Johannes Bauer Albrecht Liebscher Klaus Thielking-Riechert. OpenVPN. Grundlagen, Konfiguration, Praxis. rsl dpunkt.verlag

Transkript

1 Johannes Bauer Albrecht Liebscher Klaus Thielking-Riechert OpenVPN Grundlagen, Konfiguration, Praxis rsl dpunkt.verlag

2 VII Inhaltsverzeichnis 1 Einleitung VPNs von der Antike bis heute Eine sich ändernde Welt benötigt sichere Kommunikation Überlegungen zu VPN-Design und -Komponenten Es muss nicht immer ein VPiM sein! Authentifikation und Automation Netzwerkarchitektur VPN-Technologie 12 3 Netzwerk ist nicht gleich Netzwerk Das ISO/OSI-Schichtenmodell Routing und Bridging Paketlängen und Fragmentierung 19 4 Klassische Angriffe und deren Abwehr Die vier Grundpfeiler für sichere Kommuntkation Vertraulichkeit (Confidentiality) Authentisierung (Authentication) Integrität {Integrity) Nachweisbarkeit (Non-repudiation) Täuschen, Tarnen und Übernehmen Mitlesen von Passwörtern: Data-Sniffing mit MAC- Flooding ARP-Poisoning / ARP-Spoofing IP-Spoofing DoS-Attacken 30 5 OpenVPN: Die Open-Source-Alternative Ein Blick zurück zur Motivation Schlüsselaustausch mit Transport Layer Security (TLS) OpenSSL Erwerbbare Zertifikate Verschlüsselungsverfahren 44

3 Inhaltsverzeichnis 5.4 Virtuelle Netzwerkschnittstellen Das Tunnelprinzip Hilfsmittel der Abstraktion: tun- und tap-geräte Kontroll- und Datenkanäle Betriebsmodi: Server, Client, Point-to-Point und Server Mode Point-to-Point Server Mode 52 b Verwaltung einer Certificate Authority Wofür eine CA? 55 ^ 2. (^^^V^^^^sjj^CJ^ ^ 6.3 Einrichtung von OpenSSL 6.4 Erstellung einer einfachen CA Linux 5g Windows 6.5 Hierarchische CAs gg Erstellung der hierarchischen CA <S Verwendung der hierarchischen CA mit OpenVPN Installation Linux jo 7.2 Windows yg Windows-Installation mit OpenVPN GUI tun/tap-treiber für Windows OpenVPlM-Windows-Dienst Automatischer Start von OpenVPN ohne Administratorrechte 7g 7.3 Mac OS X BSD-basierte Systeme Virtuelle Interfaces Routing und Bridging 34 8 Aufbau einer Verbindung Der erste OpenVPN-Tunnel: Hello Network! Erstellen der Zertifikate Installation und Konfiguration des VPN-Servers Clientkonfiguration Der erste Verbindungsaufbau aus dem Blickwinkel des Servers Der erste Verbindungsaufbau aus der Sichtweise des Clients 8.2 Sicher ist sicher: Redundante Server 99 QJ

4 Inhaltsverzeichnis IX 8.3 Der Trick mit den /30-Subnetzen bei Server-Mode- Konfigurationen Bandbreitenoptionen Kompression Limitierung Optionen für abgebrochene oder ungenutzte Verbindungen Automatischer Abbau einer ungenutzten Verbindung Signalisierung des Verbindungsabbaus HO 8.6 Benutzerprofile und Adresspools HO Adresspools für Routing und Bridging HO Persistenz mit Hilfe von Zertifikaten: client-config-dir und Co Verbindung ohne besondere Privilegien: dupiicate-cn Adresszuweisung mittels DHCP Übergabe von Parametern an den Tunnelpartner Modifikation des Routings auf dem Client Modifikation des Routings auf dem Server Default-Gateways und Split Tunneling Push-Optionen für spezifische Clients Änderung der IMetzwerkeigenschaften Paketgrößen Type of Service Socket-Eigenschaften Authentisierung: Preshared Keys, Zertifikate & Co OpenVPN mit Preshared Keys (PSK) Zertifikate und eine eigene CA Authentisierung durch einen RADI US-Server Konfiguration eines RADIUS-Servers 135' Einrichtung des RADIUS-Plugins für PAM Benutzung des PAM-Plugins in OpenVPN Limitierte Gültigkeit des Passworts Management Managementinterface Verfügbare Kommandos Logging Accounting mit c//ent-connect-skripten Weitere Sicherheitsoptionen Isolierung in einer chroot-umgebung openvpn-down-root Optionen für den TLS-Modus 158

5 K Inhaltsverzeichnis 11.4 Kanalverschlüsselungsoptionen Unterstützung durch Firewalls Unterschied bei Routing und Bridging Achtung bei client-to-client DoS-Angriffe OpenVPN im Firmeneinsatz Kostengünstige Verbindung von Standorten Beispiel für Bridging: Hilfe beim Umzug von Standorten Überwindung von Barrieren beim Feldeinsatz Network Address Translation (NAT) Firewalls & Proxys Integration von OpenVPN in ein Windows-Netzwerk Konfiguration der Linux-Firewall Installation des OpenVPN-Servers Verwenden der Serverzertifikate einer OWA-Installation Installation der Clients: OpenVPN GUI OpenVPN im Hausgebrauch Sicheres WLAN: Achtung, Joe on the Road! OpenVPN auf Embedded-Systemen mit OpenWRT Punkt-zu-Punkt-Kommunikation über klassische Barrieren Die LAN-Party mit OpenVPN - Zocker-VPN Linux-Clients Troubleshooting von OpenVPN Keine Verbindung Initialization Sequence Completed - trotzdem arbeitet der Tunnel nicht Login bricht mit VERIFY ERROR nach der Kennworteingabe ab Unerwarteter Connection Reset unter Windows Unroutable control packet received Bad LZO decompression header tayte: Schlechter Durchsatz Keine Verbindung durch Network Address Translation Kein Zugriff auf andere Clients Kein Zugriff auf andere OpenVPN-Clients am Server Kein Zugriff auf Rechner im Subnetz des OpenVPN- Gateways Unter Windows werden keine Computer in der Netzwerkumgebung angezeigt 221

6 Inhaltsverzeichnis XI 14.5 Programme zur Fehlersuche tcpdump Ethereal ping traceroute Paketfilter iptables OpenVPN-Development Das Plugin-System von OpenVPN Beispiel-Plugin pgauth Kompilierung des Plugins und Stolpersteine Ausblick auf OpenVPN Port Sharing - Forwarding von Verbindungen zu anderen lokalen Diensten Mehrzellige Parameterlisten Automatische Erkennung von Proxy-Einsteilungen OpenVPN als Windows-Service ohne Administratorrechte Inline-Zertifikate topology 251 A OpenVPN-Ressourcen im Internet 253 A.l Websites 253 A.2 Mailinglisten 253 A.3 Foren und IRC 254 B Skripte fürs Bridging 255 B.l bridge-start von brigde_a 255 B.2 bridge-start von brigde_b 256 B.3 bridge-stop für bridge_a und brigde_b 257 Abbildungsverzeichnis 259 Literaturverzeichnis 263 Index 267