Gute VPN Appliance gesucht

[Christobal M. (c_m_1)]

So, mein erster Tag im "Home Office" dank COVID19.

Alles eingerichtet, Firmennetzwerk geht über externen Versorger, 
Entwicklernetz über eine eigene VPN Appliance (Palo Alto PA150 oder so).

Problem ist, das unsere PA in unregelmäßigen Abständen die Verbindung 
verliert - ist kein Timeout aufgrund Inaktivität oder so, das Netz an 
sich ist auch stabil (kein WLAN dazwischen).
Es ist z.b. auch kein Problem eine SSH Verbindung vom BYOD Rechner im 
Büro nach Hause zum 24/7 Rechner stundenlang aufrecht zu halten - es 
muss die vergammelte Appliance sein.


Kennt jemand eine VPN Appliance die nicht scheisse ist? Etwas für ~20 
Mitarbeiter (Road Warrior)?

[Reinhard S. (rezz)]

Was sagt die IT-Abteilung?

[Christobal M. (c_m_1)]

Die sagt nichts.

[Jan H. (j_hansen)]

Wir haben eine Zyxel Zywall, die funktioniert stabil, bietet aber z.B. 
kein OpenVPN.

Sonst haben wir viel von Ubiquiti, damit sind wir recht zufrieden, 
nutzen aber die VPN-Funktionalität nicht.

Ich persönlich bin ja Open Source Fan. Also eine pfSense hinstellen, 
oder einen kleinen Server mit OpenVPN aufsetzen wäre auch eine 
Möglichkeit.

[TR.OLL (Gast)]

OpenVPN oder Wireguard

[Martin (Gast)]

Wireguard

[homerun (Gast)]

Openvpn muss man konfigurieren. Das ist nicht trivial.
Was mich stört dass openvpn eine eigene kleine Welt innerhalb des 
Betriebssystems ist, ein Flickwerk aus Patches.

Schutz gegen replay zum Beispiel.
Auch die firewall (iptables) ist ein Faktor. Es lohnt sich zudem einen 
separaten vpn Router einzusetzen beispielsweise via openwrt.
Auf einem Raspi3 sind 6MB/s drin.

Bei mir läuft es zwar störungsfrei, auch wenn die Verbindung 
zusammenbricht gibt es keinen Datenverlust. Allerdings kommt es mit 
einer neuen Client IP nicht klar. Dann muss der Dienst neu gestartet 
werden, mit Datenverlust.

[fckw (Gast)]

Christobal M. schrieb:
> Alles eingerichtet, Firmennetzwerk geht über externen Versorger,
> Entwicklernetz über eine eigene VPN Appliance (Palo Alto PA150 oder so).

Ich hab mal nach der gegoogelt und die PA-200 (Nachfolger oder größeres 
Modell) gefunden. Diese Kiste scheint mir von der CPU her etwas schwach 
auf der Brust. Im Datenblatt steht "IPsec VPN throughput 50 Mbps" ohne 
Angabe des Algorithmus. Zum Vergleich: Ein Mikrotik CCR1009-7G-1C-1S+ 
macht 256 IPSEC-Tunnels mit AES-256-CBC+SHA256 mit 2693.6MBps. Ja, da 
ist offensichtlich doch ein wenig mehr Rechenleistung im Spiel. Kostet 
dafür auch nur ein Fünftel der PA-200.

Wenn Ihr einen unbenutzten PC greifbar habt, wäre der als OpenVPN-Server 
gut eingesetzt.

fchk

[TestX (Gast)]

server hardware nehmen und dort OPNSense installieren. Alternativ Sophos 
XG.

Mikrotik, Cisco, Juniper ist ohne tiefgreifende Kenntnisse nicht machbar 
für Eure IT.

[TR.OLL (Gast)]

homerun schrieb:
> Openvpn muss man konfigurieren. Das ist nicht trivial.
> Was mich stört dass openvpn eine eigene kleine Welt innerhalb des
> Betriebssystems ist, ein Flickwerk aus Patches.

Es gibt auch fertige installer.
https://github.com/angristan/openvpn-install

[Hmmm (Gast)]

LANCOM ist für IPsec-VPNs ebenfalls brauchbar, aber auch da gilt wie bei 
allen professionellen Netzwerkprodukten:

TestX schrieb:
> Mikrotik, Cisco, Juniper ist ohne tiefgreifende Kenntnisse nicht machbar
> für Eure IT.

[Stephan (Gast)]

Für LanCom gibts die Konfigurationssoftware mit Assi zum erstellen der 
Ini-Dateien. Damit sind 20 Clients in wenigen Minuten erstellt.

[Eric (Gast)]

Cisco ASA ist ueber ASDM selbst fuer Laien sehr leicht konfigurierbar. 
AnyConnect, IP-Sec oder SSL-VPN - alles in wenigen Minuten eingerichtet. 
Wenn es kostenlos sein soll: OpenVPN oder Wireguard

PS: Ich konfiguriere die ASAs lieber ueber die CLI - ASDM ist mir zu 
bunt.

[(prx) A. K. (prx)]

fckw schrieb:
> Im Datenblatt steht "IPsec VPN throughput 50 Mbps" ohne
> Angabe des Algorithmus.

Crypto-Acceleration in Hardware ist dabei klar im Vorteil.

[HiHo (Gast)]

Christobal M. schrieb:
> So, mein erster Tag im "Home Office" dank COVID19.

Welche Daten fleißen denn? PersDat, eingestufte Daten? Braucht ihr eine 
BSI Zulassung?

[(prx) A. K. (prx)]

fckw schrieb:
> Zum Vergleich: Ein Mikrotik CCR1009-7G-1C-1S+ ... Kostet
> dafür auch nur ein Fünftel der PA-200.

Wobei eine Palo Alto Firewall in der Funktionalität schon etwas anderes 
ist, als ein Mikrotik Router. Aber das bringt natürlich nichts, wenn man 
sie bloss als VPN-Router nutzt.