---

Hej

Jeg har sat et par Linux-bokse op med noget firewall og server-dims
hos en kunde. Nu har de så en medarbejder, som gerne vil kunne mappe
et Windows-drev på en af deres Windows-servere hjemmefra. Samtidig vil
han også gerne kunne checke email via enten IMAP eller POP3.

Hvad gør jeg så?

Jeg er ikke et øjeblik i tvivl om at jeg skal sætte noget VPN op, og
finde noget, hvor der findes en klient til Windows <etellerandet>.

Men hvad? Jeg aner ikke en brik om VPN, og har derfor kigget mig lidt
omkring, uden at blive enormt meget klogere. Er der nogen der har tid
til at give mig et lynkursus i VPN, eller måske kan anbefale et
bestemt stykke software?

Fx løb jeg ind i <http://poptop.lineo.com/>, som er en PPTP-server til
Linux. Er det det jeg skal have fat i? Og lyder det overhovedet
fornuftigt at benytte PPTP, eller skal jeg have fat i noget helt
andet?

Jeg så også FreeS/WAN - <http://www.freeswan.org/>, men syntes at det
så vældig kompliceret ud i forhold til det relativt simple problem jeg
prøver at løse.

Nogle kommentarer?

--
Jacob - www.bunk.cc
May you die in bed at 95, shot by a jealous spouse.

---

"Jacob Bunk Nielsen" <spam@bunk.cc> wrote in message
news:spamdrop+m3it8c6ntf.fsf@paven.bunk.cc...
> Hej
>
> Jeg har sat et par Linux-bokse op med noget firewall og server-dims
> hos en kunde. Nu har de så en medarbejder, som gerne vil kunne mappe
> et Windows-drev på en af deres Windows-servere hjemmefra. Samtidig vil
> han også gerne kunne checke email via enten IMAP eller POP3.

Windows sharing bruger følgende porte:
137/tcp
137/udp
138/udp
139/tcp
445/tcp
445/udp


> Hvad gør jeg så?

Jeg har gode erfaringer med racoon til FreeBSD. Umiddelbart kan køre opimod
en masse

> Jeg er ikke et øjeblik i tvivl om at jeg skal sætte noget VPN op, og
> finde noget, hvor der findes en klient til Windows <etellerandet>.

PGPnet kan bruges opimod racoon uden videre og det er freeware


> Men hvad? Jeg aner ikke en brik om VPN, og har derfor kigget mig lidt
> omkring, uden at blive enormt meget klogere. Er der nogen der har tid
> til at give mig et lynkursus i VPN, eller måske kan anbefale et
> bestemt stykke software?
>
> Fx løb jeg ind i <http://poptop.lineo.com/>, som er en PPTP-server til
> Linux. Er det det jeg skal have fat i? Og lyder det overhovedet
> fornuftigt at benytte PPTP, eller skal jeg have fat i noget helt
> andet?

racoon bruger IPsec. Det er vist mere hensigtmessigt med nat og andet godt
fra havet. Prøv evt at søge tilbage i gruppen det har været oppe at vende
før..

/Dennis

---

"Dennis Pedersen" <usenetspam@*FJERNDETTE*daydreamer.dk> writes:

> Windows sharing bruger følgende porte: [ ... ]

Ja, det er jeg med på, det var ikke det mit spørgsmål gik på.

> Jeg har gode erfaringer med racoon til FreeBSD. Umiddelbart kan køre opimod
> en masse

Umiddelbart er det eneste jeg kan finde
<http://mine.kame.net/~sakane/racoon/>. Hvis det er hvad der er, så
har det ingen interesse for mig, da jeg bruger Linux, og ikke FreeBSD.

> PGPnet kan bruges opimod racoon uden videre og det er freeware

Umiddelbart synes jeg ikke at
<http://www.pgp.com/naicommon/buy-try/try/products-evals.asp#PGP Security>
antyder at PGPnet skulle være freeware, men snarere shareware. Har du
set noget andet?

Jeg vil selvsagt gerne have noget der er freeware.

Findes der i øvrigt ikke noget i nogle versioner af Windows?

> racoon bruger IPsec. Det er vist mere hensigtmessigt med nat og andet godt
> fra havet.

End PPTP? Hvis du tænker på sådan noget med at NAT'e forskellige
IP-protokoller, så er det ikke noget problem.

Jeg troede faktisk at det var IPsec der kunne drille i forbindelse med
NAT, hvis NAT-dimsen ikke direkte understøttede det.

--
Jacob - www.bunk.cc
So much food; so little time!

---

"Jacob Bunk Nielsen" <spam@bunk.cc> wrote in message
news:spamdrop+m3elj06jbr.fsf@paven.bunk.cc...
> "Dennis Pedersen" <usenetspam@*FJERNDETTE*daydreamer.dk> writes:
>
> > Windows sharing bruger følgende porte: [ ... ]
>
> Ja, det er jeg med på, det var ikke det mit spørgsmål gik på.

Heh jeg glemte vist lige noget.
Jeg ville lave det sådan at den pågældende hjemmearbejdsplads koblede opimod
firmaet og vedkommende havde så ret til at mappe drev j.vf ovenstående porte
og tilladelse til pop3/smtp.
Du skal også passe på ikke at åbne for alt for meget medmindre du har planer
om at tvinge en firewall nedover hovedet af brugere.

> > Jeg har gode erfaringer med racoon til FreeBSD. Umiddelbart kan køre
opimod
> > en masse
>
> Umiddelbart er det eneste jeg kan finde
> <http://mine.kame.net/~sakane/racoon/>. Hvis det er hvad der er, så
> har det ingen interesse for mig, da jeg bruger Linux, og ikke FreeBSD.

Nu bliver jeg helt i tvivl om den egentlig findes til Linux...
Men mon ikke der findes nogle afarter af den til Linux omend ikke andet?

>
> > PGPnet kan bruges opimod racoon uden videre og det er freeware
>
> Umiddelbart synes jeg ikke at
> <http://www.pgp.com/naicommon/buy-try/try/products-evals.asp#PGP Security>
> antyder at PGPnet skulle være freeware, men snarere shareware. Har du
> set noget andet?

Jeg mente helt bestemt at være væltet over en der var freeware så længe det
var til privat brug, men kan ikke lige finde linket i en skrivende stund.
Kan lige prøve om det lader sig støve op i morgen..

>
> Jeg vil selvsagt gerne have noget der er freeware.

Alternativt findes der jo den der er indbygget i windows?



> > racoon bruger IPsec. Det er vist mere hensigtmessigt med nat og andet
godt
> > fra havet.
>
> End PPTP? Hvis du tænker på sådan noget med at NAT'e forskellige
> IP-protokoller, så er det ikke noget problem.
>
> Jeg troede faktisk at det var IPsec der kunne drille i forbindelse med
> NAT, hvis NAT-dimsen ikke direkte understøttede det.

Jeg vrøvler ;)
Det er self IPsec der kan lave sjove kunster med NAT hvis det ikke er
supporteret. Derimod PPTP skulle være lige "ligetil"

/Dennis

---

Dennis Pedersen wrote:

> Jeg vrøvler ;)
> Det er self IPsec der kan lave sjove kunster med NAT hvis det ikke er
> supporteret. Derimod PPTP skulle være lige "ligetil"


Kræver den ikke IP GRE?

---

"Dennis Pedersen" <usenetspam@*FJERNDETTE*daydreamer.dk> writes:

> Jeg ville lave det sådan at den pågældende hjemmearbejdsplads koblede opimod
> firmaet og vedkommende havde så ret til at mappe drev j.vf ovenstående porte
> og tilladelse til pop3/smtp.

Det er også noget i den retning jeg nok er ude efter.

> Du skal også passe på ikke at åbne for alt for meget medmindre du har planer
> om at tvinge en firewall nedover hovedet af brugere.

Du mener hjemmebrugeren? For jeg har skam tvunget en ganske restriktiv
firewall ned over hovedet på dem i firmaet

>> > PGPnet [ ... ]
> Jeg mente helt bestemt at være væltet over en der var freeware så længe det
> var til privat brug, men kan ikke lige finde linket i en skrivende stund.
> Kan lige prøve om det lader sig støve op i morgen..

Nu er det jo ikke til privat brug.

>> Jeg vil selvsagt gerne have noget der er freeware.
>
> Alternativt findes der jo den der er indbygget i windows?

Er den noget værd?
.... og hvilke versioner af Windows findes den i?

> Det er self IPsec der kan lave sjove kunster med NAT hvis det ikke er
> supporteret. Derimod PPTP skulle være lige "ligetil"

OK

--
Jacob - www.bunk.cc
Your boss is a few sandwiches short of a picnic.

---

"Jacob Bunk Nielsen" <spam@bunk.cc> wrote in message
news:spamdrop+m3zo1njf4o.fsf@paven.bunk.cc...
> "Dennis Pedersen" <usenetspam@*FJERNDETTE*daydreamer.dk> writes:

>
> > Du skal også passe på ikke at åbne for alt for meget medmindre du har
planer
> > om at tvinge en firewall nedover hovedet af brugere.
>
> Du mener hjemmebrugeren? For jeg har skam tvunget en ganske restriktiv
> firewall ned over hovedet på dem i firmaet

Ja..
Det kommer jo helt an på hvordan du vil lave det. Men pas på han ikke får
lov til 'for' meget hvis det uheldige skulle ske og hans maskine blev
hacket.


>
> > Alternativt findes der jo den der er indbygget i windows?
>
> Er den noget værd?
> ... og hvilke versioner af Windows findes den i?

Den skulle virke godt nok[tm] af hvad jeg har hørt.
Svjh er den med i Windows 2k og du kan få den som addon til 98 (kan ikke
huske om der er noget lignende til 95..)


/Dennis

---

"Dennis Pedersen" <usenetspam@*FJERNDETTE*daydreamer.dk> writes:

> Det kommer jo helt an på hvordan du vil lave det. Men pas på han ikke får
> lov til 'for' meget hvis det uheldige skulle ske og hans maskine blev
> hacket.

Ja, jeg vil også sørge for at der om ikke andet bliver installeret en
eller anden hjemmefirewall på hans maskine. Den skulle i hvert fald
nok kunne tage de fleste scriptkiddies.

Dernæst skal han selvsagt kun have adgang til det mest basale udefra.

>> [ VPN-klient i Windows ]
>
> Den skulle virke godt nok[tm] af hvad jeg har hørt.
> Svjh er den med i Windows 2k og du kan få den som addon til 98 (kan ikke
> huske om der er noget lignende til 95..)

Tak.

--
Jacob - www.bunk.cc
May you have many handsome and obedient sons.

---

"Christian E. Lysel" <chlyshoswmdatapunktumcom@example.net> writes:

>> Derimod PPTP skulle være lige "ligetil"
>
> Kræver den ikke IP GRE?

Er det noget særligt problem? Er det ikke bare at NAT'e IP protokol
47, og så sørge for at den piller lidt i de pakker der lusker igennem
på 1723/tcp, som Asbjørn skriver?

--
Jacob - www.bunk.cc
People who make no mistakes do not usually make anything.

---

Jacob Bunk Nielsen wrote:
> Er det noget særligt problem? Er det ikke bare at NAT'e IP protokol
> 47, og så sørge for at den piller lidt i de pakker der lusker igennem
> på 1723/tcp, som Asbjørn skriver?

Jo

Mvh

Per R Laursen

---

Jacob Bunk Nielsen wrote:

>>>Derimod PPTP skulle være lige "ligetil"
>>Kræver den ikke IP GRE?
> Er det noget særligt problem? Er det ikke bare at NAT'e IP protokol
> 47, og så sørge for at den piller lidt i de pakker der lusker igennem
> på 1723/tcp, som Asbjørn skriver?


Men NAT enheden der _ikke_ understøtter NAT for IP protokol 50, vil
disse understøtte NAT for IP protokol 47?


Det vi snakker om er at nogle NAT enheder ikke kan transportere IP
protokol 50, så derfor bør man bruge PPTP istedet. Problemet er blot at
disse enheder bør da heller ikke kunne transportere IP protokol 47, og
således vil argumentet for at bruge PPTP falde til jorden.

Noget helt andet er at jeg ikke kan anbefalde at bruge PPTP, hvis man
prioritere sikkerheden højt.

---

Jacob Bunk Nielsen wrote:
> Hej
>
-cut-
> Fx løb jeg ind i <http://poptop.lineo.com/>, som er en PPTP-server til
> Linux. Er det det jeg skal have fat i? Og lyder det overhovedet
> fornuftigt at benytte PPTP, eller skal jeg have fat i noget helt
> andet?
>
> Jeg så også FreeS/WAN - <http://www.freeswan.org/>, men syntes at det
> så vældig kompliceret ud i forhold til det relativt simple problem jeg
> prøver at løse.
>
> Nogle kommentarer?
>
Jo da

Du kan jo som du selv siger vælge mellem PPTP og IPsec (FreeSwann). Her er
det muligt at finde klienter til Windows maskiner, jeg går ud fra at
medarbejderen bruger dette OS.

Med hensyn til mail delen, så ville jeg bruge VPN'en til at accesse firma
nettet og han kan så browse igennem firmaets firewall og hente den post han
skal på deres mail server. Står denne internt er det jo ligetil.

Du kan godt få LINUX til at 'NATte' både PPTP og IPsec, men det er ikke det
nemmeste at tumle rundt med, hvis man ikke har prøvet det før.

Det tager sikkert en masse tid at lave det og kunden betaler jo. Så set i
det lys ville jeg købe en box og opstille den som VPN gateway.

Der er flere modeller i alle prislag med tilhørende klienter il MS OS'er
som benytter IPsec, som er mere sikker end PPTP.


Mvh

Per R Laursen
www.prl.dk, www.amerik.dk

---

PRL <guffe@prl.dk> writes:

> Du kan jo som du selv siger vælge mellem PPTP og IPsec (FreeSwann). Her er
> det muligt at finde klienter til Windows maskiner, jeg går ud fra at
> medarbejderen bruger dette OS.

Ja, jeg har endnu ikke fået undersøgt hvilken version af Windows han
bruger. Er der stor forskel på hvad man kan køre af VPN-klienter under
dem?

> Med hensyn til mail delen, så ville jeg bruge VPN'en til at accesse firma
> nettet og han kan så browse igennem firmaets firewall og hente den post han
> skal på deres mail server. Står denne internt er det jo ligetil.

OK, det lyder fornuftigt. Det var sådan set også planen.

> Du kan godt få LINUX til at 'NATte' både PPTP og IPsec, men det er ikke det
> nemmeste at tumle rundt med, hvis man ikke har prøvet det før.

Jeg er ret godt hjemme i iptables, NAT og den slags (i hvert fald,
hvis jeg selv skal sige det :), så hvis bare jeg ved hvilke porte og
protokoller det drejer sig om skal jeg nok finde ud af det. Jeg er dog
helst fri for at compile kernemoduler og lave noget der ikke er alt
for mainstream, da en eventuel senere administrator af systemet også
gerne skulle have en chance for at finde rundt i det hele.

> Det tager sikkert en masse tid at lave det og kunden betaler jo. Så set i
> det lys ville jeg købe en box og opstille den som VPN gateway.

Jeg er mest tændt på at lave en Linux-baseret løsning.

> Der er flere modeller i alle prislag med tilhørende klienter il MS OS'er
> som benytter IPsec, som er mere sikker end PPTP.

Kan du uddybe noget om forskelle på IPsec og PPTP? Specielt i hvilken
grad de er sikre? Så vidt jeg forstår benytter IPsec sig af 128 bits
krypetering med symmetriske nøgler, er det rigtigt? Hvad bruger PPTP?

--
Jacob - www.bunk.cc
Wasting time is an important part of living.

---

Jacob Bunk Nielsen wrote:
> Ja, jeg har endnu ikke fået undersøgt hvilken version af Windows han
> bruger. Er der stor forskel på hvad man kan køre af VPN-klienter under
> dem?
De fleste kan køre PGP klient som understøtter IPsec og posetivt er testet
op mod FreeSwann. Jeg aner ikke hvordan den kører med XP, jeg er stået af
MS vognen der.

> Jeg er ret godt hjemme i iptables, NAT og den slags (i hvert fald,
> hvis jeg selv skal sige det :), så hvis bare jeg ved hvilke porte og
> protokoller det drejer sig om skal jeg nok finde ud af det. Jeg er dog
> helst fri for at compile kernemoduler og lave noget der ikke er alt
> for mainstream, da en eventuel senere administrator af systemet også
> gerne skulle have en chance for at finde rundt i det hele.
Hvis du skal NAT'e PPTP eller IPsec kan du ikke undgå at patche kerner,
lave moduler og kompilere. Og du skal være ret godt hjemme i TCP/IP for at
vide/overskue hvad der sker.

> Jeg er mest tændt på at lave en Linux-baseret løsning.
Jeg forstår dig, men du kommer hurtigt til at bruge rigtigt meget tid på
det her.

> Kan du uddybe noget om forskelle på IPsec og PPTP? Specielt i hvilken
> grad de er sikre? Så vidt jeg forstår benytter IPsec sig af 128 bits
> krypetering med symmetriske nøgler, er det rigtigt? Hvad bruger PPTP?
IPsec kan gøre det som du vil, der findes også en mulighed for at nat'e.
PPTP kan fint køre 128 bit, men da man 'kun' authentikerer med password er
IPsec jo mere sikker. Dog ikke sikrere end at der er åbent hvis nogen får
fat i nøgler eller lign.
PPTP kan udsættes for "man i the midle attack", det er IPsec sikret bedre
imod.

Hvis du har modet på at lave IPsec FreeSwann LINUX løsningen får du en
flexsibel løsning som er noget nær umulig at administrere for kunden,
medmindre at du er svinegod til at lave et webadmin til FreSwann. Jeg har
endnu ikke set et frit admin modul og dem som man betaler for er ikke
nemmere at have med at gøre end at pille i .conf filer.

Men, hvis du er god til PHP eller perl så vil jeg gerne hjælpe dig med at
lave et sådant webmodul som kan blive frit software, du skal bare ikke
regne med at være færdig i morgen Jeg vil dog mene at et java er det
rigtige at lave det i.


Mvh

Per R Laursen

---

PRL <guffe@prl.dk> writes:

> Hvis du skal NAT'e PPTP eller IPsec kan du ikke undgå at patche kerner,
> lave moduler og kompilere. Og du skal være ret godt hjemme i TCP/IP for at
> vide/overskue hvad der sker.

Jeg tror selv på at det ikke er det store problem, men Dennis Pedersen
påstår jo i <CMTg8.205$ng4.36027@news000.worldonline.dk> at PPTP lader
sig NAT'e uden store problemer.

>> Jeg er mest tændt på at lave en Linux-baseret løsning.
> Jeg forstår dig, men du kommer hurtigt til at bruge rigtigt meget tid på
> det her.

Øv

> IPsec kan gøre det som du vil, der findes også en mulighed for at nat'e.

.... men det er temmelig besværligt for at en enkelt medarbejder kan
flytte et par worddokumenter og læse lidt mail :-\

> PPTP kan fint køre 128 bit, men da man 'kun' authentikerer med password er
> IPsec jo mere sikker. Dog ikke sikrere end at der er åbent hvis nogen får
> fat i nøgler eller lign.
> PPTP kan udsættes for "man i the midle attack", det er IPsec sikret bedre
> imod.

Jeg kommer under alle omstændigheder til kun at banke hul i firewallen
for den IP-adresse medarbejderen har, så der ligger da en smule
sikkerhed i det alene. Så *tror* jeg godt at jeg kan leve med PPTP's
svagheder, hvis det er markant lettere og hurtigere at sætte op.

> Hvis du har modet på at lave IPsec FreeSwann LINUX løsningen får du en
> flexsibel løsning som er noget nær umulig at administrere for kunden,
> medmindre at du er svinegod til at lave et webadmin til FreSwann. Jeg har
> endnu ikke set et frit admin modul og dem som man betaler for er ikke
> nemmere at have med at gøre end at pille i .conf filer.

Foreløbig er det mig der skal pille i konfigurationsfiler, og det
plejer jeg ikke at have noget specielt anstrengt forhold til

> Men, hvis du er god til PHP eller perl så vil jeg gerne hjælpe dig med at
> lave et sådant webmodul som kan blive frit software, du skal bare ikke
> regne med at være færdig i morgen Jeg vil dog mene at et java er det
> rigtige at lave det i.

Jeg er godt hjemme i både PHP og Java, jeg har bare ikke tiden

--
Jacob - www.bunk.cc
I've got a bad feeling about this.

---

On Tue, 05 Mar 2002 15:02:44 +0100, Jacob Bunk Nielsen
<spam@bunk.cc> wrote:

> Jeg tror selv på at det ikke er det store problem, men Dennis Pedersen
> påstår jo i <CMTg8.205$ng4.36027@news000.worldonline.dk> at PPTP lader
> sig NAT'e uden store problemer.

PPTP lader sig NAT'e, men kun hvis NAT-device'et forstår PPTP.

Basalt set skal det vide, at når det ser trafik på 1723/TCP, så
skal det kigge ind i pakkerne og ændre i de adresser, der handler
om setup af GRE-tunnelen.

-A

---

Asbjorn Hojmark <Asbjorn@Hojmark.ORG> writes:

> PPTP lader sig NAT'e, men kun hvis NAT-device'et forstår PPTP.

OK. Jeg har lige checket op på det, og min NAT-dims forstår både PPTP
og IPsec, så det bør ikke blive NAT der er det store problem

--
Jacob - www.bunk.cc
Be open to other people -- they may enrich your dream.

---

"Jacob Bunk Nielsen" <spam@bunk.cc> wrote in message
news:spamdrop+m3r8mzjck1.fsf@paven.bunk.cc...
> Asbjorn Hojmark <Asbjorn@Hojmark.ORG> writes:
>
> > PPTP lader sig NAT'e, men kun hvis NAT-device'et forstår PPTP.
>
> OK. Jeg har lige checket op på det, og min NAT-dims forstår både PPTP
> og IPsec, så det bør ikke blive NAT der er det store problem

Det er ikke nok dåsen forstår IPsec, du skal også vælge den rigtige slags
ipsec (men prøv at kig tilbage i gruppen jeg havde selvsamme oppe at vende
for noget tid siden..)uden checksum på tcp headeren, fordi så knækker filmen
når din pakke bliver omskrevet i natd.

/Dennis

---

Jacob Bunk Nielsen <spam@bunk.cc> writes:

> Jeg så også FreeS/WAN - <http://www.freeswan.org/>, men syntes at det
> så vældig kompliceret ud i forhold til det relativt simple problem jeg
> prøver at løse.

Nåh, men nu fik jeg altså tid til at sætte det op. Det gik jo ganske
smertefrit at sætte op mellem to Linux-maskiner, og konfigurationen er
også til at gå til uden de store problemer.


Men nu er jeg så kommet til at skulle have et par Windows2000-maskiner
på. Umiddelbart kunne det jo være rart nok bare at bruge det
VPN-halløj der er indbygget i Windows. Men hvordan trækker man sådan
en RSA-nøgle ud af den, som man kan bruge med FreeS/WAN?

--
Jacob - www.bunk.cc
I exist, therefore I am paid.