Fragen zu VPN mit IPspec ?

[michaelw]

Ich hab es jetzt nach langem probieren endlich geschafft eine VPN Verbindung mit IPsec zum meinem Draytek Vigor 2910 Router aufzubauen!

Das hat jetzt aber einige neue Fragen aufgeworfen:

1.) Was muss man da tun damit ich die PCs die daheim am Router angeschlossen sich auch unter Windows zu sehen sind? Muss ich da nun noch irgendwie was einrichten oder müsste das eine Funktionalität sein die das VPN-Client Programm anbietet ?
Ich hab Vista drauf und die PCs daheim teils Vista teils XP. An-pingen zumindest kann ich die PCs mit ihrer lokalen IP. Eine eigene Netzwerkverbindung hat mein VPN-CLient nicht eingerichtet aber ich habe zumindest eine lokale IP im Netz daheim.

2.) Das bringt mich gleich zur zweiten Frage: Was ist ein guter und nicht zu teurer IPsec fähiger VPN-Client? Auf der Draytek Homepage gab es ein paar Konfigurationsanleitungen aber der einzige Client der davon noch existierte war http://www.thegreenbow.de .
Den habe ich jetzt mal im Trial Einsatz denn das Draytek eigene VPN Tool ist nämlich ein nicht funktionierender Mist.

3.) Wieviel von der mit 384 KBits recht knappen Upload Bandbreite von daheim aus kostet mich die IPsec Verschlüsselung eigentlich?

[lordpeng]

>Eine eigene Netzwerkverbindung hat mein VPN-CLient nicht eingerichtet
da du die remote rechner anpingen kannst offenbar schon ...

>Was ist ein guter und nicht zu teurer IPsec fähiger VPN-Client?
ncp secure client http://www.ncp.de gehört vermutlich zu den besten third-party vpn clients am markt (das lassen die sich aber auch gut zahlen)

[michaelw]

Naja da hast du nur was falsch verstanden. Mit Netzwerkverbindung meinte ich nur das Computerbildschirm-Symbol das in Windows im Traybereich und im Netzwerkverbindungen Ordner erscheint.
Die meisten anderen VPN CLients erzeugen nämlich extra so eine.

Und wo kann ich den NCP jetzt am besten online kaufen falls ich den will? Ich hab bisher nur http://www.cyprotect.com/main0180.php gefunden wo der Inhalt aber nicht ganz aktuell ist.
--------------------

Und wie kan ich jetzt vorallem auf die Windowsfreigaben daheim zugreifen?
Ich habe es erfolglos mal mit \\Rechnername im Explorer probiert.
So wird es u.a. auch in der Google-Treffer http://www.wintotal.de/Artikel/vpnxp/vpnxp.php gnaz weit unten beschrieben:

Zugriff auf den entfernten Rechner
Am besten sind beide Rechner in der gleichen Arbeitsgruppe. Der entfernte Rechner taucht meist nicht direkt in der Netzwerkumgebung auf, da die dafür notwendigen Broadcast-Daten nicht über VPN übertragen werden. Man kann den entfernten Rechner aber dennoch mit UNC-Pfadangaben über die Adresszeile im Arbeitsplatz / Explorer über \\IPADRESSE bzw. \\IPADRESSE\FREIGABE ansprechen, also z.B. \\192.168.1.11\Dokumente. Alternativ kann auch der Rechnername statt der IP verwendet werden.
Es lassen sich auch Netzwerklaufwerke verbinden. Diese gibt man wieder über UNC-Pfade an.

[preiti]

Wenn es nicht unbedingt IPSec sein muss kommst du vielleicht auch mit OpenVPN weiter. Dazu gibts auch ein Windows-GUI. Ist alles Open Source unter der GPL.

[Air20]

Ich habe es erfolglos mal mit \\Rechnername im Explorer probiert.
-->

\\IPADRESSE bzw. \\IPADRESSE\FREIGABE ansprechen

nur mit namen oder auch mit ip adressen?
sind eh auf den rechnern firewall und co richtig eingestellt oder deaktiviert?

[al]

1.) Was muss man da tun damit ich die PCs die daheim am Router angeschlossen sich auch unter Windows zu sehen sind?

Reden wir von einer Domäne (AD) oder nicht? Ich gehe mal davon aus, daß nicht. Wenn Du unter "zu sehen sind" meinst, daß die Namen automatisch in der Netzwerkumgebung auftauchen, dann müßten die Broadcast-Pakete durch den Tunnel geroutet werden, kann ich mir nicht vorstellen, daß das wer tut. Die einfachste Methode, zu einer funktionierenden NBT-Namensauflösung zu kommen, wäre, die Rechner in der hosts Datei einzutragen.

Wenn's lokal einen NS gibt (AD und so), könnte man auch im Tunnelbetrieb den dortigen NS verwenden, dann funktioniert die NBT-Namensauflösung auch darüber.

/al

AD ... active directory
NBT ... netbios over tcp/ip
NS ... name server

[wagsoul]

Das was der Fragensteller sucht, ist irgend eine komische aber kleine Einstellung, die entweder Broadcasting oder MAC-Adress-Einstellungen betrifft.
Genau weiß ich das leider nicht mehr ...

Dann werden die anderen Rechner im selben Netzwerk auch in der Windows-Netzwerkumgebung angezeigt.

Bei normaler Konfiguration ist IpSec sonst nämlich doch noch eine Wand zwischen dem LAN und den so hinzuverbundenen Rechnern.

[lordpeng]

>Naja da hast du nur was falsch verstanden. Mit Netzwerkverbindung meinte ich nur das Computerbildschirm-Symbol
wozu willst du sie sehen? einen shortcut auf einen unc link kannst dir auch so erstellen ... da musst nix sehen können

wie al schon erwähnt hat, brauchst damit das sauber läuft einen nameserver, der dir das umsetzt, was dann aber unter umständen einen unerwünschten overhead erzeugen kann, ohne AD und NS würd ich auf dieses feature, die hosts zu sehen, pfeiffen, das brauchst ja im normalen lan grundsätzlich auch ned ...

>Und wo kann ich den NCP jetzt am besten online kaufen falls ich den will?
auf der ncp website gibts eine händlerliste *hint* ich würd die preise von us händlern mit preisen von europäischen händlern vergleichen, das letzte mal als ich einen vpn client gekauft hab, war der dollar so niedrig, dass der kauf von einem us händler wesentlich günstiger war, als direkt in europa zu kaufen, da die lieferung ohnehin rein ESD* ist, is das recht unspektakulär

*ESD = elektronische software distribution (lizenz per email oder ähnliches)

[al]

dann müßten die Broadcast-Pakete durch den Tunnel geroutet werden, kann ich mir nicht vorstellen, daß das wer tut.

Ich muß mich insofern korrigieren: habe jetzt bei meiner ZyWall nachgesehen:

Da gibt es tatsächlich eine Option, die diese Broadcasts durch den Tunnel transportiert.

/al

[lordpeng]

eine solche option findet sich sogar in einigen billigen netgear vpn routern, aber das laggt nur (es sei denn man hat halbwegs hohe bandbreiten auf beiden seiten)...

[al]

eine solche option findet sich sogar in einigen billigen netgear vpn routern, aber das laggt nur

Verzeih, wenn ich dieses *spit* Modewort hier hinreichend dämlich finde... NBT-Namensauflösung ist immer eine Wissenschaft für sich und da geht's nie um schnell, sondern immer nur um -- "wie langsam?"

Zurück zur Sache, habe mir das mal unter Wireshark näher angesehen. Z.B. die NBNS Broadcasts werden tatsächlich durchgereicht, was mir aber (auf die Schnelle) abgeht, sind die entfernten BROWSER Broadcasts (das wäre genau jene "hier bin ich" Broadcasts, die meine lokale NetBIOS-Namensliste befüllten). Mit einer entfernten AD-Domäne bekomme ich nach dem Einloggen schon die Namensliste, aber ohne Domäne wird sich da vermutlich nix tun.

Ergo: Namen in die hosts-Datei (oder lmhosts, wenn man da mit den Namen künsteln will) eintragen. Das ist der beste Tip, den man geben kann. Oder einen entfernten DNS verwenden, der diese Namen auflöst. Damit füllt sich zumindest nach dem Ansprechen von Host zu Host die lokale Namensliste. Aber Wunder, daß die Namen von jetzt auf gleich und automagisch in der Liste auftauchen, braucht man sich nicht zu erwarten.

Und eins noch: meine USG-300 mit billigen Netgear Routern vergleichen... Frechheit!

/al

[lordpeng]

>Ergo: Namen in die hosts-Datei (oder lmhosts, wenn man da mit den Namen künsteln will) eintragen

oder alternativ das entsprechende kleingeld für eine appliance auslegen, die das ordentlich macht, hab das letztens mit einer sonicwall gemacht, da läufts pipifein und was mich nochmehr gewundert hat, relativ stabil und performant