Moin,
ich hoffe ihr könnt mir helfen. Ich suche einen VPN Router um unseren
Server mit mehreren Standorten zu verbinden ähnlich der LAN-LAN kopplung
von AVM.
Insgesamt müssen aktuell 10 Standort miteinander verbunden werden und es
werden noch mehr. Gleichzeitig sollen mobile Endgeräte via VPN auf das
Netzwerk zugreifen können.
Das Gerät soll selbst nicht als Modem fungieren sondern wirklich nur das
VPN bereitstellen. Richtig genial wäre es, wenn die Authentifizierung
für die VPN Verbindung mit der Active Directory gekoppelt werden kann.
Ich hoffe, dass ihr da ein paar Produktempfehlungen für mich habt.
Preislich habe ich mir so bis zu 400€ vorgestellt.
Wenn das mit der AD schwer wird, ist das schade, aber macht dann auch
nichts.
Wichtig ist wirklich eine gute, stabile und durchsatzstarke VPN
Verbinung zwischen den Standorten und den Mobilgeräten.
Was ich bisher gefunden habe ist folgendes Gerät:
https://www.linksys.com/de/p/P-LRT224/
Von von mir aus, sieht der ganz gut aus, er hat nur keine AD Anbindung.
Schade, aber OK,... aber vielleicht habt ihr bessere Vorschläge, kennt
das Gerät und könnt mir was dazu sagen usw.
Ich hoffe auf eure Meinungen und danke vielmals für jede Hilfe.
Wenn du etwas willst, das wirklich funktioniert, kann ich nur eine
Sophos SG (nicht XG!) mit den entsprechenden RED Devices für die
Aussenstellen empfehlen.
Allerdings reichen da deine 400€ nicht.
Holger schrieb:> mehreren Standorten zu verbinden ähnlich der LAN-> LAN kopplung von AVM.
Genau die können das! Du kannst mehrere vpn pro Router eintragen. Wenn
das AVM-logo stört, mach einen Sticker drüber.
Danke für eure Antworten!
Reinhard S. schrieb:> Gibt es einen zentralen Standort, zu dem sich alle verbinden, oder> kann/soll da auch jeder mit jedem?
Jeder soll nur mit dem Netz des Servers verbunden sein. Mehr nicht. Also
alles soll Zentral zusammen laufen.
Guest schrieb:> Wenn du etwas willst, das wirklich funktioniert, kann ich nur eine> Sophos SG (nicht XG!) mit den entsprechenden RED Devices für die> Aussenstellen empfehlen.>> Allerdings reichen da deine 400€ nicht.
An die hatte ich auch schon gedacht, da ist aber wirklich der Preis
recht hoch. Wir sind ein gemeinnütziger Verein und betreuen Kinder.
Leider wirft der Staat und die Spenden nicht so viel ab, dass wir uns
eine richtig große gute Infrastruktur leisten können.
Elektronigger schrieb:> Genau die können das! Du kannst mehrere vpn pro Router eintragen. Wenn> das AVM-logo stört, mach einen Sticker drüber.
Aktuell sind die Standorte mit den Fritzboxen verbunden. Aber die
Performence lässt stark nach. Zudem AVM nur 8 Verbindungen garantiert.
Aktuell sind es 9 + X Endgeräte, da wird es manchmal problematisch.
Hallo.
Mein Tipp wäre auch ubnt. Der neue Edgerouter 6 ca 240€. Der neue 4er
ist auch gut aber kaum zu bekommen.
Der hat dann aber als WAN nur Ethernet und kein eingebautes DSL Modem.
Die Frage ist welchen Durchsatz muss die Zentrale schaffen und welche
Art von VPN ist gewünscht (SSL oder IPSec).
AVM macht IPSec aber schafft niemals 100MBit.
SSL VPN wird zunehmend von den Firmen eingesetzt aber hat
Protokolloverhead. Also für site-to-site eher nicht so dolle.
OpenVPN 8(zB in pfsense) würde auch auf einem "normalen" PC mit zwei
Netzwerkkarten laufen und schafft damit richtigen Durchsatz (GBit).
Martin
Holger schrieb:> An die hatte ich auch schon gedacht, da ist aber wirklich der Preis> recht hoch. Wir sind ein gemeinnütziger Verein und betreuen Kinder.> Leider wirft der Staat und die Spenden nicht so viel ab, dass wir uns> eine richtig große gute Infrastruktur leisten können.
Nimm mal mit einem Sophos Distributor in deiner Nähe Kontakt auf.
Als NPO oder EDU gilt die offizielle Preisliste nicht.
Sollte bei Unifi sogar noch günstiger möglich sein, mit dem Unifi
Security Gateway. Wobei ich nichts zur maximalen Anzahl Verbindungen
gefunden habe, aber denke wenn es eine sehr kleine Zahl wäre würden sie
es irgendwo hinschreiben.
EdgeRouter hat natürlich weitaus mehr Einstellungsmöglichkeiten, und
generell gilt bei US Produkten: eventuell mit staatlich zertifizierter
Backdoor.
https://help.ubnt.com/hc/en-us/articles/360002426234-UniFi-Configuring-Site-to-Site-VPN-on-USG
Unter 400€ pro Stück liegt beispielsweise der Bintec RS353. Die setzen
wir betrieblich mit IPsec für Standortverbindung ein und sie
funktionieren zuverlässig. Einen mobilen Client gibts auch, den kenne
ich aber nicht selbst.
Wenn es günstig sein soll: Ich habe privat unlängst eine OpenVPN
Kopplung mit einem Mikrotik-Router durchgeführt, mit einem RasPi auf der
anderen Seite. IPsec kann er auch, OpenVPN ist aber im NAT-Bereich
hinter einem Zugangsrouter angenehmer. Die liegen teils weit unter 100€.
Auch hier liegt mir keine Erfahrung mit Mobilgeräten vor,
OpenVPN-Lösungen gibts aber. Eine feste IP ist bei OpenVPN nicht nötig,
der Server kann per Name angesprochen werden (der Server sitzt bei mir
hinter normalem DSL ohne feste IP).
Langzeiterfahrungen mit Mikrotik liegen mir noch nicht vor, OpenVPN
macht der nur über TCP, nicht UDP. Generell betrachtet ist TCP über TCP
nicht notwendigerweise die beste Strategie.
AD ist m.W. nicht vorgesehen. Zertifikate oder Key.
Martin schrieb:> Mein Tipp wäre auch ubnt. Der neue Edgerouter 6 ca 240€. Der neue 4er> ist auch gut aber kaum zu bekommen.> Der hat dann aber als WAN nur Ethernet und kein eingebautes DSL Modem.> Die Frage ist welchen Durchsatz muss die Zentrale schaffen und welche> Art von VPN ist gewünscht (SSL oder IPSec).> AVM macht IPSec aber schafft niemals 100MBit.> SSL VPN wird zunehmend von den Firmen eingesetzt aber hat> Protokolloverhead. Also für site-to-site eher nicht so dolle.> OpenVPN 8(zB in pfsense) würde auch auf einem "normalen" PC mit zwei> Netzwerkkarten laufen und schafft damit richtigen Durchsatz (GBit).
WAN als Ethernet macht mir nichts, ein Modem ist ja vorhanden.
100 MBit sollten die auf jeden Fall schaffen, damit unser Upload gut
genutzt wird vom Server.
Als Site-to-Site wollte ich weiterhin IPSec einsetzen. Für die
Mobilgeräte würde ich am liebsten die Windows Boardmittel nutzen können
(Bequemlichkeit für die Anwender bei ggf. Heimarbeit usw.), aber ein
eigener Client macht auch nichts.
Von UniFi habe ich schon viel gehört aber eher im Bezug auf Meshed WLAN.
Werde ich mir auf jeden Fall genauer ansehen! Soweit ich das sehe können
die sehr viel was wir brauchen für einen erschwinglichen Preis.
Guest schrieb:> Nimm mal mit einem Sophos Distributor in deiner Nähe Kontakt auf.> Als NPO oder EDU gilt die offizielle Preisliste nicht.
Ich werde es mal versuchen, vielleicht ist das ja wie bei MS Statt 260€
zahlen wir auch knapp 80€ für eine Windows Lizenz dank EDU Status.
Ich hab da noch eine Idee inkl. Frage, wie sieht es mit dem internen VPN
Server vom MS Server aus? Vielleicht macht es ja sinn, einen Server in
der Hyper-V zu installieren und den als VPN Server für die mobilen
Geräte zu nutzen, dann könnte ich auch die AD verwenden. Wie kommt die
mit ca. 30-40 Verbindungen gleichzeitig zurecht (Internet-Bandbreite
jetzt mal außen vor gelassen)?
So würde sich das Problem theoretisch schon mal erledigen und ich muss
mich nur noch auf eine vernünftige Site-to-Site Lösung kümmern.
Holger schrieb:> Frage, wie sieht es mit dem internen VPN Server vom MS Server aus?
Du kannst das Remotedesktop Gateway nutzen und hast damit auch
AD-Integration:
https://technet.microsoft.com/de-de/library/hh708743.aspx
Sofern die Authentifizierung aber nur mit Username/Kennwort erfolgt, ist
das nicht besonders sicher. Wer eine gültige Kombi kennt, kommt ohne
weitere Hürden rein.
Holger schrieb:> Elektronigger schrieb:>> Genau die können das! Du kannst mehrere vpn pro Router eintragen. Wenn>> das AVM-logo stört, mach einen Sticker drüber.>> Aktuell sind die Standorte mit den Fritzboxen verbunden. Aber die> Performence lässt stark nach. Zudem AVM nur 8 Verbindungen garantiert.> Aktuell sind es 9 + X Endgeräte, da wird es manchmal problematisch.
Man kann auch die Außenstellen weiterhin mit einer Fritzbox ausstatten
und den zentralen Server mit einer besseren Hardware. In diesem Fall
sollte das ausreichend sein.
Ein "normaler" Computer mit zwei Netzwerkkarten und Linux kann
das(Server) bereits mit Boardmitteln, sofern der Administrator was von
seinem Handwerk versteht.
Allerdings:
Billig, Schnell und Idiotensicher gibt es nicht zusammen. Passen immer
nur zwei von den drei Wünschen zusammen.
Martin schrieb:> OpenVPN 8(zB in pfsense) würde auch auf einem "normalen" PC mit zwei> Netzwerkkarten laufen und schafft damit richtigen Durchsatz (GBit).
nur wenn der Prozessor die Verschlüsselung in Hardware unterstützt. Die
ganz billigen CPUs können das teilweise nicht.
vergiss windows hyper-v und vergiss windows vpn.
wenn es billig sein soll, kiste mit pfsense - leistungund durchsatz
skaliert mit der hardware darunter, läuft bei mir seit jahren 100%
stabil mit ssl site to site vpn.
ansonsten gebraucht fortinet firewalls ab 60D auf ebay. der buchstabe
hinten gibt die generation an und die zahl ist die leistungsklasse.
unter 60 würde ich nicht gehen und unter D auch nicht.
da geht auch client to site ssl oder ipsec vpn mit AD integration oder
auch radius oder TACACS+.
Schreiber schrieb:> nur wenn der Prozessor die Verschlüsselung in Hardware unterstützt. Die> ganz billigen CPUs können das teilweise nicht.
Wobei das bei einem Stern allenfalls in der Zentrale interessiert, in
der alle VPNs auflaufen. Eine einfache VPN schafft auch der Prozessor
ohne Hardware-Unterstützung. Und mehr Bits/s, als die dort
angeschlossene Leitung hergibt, muss auch der zentrale Knoten nicht
können.
Bei Hardware-Support sollte man auch darauf achten, wofür der jeweils
gilt. Da kann es schon mal sein, dass IPsec über Hardware geht, manche
anderen Protokolle aber über Software.
Icke ®. schrieb:> Sofern die Authentifizierung aber nur mit Username/Kennwort erfolgt, ist> das nicht besonders sicher. Wer eine gültige Kombi kennt, kommt ohne> weitere Hürden rein.
Die Nutzer selbst kommen nur bei bedarf ran bei dieser Methode. Da bin
ich mit der Planung aber noch nicht ganz fertig.
Schreiber schrieb:> Man kann auch die Außenstellen weiterhin mit einer Fritzbox ausstatten> und den zentralen Server mit einer besseren Hardware. In diesem Fall> sollte das ausreichend sein.
Hatte ich auch schon drüber nachgedacht, aber ich weiß nicht ob sich AVM
da vielleicht wie Apple benimmt und die Verbindung dann vielleicht nicht
akzeptiert. Das könnte man zumindest für den Anfang versuchen. Wenn es
klappt, hat man Geld gespart, wenn nicht, muss man halt dazu kaufen. Ist
zumindest eine Option. Da die Zweigstellen max. 10 Rechner haben ist das
vielleicht ganz sinnvoll.
> Ein "normaler" Computer mit zwei Netzwerkkarten und Linux kann> das(Server) bereits mit Boardmitteln, sofern der Administrator was von> seinem Handwerk versteht.
Einen Computer haben wir aber nicht über und dann einen PC kaufen der
auch noch mehr Strom braucht, wärme und Lärm macht ist dann vielleicht
nicht ganz angemessen sofern man sich in dem Preissegment bewegt finde
ich.
Unser Server hat zwar 2 NICs und eine recht starke CPU aber der soll in
Zukunft noch andere Aufgaben erledigen.
> Allerdings:> Billig, Schnell und Idiotensicher gibt es nicht zusammen. Passen immer> nur zwei von den drei Wünschen zusammen.
Da stimme ich dir zu. Trotzdem kann ich nicht mehr ausgeben weil mein
Budget nicht mehr hergibt.
Ich danke erstmal sehr für die guten Tips und Ideen. Ich werde mich mal
näher mit dem UbiQuitti (UniFi) auseinandersetzen, denn ich denke die
könnten noch andere Probleme bei uns lösen zu einem akzeptablen Preis.
Holger schrieb:>> Allerdings:>> Billig, Schnell und Idiotensicher gibt es nicht zusammen. Passen immer>> nur zwei von den drei Wünschen zusammen.> Da stimme ich dir zu. Trotzdem kann ich nicht mehr ausgeben weil mein> Budget nicht mehr hergibt.
Da muss man halt das eine dem anderen anpassen.
Holger schrieb:> Hatte ich auch schon drüber nachgedacht, aber ich weiß nicht ob sich AVM> da vielleicht wie Apple benimmt und die Verbindung dann vielleicht nicht> akzeptiert. Das könnte man zumindest für den Anfang versuchen.
ist problemlos. IPsec wird unterstützt, hatte damit auch noch nie
Probleme.
OpenVPN wird NICHT unterstützt
Mehr dazu:
https://avm.de/service/vpn/tipps-tricks/fritzbox-mit-einem-firmen-vpn-verbinden/
Holger schrieb:> Einen Computer haben wir aber nicht über und dann einen PC kaufen der> auch noch mehr Strom braucht, wärme und Lärm macht ist dann vielleicht> nicht ganz angemessen sofern man sich in dem Preissegment bewegt finde> ich.
Naja, so viel Strom brauchen die auch nicht. Da reicht ja sogar ein
Intel Atom oder eine vergleichbare Wanderdüne, solange die
AES-Hardwarbeschleunigung hat...
Wanderdüne ist schön... ;-)
Ich hab' hier einen alten Compaq Deskpro Pentium 450MHz als "once in a
while" Backup System.
Der ist aus dem letzten Jahrzehnt^H Jahrhundert^H Jahrtausend.
Die lahmar...igen Festplatten sind AES verschlüsselt (Prozessor hat
keine Hardware Unterstützung) und können über Netzwerk trotzdem mit >
30MBit/s beschrieben werden. (Gemessen mit 'nc', 'pv', 'dd')
Also sollte im Grunde genommen ein gebrauchter Sub-100€ PC ausreichend
sein als VPN Server.
Warum willst du nicht gleich VPN im DSL-Modem? Ansonsten musst du mit
Port-Forwarding "ein Loch" in deine Firewall bis zum VPN-Endpoint machen
... ungünstig.
Mein Vorschlag: Direktes VPN von Router zu Router. Prinzipiell kann das
fast jedes DSL-Kombigerät (Lancom, AVM, Draytek, TP-Link ...)
Wenn außer der direkten Verbindung zwischen den Standorten noch
Mobilgeräte sich einklinken können sollen, gilt es, einen Blick auf die
Kompatibilität zu werfen.
Bei den Routern würde ich unbedingt alles baugleiche Geräte, mindestens
aber vom gleichen Hersteller wählen.
Ich finde es von großem Vorteil, wenn man auf den Endgeräten keine extra
Fremdsoftware benötigt ("VPN-Client"), sondern die Verbindung quasi mit
Bordmitteln aufbauen kann. Das klappt z.B. bei Draytek für Windows, Mac
OSX und iOS hervorragend (L2TP über IPSec), Arndoid benötigt einen
Client.
Bei AVM z.B. können alle, außer Windows (hängt mit der IKE-Variante
zusammen), ohne zus. Software ...
Am flexibelsten sind m.E. Geräte von Lancom, da kann man dutzende Typen
von VPN in jeder nur erdnklicjen Variante konfigurieren, so dass am Ende
alle ohne zus. Clienten können. Das ist eine ziemlich mühsame
Angelegenheit, die sich aber am Ende lohnt.
Viele nicht zu Ende gedachte Ansätze...
Frank E. schrieb:> Warum willst du nicht gleich VPN im DSL-Modem? Ansonsten musst du mit> Port-Forwarding "ein Loch" in deine Firewall bis zum VPN-Endpoint machen> ... ungünstig.>> Mein Vorschlag: Direktes VPN von Router zu Router. Prinzipiell kann das> fast jedes DSL-Kombigerät (Lancom, AVM, Draytek, TP-Link ...)
Weil diese Kombi Kisten in den seltensten Fällen die notwendige Leistung
aufbringen können um eine solche Anzahl an Tunneln bei vernünftigem
Durchsatz vernünftig zu verschlüsseln. Ab AES256 bei unverändert hohem
Durchsatz wird es interessant.
Wie sieht die Softwarepflege im Bezug auf Sicherheitslücken bei diesen
Herstellen aus? Ich würde entweder gleich auf eine aktiv gepflegte Open
Source Lösung gehen (pfsense) oder auf eine Hardware Firewall eines
renommierten Herstellers wie Checkpoint, Sophos (Red), Cisco ASA,
Fortinet, ...
Nachdem das Budget nichts hergibt, würde ich einen PC mit pfsense
nehmen. Laut und stromfressend sind die nicht mehr (vielleicht wenn er
von 2004 ist).
>> Wenn außer der direkten Verbindung zwischen den Standorten noch> Mobilgeräte sich einklinken können sollen, gilt es, einen Blick auf die> Kompatibilität zu werfen.
Android und iOS können beide IPSEC, L2TP over IPSEC und PPTP (Gott
bewahre). Einige Hersteller wie Fortinet bieten auch einen SSL VPN
Client für iOS und Android an. Die meisten großen Hersteller haben VPN
Clients für alle möglichen Betriebssysteme.
>> Bei den Routern würde ich unbedingt alles baugleiche Geräte, mindestens> aber vom gleichen Hersteller wählen.
Das macht die Verwaltung einfacher. Wenn alle IPSEC sprechen, kann man
die Geräte auch mischen. Alle namhaften Hersteller können miteinander
IPSEC Tunnel aufbauen.
>> Ich finde es von großem Vorteil, wenn man auf den Endgeräten keine extra> Fremdsoftware benötigt ("VPN-Client"), sondern die Verbindung quasi mit> Bordmitteln aufbauen kann. Das klappt z.B. bei Draytek für Windows, Mac> OSX und iOS hervorragend (L2TP über IPSec), Arndoid benötigt einen> Client.
Mit Windows hast du halt die A*****karte. Windows konnte IPSEC noch nie
richtig. SSL VPN können sie auch nicht, nur deren proprietäres SSTP.
L2TP ist ein bisschen so, wie Kinder fressen.
> Am flexibelsten sind m.E. Geräte von Lancom, da kann man dutzende Typen> von VPN in jeder nur erdnklicjen Variante konfigurieren, so dass am Ende> alle ohne zus. Clienten können. Das ist eine ziemlich mühsame> Angelegenheit, die sich aber am Ende lohnt.
Es mag an meinen persönlichen Präferenzen liegen aber irgendwie bekomm
ich die LANCOM Kisten nicht aus der "Spielzeug" Ecke heraus. Und dann
denk ich mir, wenn schon Spielzeug, dann wenigstens Open Source ->
pfsense.
Frank E. schrieb:> Warum willst du nicht gleich VPN im DSL-Modem?
Im DSL-Modem???
> Port-Forwarding "ein Loch" in deine Firewall bis zum VPN-Endpoint machen> ... ungünstig.
Bei IPsec ist das möglich, aber ungünstig. Das ist bei Protokollen wie
OpenVPN einfacher.
> Bei den Routern würde ich unbedingt alles baugleiche Geräte, mindestens> aber vom gleichen Hersteller wählen.
Ist einfacher so, aber IPsec funktioniert mittlerweile auch ganz gut
zwischen verschiedenen Herstellern. Wenn auch nicht immer in allen
Varianten.
A. K. schrieb:> Frank E. schrieb:>> Warum willst du nicht gleich VPN im DSL-Modem?>> Im DSL-Modem???
Damit meine ich (verkürzt) das "Anschluss-Kombigerät" aka Fritz, Vigor
oder Lancom, natürlich nicht das Modem direkt.
>> Port-Forwarding "ein Loch" in deine Firewall bis zum VPN-Endpoint machen>> ... ungünstig.>> Bei IPsec ist das möglich, aber ungünstig. Das ist bei Protokollen wie> OpenVPN einfacher.
Wo ist der Unterschied, für welchen Port ich das Loch mache?
> Ist einfacher so, aber IPsec funktioniert mittlerweile auch ganz gut> zwischen verschiedenen Herstellern. Wenn auch nicht immer in allen> Varianten.
Da widerspreche ich aus eigener Erfahrung entschieden.
IPSec ist eben nicht gleich IPSec. Für die einzelnen Phasen und
Verschlüsselungen gibt es zig Varianten, die längst nicht jeder
Beteiligte genau so umsetzt. Im Gegenteil, es herrscht eine
haarsträubende Vielfalt. Oben genanntes Beispiel AVM vs. Draytek. Beide
machen L2TP über IPSec. Während ich mit einem Windows-Gerät (7,8,10...)
zum Draytek ohne spez. Client-Software verbinden kann, geht das mit
einer Fritzbox nicht. Usache: Unterschiedliche IKE-Varianten ...
Frank schrieb:>> Im DSL-Modem???>> Damit meine ich (verkürzt) das "Anschluss-Kombigerät" aka Fritz, Vigor> oder Lancom, natürlich nicht das Modem direkt.
Gemeinhin als DSL-Router bekannt. ;-)
>> Bei IPsec ist das möglich, aber ungünstig. Das ist bei Protokollen wie>> OpenVPN einfacher.>> Wo ist der Unterschied, für welchen Port ich das Loch mache?
Bei IPsec machst du eigentlich 3 Löcher (ESP,500,4500) und hast exakt
ein von aussen ansprechbares Gerät als mögliche Ansprechstelle. Es ist
beispielsweise nicht möglich, sowohl Fritzbox-IPsec zu verwenden, als
auch eine interne Gegenstelle, weil entweder Fritz oder die interne Node
per IPsec ansprechbar sein kann, nicht aber beide. Bei IPsec muss man
sich auch über ein beteiligtes NAT Gedanken machen.
Bei Protokollen, die wie OpenVPN über einen simplen TCP- oder UDP-Tunnel
arbeiten, entfallen diese Aspekte.
> Da widerspreche ich aus eigener Erfahrung entschieden.
Ich habe im letzten Jahrzehnt mit keiner Gegenstelle zu tun gehabt, mit
der ich keine site-to-site Verbindung per IPsec geschafft hätte. Und da
ist auf der anderen Seite ein ziemlicher Gemüsegarten dabei, von einer
hausgebackenen Linux-Lösung bis zu Fortinet.
> IPSec ist eben nicht gleich IPSec. Für die einzelnen Phasen und> Verschlüsselungen gibt es zig Varianten, die längst nicht jeder> Beteiligte genau so umsetzt.
Ja. Wenn man da nicht endlos rumprobieren will, dann einigt man sich
vorneweg auf die Phase1/2 Profile. Weshalb die IPsec Implementierungen
meist flexible Profile anbieten, also pro Verbindung wählbar. Allerdings
beziehe ich mich auf den professionellen Sektor, nicht auf Fritzboxen.
A. K. schrieb:> Ich habe im letzten Jahrzehnt mit keiner Gegenstelle zu tun gehabt> (meist andere Firmen), mit der ich keine site-to-site Verbindung per> IPsec geschafft hätte. Und da ist auf der anderen Seite ein ziemlicher> Gemüsegarten dabei, von einer hausgebackenen Linux-Lösung bis zu> Fortinet.>>> IPSec ist eben nicht gleich IPSec. Für die einzelnen Phasen und>> Verschlüsselungen gibt es zig Varianten, die längst nicht jeder>> Beteiligte genau so umsetzt.>> Ja. Wenn man da nicht endlos rumprobieren will, dann einigt man sich> vorneweg auf die Phase1/2 Profile. Weshalb die IPsec Implementierungen> meist flexible Profile anbieten. Allerdings beziehe ich mich auf den> professionellen Sektor, nicht auf Fritzboxen.
This.
Wer behauptet mit IPSec gibts Probleme, der hat nur mit
Kindergartenhardware gearbeitet.
L. N. schrieb:> Wer behauptet mit IPSec gibts Probleme, der hat nur mit> Kindergartenhardware gearbeitet.
Lancom und Netgear sprechen auch nicht die gleiche Sprache ohne
nachzuhelfen. Insbesondere wenn im Shared Kay Umlaute oder Sonderzeichen
enthalten sind, wie es ja ausdrücklich auch sein soll. Auch bei 2
gleichen Netgear FVS318 V2 und V3 da gleiche Theater. Das ist für mich
keine Kindergartenhardware. Für Cisco habe ich keine Zeit, jede Woche
neue Lücken entdeckt.....
Stephan H. schrieb:> L. N. schrieb:>> Wer behauptet mit IPSec gibts Probleme, der hat nur mit>> Kindergartenhardware gearbeitet.>> Lancom und Netgear sprechen auch nicht die gleiche Sprache ohne> nachzuhelfen. Insbesondere wenn im Shared Kay Umlaute oder Sonderzeichen> enthalten sind, wie es ja ausdrücklich auch sein soll. Auch bei 2> gleichen Netgear FVS318 V2 und V3 da gleiche Theater. Das ist für mich> keine Kindergartenhardware. Für Cisco habe ich keine Zeit, jede Woche> neue Lücken entdeckt.....
Lancom und vor allem Netgear keine Kindergartenhardware. Alles klar xD
xD
Stephan H. schrieb:> Insbesondere wenn im Shared Kay Umlaute oder Sonderzeichen> enthalten sind, wie es ja ausdrücklich auch sein soll.
Sonderzeichen ok. Aber Umlaute? Da fordert man die Probleme regelrecht
heraus.
L. N. schrieb:> jo, mikrotik soll wohl ganz gut sein, konnte damit aber noch keine> erfahrungen sammeln
Ich habe nun seit ein paar Wochen einen "hAP ac²" Router, ~55€. Wer das
WLAN braucht, der sollte derzeit die Finger davon lassen, aber als
Router habe ich bisher keine Probleme.
Zur Performance bei IPsec siehe
https://mikrotik.com/product/hap_ac2#fndtn-testresults
6 Mb/s OpenVPN Traffic tritt als CPU-Last nicht messbar in Erscheinung.
Auf dem RasPi2 am anderen Ende war das indes deutlich bemerkbar.
A. K. schrieb:> Sonderzeichen ok. Aber Umlaute? Da fordert man die Probleme regelrecht> heraus.
Alle nicht ASCI-Zeichen sind eine Quelle steten Ärgernisses. Am besten
vermeiden!
So,
an alle weiteren Antworter auch nochmal ein dickes Dankeschön.
Ich habe heute mit Varia telefoniert. Die machen Schulungen usw. unter
anderem auch Produktberatung. Dort habe ich mal angefragt wie es bei
unserem Aufbau mit dem VPN aussieht. Er meinte 26 VPN Verbindungen
werden unterstützt, die genaue Bandbreite konnte er mir nicht sagen aber
50 MBit unseres Uploads sollten die wohl auslasten können. Ebenfalls
meinte er, dass bei 26 Clients vielleicht die Performence leidet aber
unsere 10 Zeigstellen sind kein Problem. Ich denke, dass wir in den
nächsten 5-10 Jahren keine 16 Zweigstellen aufbauen werden, also bin ich
damit recht zufrieden.
Soviel zur Info an alle damit wisst ihr auch, wie viele VPN unifi
aufbauen kann (weil es steht nirgends!).
Der Händler dort hat mir auch noch Mikrotik empfohlen mit denen werde
ich mich auch nochmal auseinander setzen. Bisher bin ich aber von der
Unifi geschickte recht angetan und der Preis hält sich in grenzen. Der
gute Mensch dort sagte mir, dass man mit der Fritzbox auch eine
Verbindung herstellen kann. Das ist dann etwas frickeliger als wenn das
ganze Homogen ist, aber grundsätzlich ist kein Problem.
Ich fand alles was er sagte klang ehrlich, er wollte nichts verkaufen
und hat gut beraten. Wer also zu Unifi was wissen will einfach mal dort
melden: http://www.ubiquiti.de/
Ich bin gerade sehr auf dieses unifi eingeschossen weil es wirklich auch
einige andere Probleme löst die wir noch so haben in unseren Netzen aber
trotzdem schau ich mir mikrotik nochmal an.
