In article <5oxnc.201$nC7.91@news.get2net.dk>, Esben Laursen wrote:
>> Nej, det er næsten svært at få øje på dem.
>>
>
> Hvordan kan:
>
><citat>
> Vi vil gerne lave en VPN løsning, således at en 5-6 medarbejdere en gang
> imellem kan koble op til firmaet via VPN og komme på vores Navision
> økønomisystem. De skal ligeledes have adgang de de fælles drev/mapper som de
> har i dag, når de sidder i firmaet.
></citat>
VPN i dag dækker over op til 7-8 forskellige protokoller, alt
efter hvem du snakker med.
Opkoblingen til Navision er ikke forklaret, er dette via et netværksdrev
eller klient/server applikationer, web applikationer eller via en Citrix server.
Hvordan skal brugernes valideres?
Krav til klienter?
Find selv på flere spørgsmål.
> være svært at få øje på hva det er han vil.. Han har en 5-6 medarbejder der
> gerne vil kunne arbejde hjemmefra.. Længere er den da ikke...
Selvfølgelig er den længere, eller ville der ikke eksistere flere måder
at implementere det på.
> Jeg tager det helt roligt, jeg syntes bare det var et dårligt råd.... Meget
> dårligt råd..
Det opfylder de krav der er stilles, hvis du synes rådet er dårligt ligger
problemet nok i de stillet krav!
>> Nej, der findes mange forskellige ADSL løsninger,
>> nogle virker ikke med alle VPN løsninger.
>
> Jeg kunne godt tænke mig at du kunne give et eksempel på hvilken ADSL der
> ikke kan køre med VPN, jeg har aldrig funden en der ikke som minimum har
> kunne koble en VPN klient på. (Dog skal man jo huske på at vpn softwaren
> skal have understøttelse for NAT, men det har jo ikke noget at gøre med
> ADSL'en)
Det er for det meste omvendt nemlig at NAT routeren skal understøtte
IPSec, dvs. 50/ip og 500/udp.
Mange NAT routere understøtter kun én IPSec session, hvis den ansatte således
deler ADSL med sin ægtefælle som også skal kører VPN, vil det hos
nogle ISP'er kun virker for den første. En af mine gamle kunder. en
kommune, havde således dette problem med en ISP.
Derefter skal internet forbindelsen ikke filtere VPN trafik, fx IPSec,
dette problem har jeg ikke set.
Nogle IPsec implementationer håntere ikke fragmentering ordenligt, dette kan
give problemmer med fx PPPoE forbindelser.
PPPoE forbindelser har jeg set kører meget ustabilt, da ISP'en
taget linket ned, når det ikke er ibrug. Hvis det er rigtigt slemt
kan de også finde på at tildele IP adressre dynamisk.
Andre ISP'er nedpriotere IPSec så meget i deres netværk at forbindelsen
bliver ubruglig, et eksemple jeg selv har mødt flere gange er Arrownet.
Nogle helt tredje ISP har jeg set duplikere kundens trafik, hvilket
også kan have kedelige konsekvenser for en IPsec forbindelse.
I øjeblikket giver mine forbindelser til Norge problemmer.
>> Jeg spørger hvorfor han kikker på dem, hvad har gjort
>> at han kikker på disse og ikke andre...er det
>> prisen, eller den lækre farve, eller kender han
>> en onkel der en gang har hørt om en der læste at
>> den er sikker.
>
> Sådan forstod jeg det ikke, jeg (og garanteret andre) forstod det som om at
> hvorfor han skulle have en firewall.
Du mener vel to firewalls? :)
>> Det lyder som et dårligt argument, hvad har gjort at du har haft
>> "rigtig gode erfaringer"?
>
> Nu ville jeg ikke skrive en hel stil om mine erfaringer med Cisco, men da
> jeg var ansat i Hærens Operative Kommando, og servicerede udsendte enheder i
> Irak, Afgstand, Kosovo, Bosnien osv. brugte vi kun Cisco udstyr til alle
> netværksforbindelser lige fra routere via sattellitforbindelserne til
> fiber/rj45 forbindelserne i lejerne. Det har altid funket og hvis der var
> noget der ikke virkede var levenrandørene altid venlige og flinke til at
> hjælpe...... Man betaler for Cisco, men man får også servicen og et kvalitet
> produkt....
Læs evt. sidste afsnit.
>> Nogle Cisco produkter er ikke cisco produkter, men blot en anden
>> producent med et Cisco klistermærke.
>
> Hvordan ved du det?
Brug en skruetrækker, læs evt. også deres pressemeddelser.
De opkøber andre virksomheder, fx små ISDN bokse, VPN concentratoren,
SMB routeri/firewall markedet.
>> Dog er den i min verden en dyr Pentium maskine, med
>> licensbegrænsninger.
>
> Meget muligt, man hvis man ved hvad man køber og ikke skal bruge mere er det
> vel ligegyldigt..
Blot kedeligt hvis ens afdeling vokser.
>> Ville du således anbefalde PPTP? :)
>
> Hvordan kommer du frem til det? Så vidt jeg ved kører PIX'en IPSec...
Og PPTP (
http://www.cisco.com/warp/public/110/pptppix.html)
>> Dens VPN er fortræffelig, specielt fordi mange usikre dele af IPSEC
>> protokollen ikke understøttes,
>
> Hvordan er det lige en fordel? Det er vel kun et spørgsmål om
> konfiguration...
Hvis en konfiguration tillader man kan sætte det usikkert op,
er der nok nogle brugere der sætter det usikkert op.
Hvis konfigurationen ikke tillader man sætter det usikkert op,
er der ikke nogen der sætter det usikkert op.
Jeg tænker dog specifikt på de anbefalder der er i
RFC 2409.
>> endvidere bliver SA'er udvekslet på forhånd
>> så man ikke mister pakker når der bliver genudvækslet.
>>
>> Desværrer kan nogle producenter ikke "tåle" man udveksler SA
>> på forhånd.
>>
>> Jeg har set løsninger der har sendt ICMP net unreachable og sågar sendt
>> OSPF routes ud, blot fordi den ene ende ville genudveklse SA.
>
> nå, det lyder da som en skidt boks..
Det var en dyr og anerkendt boks!
>> I tilfælde af man har brug for at fejlsøge kan tcpdump bruges, nogle
>> er det som en fordel, andre som en ulempe, personligt finder jeg det
>> naivt at tro en gateway ikke kan bruges som en sniffer, hvis der
>> ikke er en sniffer installeret.
>
> Hvorfor skriver du det? Det giver da ingen mening i denne sammenhæng...
Jeg giver mine argumenter for hvorfor jeg synes om produktet.
>> Kan man angribe disse klienter direkte eller sørger VPN
>> klienten for netværksbeskyttelse og beskyttelse af
>> VPN konfigurationen.
>
> Selvfølgelig skal man have en fornuftig firewall på klientsiden, men det er
Definere fornuftig?
> jo ligegyldig hvilken firewall man vælger så skal man jo det... Hvis du
> mener andet, så uddyb venligst..
Cisco's VPN klient gemmer sin konfiguration i klartekst.
FW-1 VPN klient har også konfigurationen i klartekst.
Andre problemmer er også fundet under en kunde audit af en af mine
gamle kollega,
http://www.cisco.com/warp/public/707/vpn5k-client-multiple-vuln-pub.shtml
Af andre Cisco VPN problemmer kan nævnes,
2004-04-15: Cisco IPsec VPN Client Group Password Disclosure Vulnerability
2004-04-15: Multiple Vendor IKE Implementation Certificate Authenticity Verification Vulnerability
2004-04-15: Multiple Vendor IKE Insecure XAUTH Implementation Vulnerabilities
2003-05-23: Cisco VPN Client Privilege Escalation Variant Vulnerability
2003-05-22: Cisco VPN Client Privilege Escalation Vulnerability
2002-09-05: Cisco VPN Client Distinguished Name Validation Vulnerability
2002-09-05: Cisco VPN Client Predictable Sequence Number Vulnerability
2002-09-05: Cisco VPN Client TCP Filter Information Leakage Vulnerability
2002-09-05: Cisco VPN Client NETBIOS TCP Packet Denial Of Service Vulnerability
2002-09-05: Cisco VPN Client Password Disclosure Vulnerability
2002-08-12: Cisco VPN Client IKE Packet Excessive Payloads Vulnerability
2002-08-12: Cisco VPN Client IKE Security Parameter Index Payload Buffer Overflow Vulnerability
2002-08-12: Cisco VPN Client Zero Length IKE Packet Denial Of Service Vulnerability
2002-04-26: Cisco Systems VPN Client for Windows Dangerous Dialog Instructions Weakness
Ud over ovenstående har deres indbygget "firewall" været ynkelig i lang tid, indtil
de lavede et sammenarbejde med ZoneLabs, efter dette har jeg ikke haft mulighed for
at teste den.
--
Mvh.
Christian E. Lysel
http://www.spindelnet.dk/