Hallo,
ich suche eine möglichst sichere Möglichkeit, um von unterwegs aus mit
einem Smartphone oder einem Tablelt auf mein LAN bzw. via Browser auf
eine bestimmte IP in meinem LAN zugreifen zu können.
Ich weiß was ein VPN ist und habe von früher auch noch eine gewisse
Erfahrung im Bereich Netzwerke und Übertragungsprotokolle. Allerdings
bin ich inzwischen etwas raus aus dem Thema und daher nicht so richtig
auf dem laufenden, was die Sicherheit der einzelnen Protokolle (PPTP,
IPSEC, etc.) angeht bzw. welche davon heute überhaupt noch verwendet
werden. Neben dem VPN-Router benötige ich ja vermutlich auch auf dem
mobilen Gerät einen VPN-Client, der in der Lage ist, eine sichere
Verbindung zu meinem VPN herzustellen. Bei iOS bin ich mir aufgrund der
OS-Restriktionen nicht sicher, in wie weit eine nicht im OS enthaltene
App dazu in der Lage ist bzw. welche Protokolle von Apple implementiert
sind. Bei Android kotzen mich die proprietären ROMs in Verbindung mit
der Haltung der Hersteller, Updates bereits kurze Zeit nach dem Kauf zu
verweigern, richtig an.
Wie würdet ihr einen möglichst sicheren Zugang von einem Gerät mit
Android oder iOS realisieren? Ich suche eine Lösung, bei der die
Sicherheit meines LANs im Vordergrund steht und wo ich für das VPN bzw.
den Router auch noch einige Zeit Sicherheits-Updates erhalte.
Nach kurzer Recherche schwirren in meinem Kopf Hersteller wie AVM,
Mikrotik und LANCOM herum, allerdings ohne eine konrekte Vorstellung
davon zu haben, wie genau ich mein Vorhaben am besten umsetzen kann.
Viele Grüße
Fred
wenn du eh per Webbrowser nur zugreifst, dann kannst du doch https
machen, sogar mit client-zertfifikat wenn man will.
Als Gegenstelle einen PC oder Raspi der dann die Verbindung an die
richtige IP weiterleitet. (bei Apache mod-proxy)
AVM verwendet in den Fritzboxen IPSEC, mit in neueren Firmwares stark
vereinfachter Konfiguration. Mit Android funktionierte das auch, mit
Apple laut AVM ebenso, aber da habe ich es nicht getestet.
Der Haken bei allen solchen Verfahren: Sie sind nicht sicherer als das
Mobilgerät, und die darf man getrost als unsicher betrachten.
Insbesondere wenn man keine Lust hat, jedes Mal wenn die VPN aufgebaut
ist ein Password/Key einzutippen. Wenn also die VPN automatisch
aufgebaut wird.
Fred schrieb:> Nach kurzer Recherche schwirren in meinem Kopf Hersteller wie AVM,> Mikrotik und LANCOM herum
Lancom ist schon mal keine schlechte Idee. Der Support ist top und
Updates gibt es auch für ältere Geräte ziemlich lange. Ich verwende bei
Geschäftskunden seit den 90ern ausschließlich Lancom-Router, weil es
damit nur selten Probleme gibt. Ich habe auch VPN-Zugänge für Android
und iOS im praktischen Einsatz. Im Prinzip ist das nichts weiter als
normales IPSec mit zusätzlichem XAUTH, die Config ist für beide
identisch. Allerdings muß ich hier zustimmen:
A. K. schrieb:> Der Haken bei allen solchen Verfahren: Sie sind nicht sicherer als das> Mobilgerät, und die darf man getrost als unsicher betrachten.
Bei dem Gedanken, daß Google oder Apple Zugriff auf derart sensible
Daten haben, ist mir unwohl. Ich weise auch jeden Kunden, der unbedingt
einen Zugang für sein Tablet oder Smartphone haben will, explizit darauf
hin. Die Eingabe der Passphrasen von Hand ist zwar theoretisch möglich,
aber bei sicheren, d.h. langen und komplexen Schlüsseln doch ziemlich
anstrengend.
Icke ®. schrieb:> Lancom ist schon mal keine schlechte Idee. Der Support ist top und> Updates gibt es auch für ältere Geräte ziemlich lange.
Das stimmt.
Dafür ist die Konfigurationsoberfläche, vor allem im Bereich VPN,
grauenhaft. Ohne die Wizards bist Du verloren, und die Wizards decken
nur das Neu Anlegen einer Verbindung ab. Ändern musst Du von Hand machen
und vor allem Löschen. Das Löschen von Zertifikaten der Gegenstelle geht
z.B. nur über die Kommandozeile.
Wenn man also nicht schon x Lancom-Geräte rumstehen hat und sich über
die Jahre mit den Unzulänglichkeiten der Oberfläche abgefunden hat, kann
ich nicht zu Lancom raten.
Schau Dir z.B. mal die Zyxel Zywalls an. Die sind zwar nicht so mächtig
wie die Lancoms, aber haben dafür ne übersichtliche und gut
strukturierte Oberfläche.
Gerd E. schrieb:> Dafür ist die Konfigurationsoberfläche, vor allem im Bereich VPN,> grauenhaft. Ohne die Wizards bist Du verloren, und die Wizards decken> nur das Neu Anlegen einer Verbindung ab. Ändern musst Du von Hand machen> und vor allem Löschen. Das Löschen von Zertifikaten der Gegenstelle geht> z.B. nur über die Kommandozeile.
Jaja, das Thema hatten wir schon und ich teile deine Meinung keineswegs.
Mit den Lantools ist die Config wesentlich einfacher und übersichtlicher
als bei allen anderen Routern, die ich kenne. Natürlich wird der
Normaluser u.U. von den Features erschlagen, aber das sind nunmal
Profigeräte.
Ist bei bintec nicht anders. Mit Fritzens ist eine VPN einfach und
schnell eingerichtet, aber sobald man ausserhalb des dort vorgesehenen
Szenarios landet ist Schluss. Mit bintec flucht man etwas länger bis der
Kram glatt läuft, hat aber viele Möglichkeiten. Die man im
professionellen Umfeld eben auch benötigt.
Fred schrieb:> ich suche eine möglichst sichere Möglichkeit, um von unterwegs aus mit> einem Smartphone oder einem Tablelt auf mein LAN bzw. via Browser auf> eine bestimmte IP in meinem LAN zugreifen zu können.
Wenn Du ein WebService oder eine Website von "außen" zugänglich machen
möchtest und dabei Dein LAN hochsicher haben willst, dann darf der
WebService/die Website nicht im LAN sein.
Du Solltest Dir eine DMZ aufbauen und den Webservice/die Website dorthin
verlegen.
Im zweiten Schritt baust Du Dir einen VPN Gateway (IPSEC) auf und
routest die Verbindungen ins DMZ auf HOST Ebene und nicht auf Netz
Ebene.
Sowas kannst Du schnell unter Linux mit IPtables/IPScripts aufbauen.
Um vom LAN auf die DMZ zu kommen, könntest Du Dir ein NAT Gateway
aufbauen.
So wärst Du relativ sicher.
Das äußere Gateway würde ich mit Gentoo erstellen und alles schön in den
Kernel kompilieren.
Oliver Stellebaum schrieb:> Fritzbox kann leider kein IPv6.> Die Begründung von AVM ist auch ziemlich dürftig.
Komisch. Die Fritzboxen waren so ziemlich die ersten Heimrouter mit IPv6
Unterstützung.
Was ich Dir empfehlen kann, ist Tosibox
(http://old.tosibox.com/de/produkte/ )
www.tosibox.com (englisch).
Plug and play.
Absolut einfach und funktioniert 1a und man hat auch keine Sorgen mehr
mit dynamischen-IPs des ISP).
kostet ca. 650,00 (Look+Key+1xSmartphone/Tabletzugriff).
Bei Fragen einfach fragen ;)
