3 kurze Verständnisfragen zu VPN

[derlaie]

Hallo zusammen,

ich habe einen funktionierenden VPN Server auf meiner DS eingerichtet und auch Clientseitig funktionieren die Zugriffe. Jetzt hätte ich 3 kurze Fragen, bevor ich mir durch mein weiteres vorgehen ein riesen Ei lege....


1.) Bei funktionierendem VPN kann ich doch eigentlich alle zusätzlichen Portfreigaben zur direkten Kommunikation mit Diensten der DS aus meinem Router wieder entfernen, oder? Ausgenommen davon sehe ich die PhotoStation, die auch teilweise durch Freunde und bekannte genutzt wird.

2.) Ich nehme an die Ports zum Mailserver müssen offen bleiben, da sonst ja zumindest kein Mailempfang mehr möglich ist, richtig? Oder kann man den Mailverkehr splitten. Also Port für Mailempfang offen lassen und Clients zum abholen der Mails per VPN tunneln?

3.) Ich war erstaunt, dass ich heute per iphone direkt per UMTS über VPN die DS mit ihrer lokalen IP ansprechen konnte, aber jetzt grad mit meinem Laptop aus einem anderen Netz heraus per VPN nur über die VPN-IP der DS mit ihr reden kann. Liegt das daran das sich der Laptop innerhalb eines Netzes befindet und nicht wie das Smartphone heut Mittag "direkt" am Internet hängt?

4.) Ist es ratsam bei VPN doch wieder die Firewall der DS in Betrieb zu nehmen, da bei "geknackter" VPN ja die DS offen wie ne Rose in der Mittagssonne daliegt?



Als nächstes werde ich mich dann mal mit openVPN beschäftigen, soll ja doch sicherheitstechnisch noch Vorteile haben....

Vielen Dank und Gruß

Stefan

 

[joku]

Hallo,
1.) Ja, ausser Port 80 für die PhotoStation
2.) Ja, nur SMTP Port 25, POP und IMAP geht auch im VPN
3.) ClientNetz ungleich TransportNetz ungleich HeimNetz
4.) mit VPN bist Du schon auf der DS, in Deinem Netz

Gruß Jo

 

[derlaie]

Hi Jo,
und vielen Dank für die prompten Antworten!

1) Da ich die photostation nur per https verfügbar machen will (trotz eigenem Kontensystem der PhotoStation) wird das wohl 443 sein, wenn ich mich recht erinnere...

2) Also nur 25 damit der Mailserver mails empfangen kann?

3) Die Lösung bei mir war, dass ich beim Mac unter VPN weiter Optionen noch die Option gesamten Verkehr über VPN-verbindung senden aktivieren musste... Eigentlich könnte ich es ja auch lassen, aber so habe ich den Vorteil, dass ich auf meine Fritzbox komme, OHNE dass ich die Verwaltung ansich über das Internet erreichbar machen muss!
Oder gibt es eine Möglichkeit quasi über die VPN-IP der DS hinweg die fritzbox mit ihrer lokalen IP anzusprechen? Irgendwie nach dem Muster http://V.P.N.IP/fri.tz.lokal.IP:PORT ??? Denn jetzt surfe ich ja quasi auch über mein Heimnetz, sprich download nach hause - upload in den VPN Tunnel - download hier am rechner. Richtig verstanden?

4) Würde also heißen, falls ich noch eine Firewall dazwischen haben möchte, müsste ich den VPN Server auf dem Router laufen lassen? Gibt es Erfahrungswerte ob es besser/sicherer/verläßlicher ist die Firtzbox (7390) oder die DS als VPN Server laufen zu lassen?

Vielen Dank & Gruß

Stefan

 

[joku]

Hallo Stefan,

1) Da ich die photostation nur per https verfügbar machen will (trotz eigenem Kontensystem der PhotoStation) wird das wohl 443 sein, wenn ich mich recht erinnere...

Oder so

2) Also nur 25 damit der Mailserver mails empfangen kann?

Genau und auch senden, wenn es sein soll.

3)
Oder gibt es eine Möglichkeit quasi über die VPN-IP der DS hinweg die fritzbox mit ihrer lokalen IP anzusprechen?

es sollte alles via VPN wie im Heimnetz zu erreichen sein.

4) Würde also heißen, falls ich noch eine Firewall dazwischen haben möchte, müsste ich den VPN Server auf dem Router laufen lassen? Gibt es Erfahrungswerte ob es besser/sicherer/verläßlicher ist die Firtzbox (7390) oder die DS als VPN Server laufen zu lassen?

eine Firewall ist aussreichen um Dein Netz zu schützen.
VPN in der 7390 ist IPSec, ist auch nicht schlecht, die Einrichtung ist etwas hmm,
soll ja mal über die FritzBox Oberfläche gehen
IPSec ist besser/sicherer/verläßlicher, denke ich, aber auch die anderen sind Benutzbar

Gruß Jo

 

[derlaie]

es sollte alles via VPN wie im Heimnetz zu erreichen sein.

Ja, aber das war ja jetzt erst der Fall, nachdem ich ALLE Daten über die VPN abwickeln lasse. Vorher wurden Anfragen an lokale IP´s nicht nach außen geschickt, sondern nur solche an VPN-IPs. Aber wie gesagt, wenn ich alle Daten übers VPN schicke geht ja auch ALLES über meine DS zu hause und dann per VPN zu mir.... Das macht bei eventuellen Downloads doch gar keinen Sinn, oder habe ich hier einen Denkfehler?

eine Firewall ist aussreichen um Dein Netz zu schützen.

OK, hab mich missverständlich ausgedrückt. Das wäre dann für eine VPN Verbindung die einzige Firewall, die Fritzbox ist ja bei VPN außen vor...

VPN in der 7390 ist IPSec, ist auch nicht schlecht, die Einrichtung ist etwas hmm,
soll ja mal über die FritzBox Oberfläche gehen
IPSec ist besser/sicherer/verläßlicher, denke ich, aber auch die anderen sind Benutzbar

Gruß Jo

Werde mir das mal anschauen, zur Zeit geht ja nur eine Configdatei raufzuladen

Danke & Gruß

Stefan

 

[joku]

Ja, aber das war ja jetzt erst der Fall, nachdem ich ALLE Daten über die VPN abwickeln lasse.

alle Daten, bedeutet auch die Anfragen die sonst von Client direkt in "Internet" gehen,
auch durch den Tunnel müssen.

Das wäre dann für eine VPN Verbindung die einzige Firewall, die Fritzbox ist ja bei VPN außen vor...

Die FritzBox ist immer der Schutz zwischen Internet und dem Heimnetz.

Werde mir das mal anschauen, zur Zeit geht ja nur eine Configdatei raufzuladen

Ja, mit einen Editor oder dem Tool erstellen
Und viele Clients haben den VPN Client nicht , also extra installieren.
Richte alle drei Varianten mal ein, IPSec, PPTP und OpenVPN , schaden kann es nicht
Gute Passwörter sind wichtig, immer

Gruß Jo