Standardní protokoly VPN

[a903user]

Ahoj, pročítám již třetí den různé weby pojednávající o VPN, ale nejsem si příliš jistý výsledkem. Mohl by mi někdo nastínit problematiku protokolů využívaných v různých VPN řešeních?

Mám sám k sobě otázky:
Existují nějaké standardizované protokoly? Tzn. můžu použít např. VPN server OpenVPN a jako VPN klienta router třeba od D-Linku (http://support.dlink.com/emulators/di804hv/vpn.htm)? Platí, že u VPN co řešení to jiný protokol (kde nelze míchat klienty a servery) nebo je to nějak standardizované? Atd... Lze VPN řešení dělit na nějaké skupiny?

Děkuji

[Reklama]

[Ondřej Caletka]

Platí, že u VPN co řešení to jiný protokol (kde nelze míchat klienty a servery) nebo je to nějak standardizované?

Platí spíše první varianta. OpenVPN používá protokol OpenVPN, takže je komaptibilní jen se zařízeními implementujícími OpenVPN protokol.

Standardem pro VPN je IPsec. Bohužel z důvodů nejrůznějších NATů a firewallů je v čisté podobě na dnešním IPv4 internetu prakticky nepoužitelný, takže se používají různé quirky, aby to fungovalo. Část jich je standardizovaná, části jsou součástí proprietárních řešení jako CiscoVPN klient a pod.

Osobně používám výhradně OpenVPN k plné spokojenosti (na CPEčka nahrávám OpenWRT mimo jiné právě kvůli OpenVPN).

[Rhinox]

Rekl bych, ze nejde tak o nakej "openvpn-protokol", jako spis implementaci. A ty muzou byt SSL, IPSec a PPTP. To je sice jakz-takz "standardizovano", jenze kazdej si to vysvetluje po svym. Vysledkem je, ze pak nektere kombinace vpn klientu/serveru jednoduse nejdou, i kdyz podporuji stejnou implementaci.

OpenVPN pouziva jenom SSL jestli se nemylim (klient i servr), routry vetsinou alespon IPSec a PPTP. Nekdy vyjde patch kterej prida jine implementace (treba Netgear SRX5308 mel puvodne jen IPSefc a PPTP, pozdeji pribylo take SSL).

K dotazu: na routrech jsou instalovany VPN-servry, ne klienti. Pochybuju ze se D-Link routr pripoji v klientskem rezimu na OpenVPN servr (jestli si do nej nenainstalujes neco jinyho).

[Lenin POWER!]

Pred 4 mesici jsme instalovali ve velky zakazce na prani zakaznika vsude OpenVPN - stovky instalaci. Mel jsem z tehle technologie trochu vitr jak moc je to spolehlive oproti IPSec na Cisco ale zadny problem s tim nebyl do dnesniho data hlasen s vyjimkou ze drivery do windows nemaji signatury.

Takze openvpn bych se nebal.

[Ondřej Caletka]

OpenVPN pouziva jenom SSL jestli se nemylim (klient i servr)

Ne, OpenVPN používá vlastní protokol postavený nad SSL. Samotné SSL k vytvoření VPN nestačí (oproti samotnému IPsecu, který stačit může, ale stejně se často doplňuje L2TP, PPTP a podobnými šílenostmi), taky je dělané k jinému účelu.

Výhodou OpenVPN je, že „prostě funguje“, protože používá právě jediný UDP, nebo v horším případě TCP stream, tedy něco, co funguje i s nejrůznějšími NATy a firewally.

[Reklama]

[James_Scott]

Taky doporučuji OpenVPN, je to bezpečné a spolehlivé. V dnešním světě ale kdejakej kravaťák potřebuje pracovat na smartphonu nebo na tabletu (iOS,Android) - tady nastává problém, není žádný oficiální klient. Bez rootu / jailbraku se nečapete..

[r00t]

Obecne platí, že VPN by som zhrnul do dvoch kategórií IPsec a SSL. Pokial potrebuješ VPN typu site-to-site čiže spojiť typicky dve a viac LAN cez firewally alebo obyčajné routre, tak dá sa povedať že každý normálny box podporuje IPsec. Čiže nie je problém prepájať boxy rôznych vendorov. Mám skúsenosti so vzájomným prepájaním SonicWALL / CISCO / Juniper / Fortigate na úrovni IPsec a úplne bez problémov. To isté platí ak chceš s vyššie menovanými boxami prepojiť napr. linuxový box, kde je podpora IPsec cez IPsec Tools prípadne Open SWAN na slušnej úrovni a spojiť to ide jednoducho.

Ak chceš VPN pre užívateľov, tu by som išiel skôr do riešenia na úrovni SSL a OpenVPN je jednoznačná voľba. Ak máš slušný značkový box (SonicWALL, Fortigate, Checkpoint) každý z nich má vlastné riešenie cez SSL, dokonca bez nutnosti inštalácie akéhokoľvek klienta - stačí browser...
Dnes už nie je problém použiť OpenVPN aj na Androide alebo iOSe, klienti už sú a fungujú veľmi dobre. SSL klienta pre Android a iOS má aj SonicWALL a tiež funguje skvele.
Krása SSL VPN je v tom, že keď ju pustíš na porte 443 a cez TCP tak prelezie dovolím si tvrdiť cez 100% firewallov, lebo traffic sa tvári ako normálny HTTPS traffic.

Ak chceš trochu komplikácií a chceš si zageekovať, tak si na linuxovom boxe urob L2TP over IPsec. Konfigurácia serveru nie je úplne triviálna, ale je to celkom pekná zábavka. L2TP over IPsec nemá problém s prelezením cez NAT a funguje tiež dobre. Výhodou L2TP over IPsec je, že Linux, Mac OS X, Windows, Android aj iOS ho podporujú out of the box, čiže konfigurácia funguje bez nutnosti inštalácie akéhokoľvek klienta.

[r00t]

Taky doporučuji OpenVPN, je to bezpečné a spolehlivé. V dnešním světě ale kdejakej kravaťák potřebuje pracovat na smartphonu nebo na tabletu (iOS,Android) - tady nastává problém, není žádný oficiální klient. Bez rootu / jailbraku se nečapete..

toto už dávno neplatí, oficiálny OpenVPN klient už je na Android aj iOS bez nutnosti rootu/jailbrake - používam denne na piatich zariadeniach 

[mhepp]

Hele, ale tady pozor!!!

Oficiální klienti pro mobilní platformy podporují pouze TUN zařízení, které se prostě nehodí pro každé nasazení...

Jsem správce VPN serveru pro cca 30 000 klientů a toto je dost často vyzdvihovaný nedostatek. VPN máme proto, že potřebujeme dostat našim klientům veřejnou IP adresu z našeho rozsahu a zároveň potřebujeme mít dohledatelnou vazbu IP-klient-čas (zákony...). TUN zařízení je pro nás nepoužitelné (sežere 4 adresy na klienta), TAP není podporován na mobilních platformách (bez root/jailbreak).

Dobré řešení pro tyto situace bylo PPTP, které má autentizaci postavenou na MSCHAPv2, ale poté, co jsme si ověřili jeho lousknutelnost, jsme museli šáhnout po jednoduchém řešení bez nezabezpečeného MSCHAPv2, což je v praxi pouze OpenVPN.

Taky doporučuji OpenVPN, je to bezpečné a spolehlivé. V dnešním světě ale kdejakej kravaťák potřebuje pracovat na smartphonu nebo na tabletu (iOS,Android) - tady nastává problém, není žádný oficiální klient. Bez rootu / jailbraku se nečapete..

toto už dávno neplatí, oficiálny OpenVPN klient už je na Android aj iOS bez nutnosti rootu/jailbrake - používam denne na piatich zariadeniach 

[Rhinox]

OpenVPN pouziva jenom SSL jestli se nemylim (klient i servr)

Ne, OpenVPN používá vlastní protokol postavený nad SSL.

Ja mluvil o implementaci, ne protokolu.

openvpn.net:
"...There are three major families of VPN implementations in wide usage today: SSL, IPSec, and PPTP. OpenVPN is an SSL VPN and as such is not compatible with IPSec, L2TP, or PPTP..."

[mikulič]

Potíž OpenVPN je s její "prostupností" skrz aplikační kontroly na firewallech v různých sítích, protože OpenVPN není HTTPS. Z toho důvodu je nejlepší SSL VPN, která projde prakticky všude. Ještě horší z hlediska "prostupnosti" přes firewall je IPSec, vč. tunelovaného IPSec (NAT-T) a nejhorší prostupnost má PPTP VPN.

[Ondřej Caletka]

TUN zařízení je pro nás nepoužitelné (sežere 4 adresy na klienta)

Tohle taky není úplně pravda. Čtyři adresy na klienta se dají vypnout, většinou nejsou potřeba. Vlastně tam byly jen kvůli windowsímu klientovi, který neuměl PtP zařízení, od verze 8.2 už to umí. Stačí přepínač --topology subnet.

Ale uznávám, že nepodpora TAP zařízení na mobilech je nepříjemná.

[Ondřej Caletka]

Krása SSL VPN je v tom, že keď ju pustíš na porte 443 a cez TCP tak prelezie dovolím si tvrdiť cez 100% firewallov, lebo traffic sa tvári ako normálny HTTPS traffic.

Až na to, že po prvním přiblížení se ke 100% využití linky VPN fungovat přestane kvůli známému problému TCP-over-TCP.

[xing]

Krása SSL VPN je v tom, že keď ju pustíš na porte 443 a cez TCP tak prelezie dovolím si tvrdiť cez 100% firewallov, lebo traffic sa tvári ako normálny HTTPS traffic.

Až na to, že po prvním přiblížení se ke 100% využití linky VPN fungovat přestane kvůli známému problému TCP-over-TCP.

to je minoritní záležitost v porovnání s tím, že jiné typy vpn (ipsec, pptp, openvpn) neprojdou skrz firewall vůbec 

[M.]

Dobré řešení pro tyto situace bylo PPTP, které má autentizaci postavenou na MSCHAPv2, ale poté, co jsme si ověřili jeho lousknutelnost, jsme museli šáhnout po jednoduchém řešení bez nezabezpečeného MSCHAPv2, což je v praxi pouze OpenVPN.

Ano, pro PPTP, L2TP (bez IPsec obálky), SSTP (s vypnutou TLS obálkou) platí, že jsou při použití MSCHAPv1/2 stoprocentně zlomitelně.
Proto se snad holé MSCHAP nepoužívá a je k tomu určen EAP, takže něco jako EAP-TLS/TTLS, PEAP, ... kde ten problém není. Jiná věc je, jak které implementace to ne/podporují.