IP als "ACL" in OpenVPN / kann der Client die IP überschreiben?
-
Moin,
wir hatten ja neulich in der User Group das Thema, dass eine per DHCP verteilte IP keine Sicherheit bietet bzw. in der Firewall Rule "keinen Sinn" macht, sondern lieber ein Subnetz "pro" Berechtigung besser ist.
Aber wie ist das denn beim OpenVPN? Dort kann nur der Server die IPs verteilen oder kann diese auch der Client manipulieren?
Es ist ja generell kein Problem mehrere VPN Server zu konfigurieren, macht aber das Setup sehr kompliziert weil man viele Ports braucht (Multiwan, Fallback,..).
Wie macht ihr das?
Weiß jemand ob man als OpenVPN Client eine Adresse ändern kann? -
@slu said in IP als "ACL" in OpenVPN / kann der Client die IP überschreiben?:
wir hatten ja neulich in der User Group das Thema, dass eine per DHCP verteilte IP keine Sicherheit bietet bzw. in der Firewall Rule "keinen Sinn" macht, sondern lieber ein Subnetz "pro" Berechtigung besser ist.
Sprechen wir lieber von Security (oder Policy) Zones, aber ja. Irgendwelche handgeklöppelten Freigaben auf statische IPs sind halt aus 19xx/200x und sind kein Sicherheitsmerkmal, wenn ein Dummy mit Laptop und Wireshark da MAC und IP mitsniffen kann und sich die dann einfach selbst später aufs Interface klebt.
Aber wie ist das denn beim OpenVPN? Dort kann nur der Server die IPs verteilen oder kann diese auch der Client manipulieren?
Die kann theoretisch auch der Client manipulieren wenn ich recht erinnere. Ist zwar nicht so einfach, aber es sollte/könnte gehen, abhängig von der Serverkonfiguration. Ich meine, wenn der Server an Hand von Zert-CNs die Zuweisung macht, geht es nicht (oder nicht so einfach?) weil er das dann matcht, aber sicher bin ich mir nicht zu 100%.
@slu said in IP als "ACL" in OpenVPN / kann der Client die IP überschreiben?:
Es ist ja generell kein Problem mehrere VPN Server zu konfigurieren, macht aber das Setup sehr kompliziert weil man viele Ports braucht (Multiwan, Fallback,..).
Nö kompliziert ist das gar nicht. Ja, man braucht ggf. 3-4 Ports. Aber das wars. Im Normalfall brauchst du 2-3 VPNs im Business Umfeld:
- User/Kollegen
- Admins
- Contractor / Servicepersonal
#1 Default User/Pass ggf. via LDAP/AD o.ä. mit Zert oder per Radius lokal mit Zert, Zugriff wie normale Nutzer
#2 Same same but different, Zugriff für AdminsWegen #3 müsste man nochmals genauer nachforschen wegen Zert-basierender Zuweisung, aber da dachte ich zumindest, dass ich mich korrekt erinnere, dass CN Zuweisung auf IP mit CSOs nicht einfach manuell änderbar ist. Und dort dann einen minimalistischen Server konfigurieren, ohne DNS und Co, wo Service Leute dann Zugriff auf nur genau die IP haben, die sie warten müssen kombiniert mit der Einwahl via User/Pass + Zert und die User per FreeRadius, was dann mit Radius Attributen eingeschränkt wird bei Zugriffszeit und Dauer ist schon eine recht ordentliche Kombination.
-
@JeGr said in IP als "ACL" in OpenVPN / kann der Client die IP überschreiben?:
Wegen #3 müsste man nochmals genauer nachforschen wegen Zert-basierender Zuweisung, aber da dachte ich zumindest, dass ich mich korrekt erinnere, dass CN Zuweisung auf IP mit CSOs nicht einfach manuell änderbar ist.
Genau diese Frage beschäftigt mich, eigentlich muss das so sein sonst hätten ja die ganzen VPN Dienste auch ein Problem. Hatte zwar mal versucht etwas zu googeln aber keine richtigen Treffer erzielt, vielleicht hatte ich auch die falschen Suchbegriffe.
-
@JeGr said in IP als "ACL" in OpenVPN / kann der Client die IP überschreiben?:
User/Kollegen
Admins
Contractor / ServicepersoUnd gleich die nächste Frage (sorry), nimmst Du da immer je eine eigene CA?
Denn der Benutzer könnte ja einfach den Port ändern und sich so auf den anderen OpenVPN Server verbinden, auch wenn die CSO nicht für diesen aktiv ist.
Ich vermute er bekommt dann eine IP aus dem Pool, habe ich aber nicht probiert.
-
@slu said in IP als "ACL" in OpenVPN / kann der Client die IP überschreiben?:
Und gleich die nächste Frage (sorry), nimmst Du da immer je eine eigene CA?
Natürlich, ansonsten wäre das leicht angreifbar, indem der Client es auf anderen Ports versucht und wenn die gleiche CA verwendet wird, kommt er - rein vom Zert - dann schonmal rein. Das will man nicht :)
