har jeg kun prøvet mod ZyXELs USG-serie og ældre Cisco-bokse. Det virkede ikke til Mac og Linux på Cisco-boksene, men det tror jeg kun var på grund af den aldrende software på Cisco-udstyret.

Blot til info kan jeg sige at jeg har haft Ciscos SSL VPN løsning kørende på een Cisco boks med både Windows, Linux og MacOSX klienter og det virkede bare.
(Især da brugerne kunne hente klienten når de forbandt første gang.)

Svar: Ekstern (VPN?) adgang til servere for medarbejdere og konsulenter - hvad gør man

Brian Reinhold Jensen — Tue, 21 Jun 2011 21:58:52 GMT

ole111:
Nu har jeg så bare tre tillægsspørgsmål - for der har været meget snak omkring IPsec, PPTP og SSL VPN - hvad er forskellen på de tre? Og så nævner du ekstra licenser - køber man så dem i klumper efter behov eller hvordan og til hvilke umiddelbare priser?

Hej Ole,

Du får lige et svar fra hotelværelset.

Jeg er ikke ingeniør eller netværksprotokol-kyndig på et niveau som gør mig istand til at give dig den tekniske forklaring på de tre krypteringsformer. ssl, ipsec og pptp.

Men jeg kan da komme med en "børnebogs-udgave" af en forklaring :-)

PPTP er en efterhånden en gammel standard som kun bruges, i nogen grad, til at etablere krypterede forbindelser til Microsoft servere.

IPSec er den nyere standard, som både Microsoft og Cisco har været med til at udvikle og den er i dag tæt på at være de facto standarden til at kryptere VPN-forbindelser over internettet. I de nyere Microsoft servere er det lige så let at sætter IPsec kryptering op, som det er at sætte PPTP op - også på klienterne.

SSL er en anden form at kryptere på, teknikken er mest "kendt" for at være S'et i https. Den teknologi er nu udviklet så det er muligt at lave VPN-tunneller med den. Det er en meget brugervenlig måde at lave det på, idet brugeren bare skal logge på en hjemmeside for at få sin tunnel. Det er også den teknologi som mange at de proxy-services man kan bruge på nettet, benytter sig af.

Hvad virker de på?
PPTP har jeg selv prøvet på Windows, Mac og linux (ubuntu) og det virker, men som sagt er det en ældre standard.

IPSec er standarden, den virker også på alle tre - jeg har dog oftest brugt en klient fra producenten af VPN-boksen, så jeg har kun lidt praktisk erfaring med den indbyggede i OS'et. Men Windows og Linux virker det på og mon ikke det gør på Mac, det er jo bare en OpenBSD der ligger under ;)
Der findes ihvertfald IPSec-klienter til Mac fra Cisco som jeg har brugt med succes.

SSL har jeg kun prøvet mod ZyXELs USG-serie og ældre Cisco-bokse. Det virkede ikke til Mac og Linux på Cisco-boksene, men det tror jeg kun var på grund af den aldrende software på Cisco-udstyret.
Det virker fint på Windows også Windows 7

Hvad foretrækker jeg?
Jeg vil foretrække IPSec eller SSL, simpelthen fordi PPTP er en ældre standard, der ikke er lettere at arbejde med en IPSec.
I dit tilfælde vil jeg anbefale SSL vpn, det er en dejlig let løsning for dine brugere, jeg er dog usikker på om Linux-maskinerne kan bruge den, men de kan så køre IPSec. Jeg har ikke selv testet Mac mod SSL på USG-serien, det må jeg hellere få gjort, men det burde virke ;-)

Jeg vil til enhver tid foretrække at lave VPN-forbindelsen til en VPN-concentrator eller firewall, fremfor at gøre som med PPTP og MS windows-server IPSec at åbne i firewallen og lade en evt. angriber kommet helt ind til serveren før han skal valideres - men det er bare min mave der siger det, sikkerheden ligger jo i implementeringen ;-)

SSL klienter, udover de medfølgende, købes i bundter af fem stk. (svjh), priserne er også på Proshop sikkert under den valgte firewall.

Hvis du er interesseret i et konkret oplæg/tilbud er du velkommen til at sende en PB til mig.

Stor hilsen
/Brian

Svar: Ekstern (VPN?) adgang til servere for medarbejdere og konsulenter - hvad gør man

ole111 — Mon, 20 Jun 2011 14:34:10 GMT

Hej Brian

Nu har jeg så bare tre tillægsspørgsmål - for der har været meget snak omkring IPsec, PPTP og SSL VPN - hvad er forskellen på de tre? Og så nævner du ekstra licenser - køber man så dem i klumper efter behov eller hvordan og til hvilke umiddelbare priser?

Det sidste spørgsmål går mest på kravene til de maskiner der skal koble sig op - for jeg har ikke kunnet læse andet end opsætning på Windows sådan umiddelbart. Det kan dog godt være jeg er en smule dårlig til at forstå alle de tekniske termer, men jeg ved vi har både konsulenter der bruger Windows og Mac ligenu. Så disse to skal i hvert fald være dækket ind. Vi overvejer også at skifte nogle af de PC'er vi har hjemme hos nogle medarbejdere ud til det gratis Ubuntu, men er det muligt med den VPN løsning du skitserer?

Ole

Svar: Ekstern (VPN?) adgang til servere for medarbejdere og konsulenter - hvad gør man

Brian Reinhold Jensen — Fri, 17 Jun 2011 14:15:51 GMT

ole111:

Vi har servere stående som medarbejdere og nogle eksterne partnere skal kunne komme til hjemmefra og fra udlandet når de rejser. Det skal kunne fungere nemt og sikkert f.eks. via VPN.

Er der nogen der har erfaring med en god og helst billig løsning?

Hej Ole,

Vi har rigtigt gode erfaringer med at bruge ZyXELs USG-serie til den slags opgaver.
Vi bruger den indbyggede ssl-vpn, som virker ved at brugeren logger på et website på boxen, og derefter har en vpn-tunnel til det udstyr der er givet tilladelse til i setuppet.

Du kan selv vælge om du vil styre brugerne på USGen, i dit AD på serveren, via RADIUS eller en LDAP database.

Til dit brug vil en USG-100 være et godt valg, den koster omkring 3100,- ved proshop (og andre steder ) med to samtidige ssl-vpn klienter. Hvis du har brug for flere samtidige forbindelser kan de tilkøbes via en licens.

Som du har opdaget kan opgaven løses på mange måder, held og lykke med dit valg.

/Brian

Svar: Ekstern (VPN?) adgang til servere for medarbejdere og konsulenter - hvad gør man

Brian Reinhold Jensen — Fri, 17 Jun 2011 14:07:48 GMT

Hej Søren,

Jeg må holde op med at multitaske mens jeg skriver indlæg, det rækker mine kommunikationsevner ikke til.

Jeg tror vi er enige, mit oprindelige indlæg var netop et forsøg på at stoppe teknologisnakken, fordi den ikke var relevant for trådstarter.

Jeg forholdt mig ikke til trådstarters spørgsmål, men til alle de indlæg der fremhævede det ene produkt frem for det andet, det var en teoretisk/religiøs diskussion som ikke hjalp trådstarter.

Back on track, jeg svarer lige trådstarter på det oprindelige spørgsmål - hvis altså ikke han er helt hoppet af :-)

God weekend
/Brian

Svar: Ekstern (VPN?) adgang til servere for medarbejdere og konsulenter - hvad gør man

pvnilsson — Fri, 17 Jun 2011 14:00:50 GMT

Jeg tror ikke vi behøver at skrive mere, der er rigeligt med info i denne tråd til man kan træffe en beslutning.

Der er jo ikke nogen som ikke har ret, der er bare mange muligheder, sådan er det.

Svar: Ekstern (VPN?) adgang til servere for medarbejdere og konsulenter - hvad gør man

Kaffes — Fri, 17 Jun 2011 13:58:23 GMT

Hej Brian

Jeg tror du missede min pointe lidt, som var noget ala at trådstarter spøger til om der er nogen der har erfaring med en løsning som kan få hans ca. syv konsulenter til tilgå netværket hjemmefra og på farten på en sikker måde og som ikke må koste alverden.

Vi kaster os så ud i en debat om teknologi, metoder, religion og sluttelig processer; det bliver trådstarter ikke mere klog af. Naturligvis skal der flere informationer på bordet for en gennemtænk løsning men vi kunne jo starte med at spore trådstarter ind på nogle mulige veje krydret med noget erfaringer fra brugere som ham selv og ikke fra kloge åger som en anden debattør omtalte folk der ved noget.

Brian Reinhold Jensen:
Ligesom du heller ikke kan fortælle hvilken kaffe jeg vil synes smager godt, uden du kender lidt mere til mig

Nej men jeg ved du søger kaffe og kan spørge om du er til de fyldige kaffer eller til de mere sylige og aromatiske og der efter spørge om hvordan du brygger din kaffe og hvilken type vand du anvender ;-)

Brian Reinhold Jensen:
vi havde forøvrigt UPS på kaffemaskinen som den del af Y2K sikringen ved overgangen til dette årtusinde

Det var klart det eneste rigtige at gøre ;-)

/Søren

Svar: Ekstern (VPN?) adgang til servere for medarbejdere og konsulenter - hvad gør man

Brian Reinhold Jensen — Fri, 17 Jun 2011 13:41:56 GMT

Kaffe & Co:
Ja det har du da helt ret i og det kan man jo altid svare ja til - men når nu trådstarter spørger efter 'Er der nogen der har erfaring med en god og helst billig løsning?'

Hej Søren,

Jeg har mange erfaringer med gode løsninger, men jeg ved ikke hvad der er godt for trådstarter det vil være rent gætteri. Ligesom du heller ikke kan fortælle hvilken kaffe jeg vil synes smager godt, uden du kender lidt mere til mig ;-)

Det svarer lidt til at spørge om "man selv kan tapetsere", det er altså umuligt at svare på uden at kende spørgeren.

Opstilling af for og imod er alt for omfattende til at jeg kan håndtere det i en forumtråd, men som slutbruger kan jeg da fortælle at jeg har haft gode erfaringer med PPTP for nogle år siden, men i de sidste år har vi brugt ZyXELs ssl-vpn på USG-serien til den type opgaver. Det er vi godt tilfredse med.

Kaffe & Co:
med en god og helst billig løsning

Good, fast, cheap - pick any two ;-)

Jeg kigger ind og ser dit kaffe-vlan en dag, vi havde forøvrigt UPS på kaffemaskinen som den del af Y2K sikringen ved overgangen til dette årtusinde :-)

/Brian

Svar: Ekstern (VPN?) adgang til servere for medarbejdere og konsulenter - hvad gør man

pvnilsson — Fri, 17 Jun 2011 13:35:46 GMT

Kaffe & Co:

Brian Reinhold Jensen:

I det konkrete tilfælde kan vi ikke sige hvad der er bedst for trådstarter, idet valget af setup afhænger af hans it-sikkerhedspolitik.

Hej Brian

Ja det har du da helt ret i og det kan man jo altid svare ja til - men når nu trådstarter spørger efter 'Er der nogen der har erfaring med en god og helst billig løsning?' så kunne de professionelle jo prøve at opstille nogle for og i mod forskellige teknologier og endnu bedre så kunne der komme nogle indlæg fra nogle slut brugere som faktisk har noget erfaring med et setup som trådstarter efterspørger.

Der er gået nørd i den her tråd.

Der må da være nogle her på Amino som har erfaring som bruger af en løsning som trådstarter efterspørger og ikke nogle der sælger eller bare nørder med disse løsninger?

Nu vil jeg gå ud og oprette et VLAN til min kaffemaskine, sætte QoS og spanne forbindelsen ;-)

/Søren

ha ha, præcis hvad jeg sagde, der kan hurtigt dukke en masse kloge hoveder op.

Jeg har erfaring med at PPTP er klippestabilt, der har ikke været sikkerhedsproblemer, det er nemt at sætte op og jeg har brugt det på en lokation med 180 brugere i mange år.

Har også overtaget en CISCO boks med VPN brugere i en anden virksomhed, men jeg syntes ikke det kørte hverken værre eller bedre, men det var lidt mere besværligt at administrere.

Nørder man for meget så får man sjældent noget for døren.

Mit sidste råd er altid at sætte noget op man kan overskue og man har det godt med, så kan det ikke gå helt galt.

Svar: Ekstern (VPN?) adgang til servere for medarbejdere og konsulenter - hvad gør man

Kaffes — Fri, 17 Jun 2011 13:28:52 GMT

Brian Reinhold Jensen:

I det konkrete tilfælde kan vi ikke sige hvad der er bedst for trådstarter, idet valget af setup afhænger af hans it-sikkerhedspolitik.

Hej Brian

Ja det har du da helt ret i og det kan man jo altid svare ja til - men når nu trådstarter spørger efter 'Er der nogen der har erfaring med en god og helst billig løsning?' så kunne de professionelle jo prøve at opstille nogle for og i mod forskellige teknologier og endnu bedre så kunne der komme nogle indlæg fra nogle slut brugere som faktisk har noget erfaring med et setup som trådstarter efterspørger.

Der er gået nørd i den her tråd.

Der må da være nogle her på Amino som har erfaring som bruger af en løsning som trådstarter efterspørger og ikke nogle der sælger eller bare nørder med disse løsninger?

Nu vil jeg gå ud og oprette et VLAN til min kaffemaskine, sætte QoS og spanne forbindelsen ;-)

/Søren

Svar: Ekstern (VPN?) adgang til servere for medarbejdere og konsulenter - hvad gør man

pvnilsson — Fri, 17 Jun 2011 13:17:35 GMT

Brian Reinhold Jensen:

I det konkrete tilfælde kan vi ikke sige hvad der er bedst for trådstarter, idet valget af setup afhænger af hans it-sikkerhedspolitik.

/Brian

Mere enig kan jeg ikke være her.

Svar: Ekstern (VPN?) adgang til servere for medarbejdere og konsulenter - hvad gør man

Brian Reinhold Jensen — Fri, 17 Jun 2011 13:14:25 GMT

Diskussionen om den ene eller den anden box eller teknologi er "mest sikker", er en teoretisk diskussion tilsat en skefuld religion.

Sikkerheden afhænger ikke af valget af teknologi, eller hardware, men om implementeringen.

It-sikkerhed handler ikke om at vælge værktøj eller produkter - det er en process.

I det konkrete tilfælde kan vi ikke sige hvad der er bedst for trådstarter, idet valget af setup afhænger af hans it-sikkerhedspolitik.

/Brian

Svar: Ekstern (VPN?) adgang til servere for medarbejdere og konsulenter - hvad gør man

pvnilsson — Fri, 17 Jun 2011 13:13:02 GMT

jjn:

De PPTP VPN'er jeg har arbejdet på har desuden haft den svaghed, at når jeg var på VPN'en så kunne jeg ikke surfe lokalt - dvs. min printer, scanner osv fungerede ikke når jeg var på VPN. Det er fordi det er den indbyggede PPTP løsning i Windows der gør det. Det er muligt man kan få klienter, der ikke gør det, men jeg synes det er et problem.

Jeg har haft 5 lokationer som sad på hver deres eget net som har benyttet PPTP samtidig med at de kunne printe lokalt.

Løsningen er at man skal sikre sig at IP nettet de lokale steder ikke ligger i samme adresseområde som det de kobler op i mod.

Feks. hvis de har 192.168.0.xxx lokalt så duer det ikke at de så kobler op med PPTP mod en lokation som også benytter 192.168.0.xxx, så skal man feks. have 192.168.1.xxx så er der forskel og så kan Windows klienten finde ud af hvad der er lokalt og hvad der ikke er og er det på plads så vil lokal print virke fint.

Internet trafikken bliver rigtigt nok kørt igennem PPTP tunnelen hvor CISCO løsningen er bedre.

Derfor valgte jeg at benytte VPN routere mod lokationerne og kun PPTP til hjemmearbejdspladser.

Svar: Ekstern (VPN?) adgang til servere for medarbejdere og konsulenter - hvad gør man

Martin Arendtsen — Fri, 17 Jun 2011 13:10:07 GMT

jjn:
De PPTP VPN'er jeg har arbejdet på har desuden haft den svaghed, at når jeg var på VPN'en så kunne jeg ikke surfe lokalt - dvs. min printer, scanner osv fungerede ikke når jeg var på VPN. Det er fordi det er den indbyggede PPTP løsning i Windows der gør det. Det er muligt man kan få klienter, der ikke gør det, men jeg synes det er et problem.

Det er der også andre klienter der gør.
Det er hvad administrator mener der er det mest sikre. (Og at sikre at alt trafik går igennem en centralt sted hvor man kan kontrollere det er mere sikkert end du kan tilgå noget udenom vpn'en som inficere din maskine og derefter de andre maskiner der kan nåes via vpn forbindelsen.)
Men det er sandsynligvis til at konfigurere. (Jeg gjorde det bla. på de førnævnte ASA5510'er)

Svar: Ekstern (VPN?) adgang til servere for medarbejdere og konsulenter - hvad gør man

pvnilsson — Fri, 17 Jun 2011 13:01:00 GMT

he he så kom alle de kloge hoveder.

PPTP har ikke været genstand for sikkerhedsproblemer endnu det er fakta.

Ja det er rigtigt at man skal have antivirus osv som var det interne maskiner når de er koblet op via vpn, det gælder både PPTP og IPSEC/CISCO løsningen.

Man kan overveje at lave et ip-scope i et VLAN kun til VPN klienterne, det vil inddæmme skaderne hvis der skulle komme nogen ind den vej.

Der er nok her i tråden til man burde træffe et valg om det skal være den nemme PPTP eller den mere sikre IPSEC teknologi man vil vælge....nå jeg vil ikke sige mere her.