VPN im Intranet

Computer: Hardware Netzwerk
1

Hallo zusammen,

ich möchte im Intranet eine VPN-Verbindung einrichten. Ich möchte ein „Verwaltungsnetz“ durch das „öffentliche Schulnetz“ über unseren Linuxgateway ans Internet anbinden. Wie muss dann meine ipsec.conf aussehen, ich werde aus den Howtos nicht schlau.
Hier noch die Rechnerconfigs:

Internet-Gateway/ VPN-Server:

SuSE Linux
Kernel 2.4.x mit Freeswan
eth0 fürs interne Netz (192.168.7.110)
ippp0 für Internet

Verwaltungs-VPN-gateway:

SuSE Linux
Kernel 2.4.x mit Freeswan
eth0 fürs Verwaltungsnetz (192.168.20.100)
eth1 als Verbindung ins Schulnetz (192.168.7.100)

Vielen Dank für eure Hilfe.

Klaus

2

Hallo zusammen,

Hi alleine,

ich möchte im Intranet eine VPN-Verbindung einrichten. Ich
möchte ein „Verwaltungsnetz“ durch das „öffentliche Schulnetz“
über unseren Linuxgateway ans Internet anbinden. Wie muss dann
meine ipsec.conf aussehen, ich werde aus den Howtos nicht
schlau.

Welche HowTos? Was genau hast Du an [1] nicht verstanden?

HTH,
Gruss vom Frank.
===footnotes===
[1] http://www.freeswan.org/freeswan_trees/freeswan-2.04…

3

Hallo Frank,

die reden in den Howtos immmer von zwei Netzen, die habe ich aber nicht, ich habe nur ein Netz (192.168.7.0/24) auf dem ich EINE Verbindung und zwar die von 192.168.7.110 nach 192.168.7.100 irgendwie verschlüsseln muss, sodass die Daten nicht eigensehen werden können.

Klaus

4

Hallo Frank,

Hi,

die reden in den Howtos immmer von zwei Netzen, die habe ich
aber nicht, ich habe nur ein Netz (192.168.7.0/24)

Du wirst lachen: Du hast sogar 3 Netze: das Verwaltungsnetz(1), welches Du mit dem Internet(2) ueber das potentiell unsichere Schulnetz(3) verbinden willst.

auf dem ich EINE Verbindung und zwar die von 192.168.7.110 nach
192.168.7.100 irgendwie verschlüsseln muss, sodass die Daten
nicht eigensehen werden können.

Lege erstmal fest, welches der zu verbindenden Netze right und left sind (z. B. rightsubnet=0.0.0.0/0 und leftsubnet=192.168.20.0/24) und gehe dann Schritt fuer Schritt durch die Anleitung von der bereits erwaehnten Adresse. Ist eigentlich ganz einfach, haengst Du an einer konkreten Stelle fest, komme mit einer konkreten Frage wieder. Fuer das Vorlesen von Dokumentation berechne ich zweistellige Stundensaetze.

Viel Erfolg,
Gruss vom Frank.

5

Lege erstmal fest, welches der zu verbindenden Netze right und
left sind (z. B. rightsubnet=0.0.0.0/0 und
leftsubnet=192.168.20.0/24) und gehe dann Schritt fuer Schritt
durch die Anleitung von der bereits erwaehnten Adresse.

Also: Sagen wir mal ‚right‘ ist das Verwaltungsnetz, aber was gebe ich dann auf dem VPN-Server als ‚left‘ an? Das Schulnetz, oder das Internet, wenn letzteres, mit welcher IP, ich hab da nämlich keine Feste!

Dann sähe meine conf auf dem Client so aus:
conn net2net
left=192.168.20.100
leftsubnet=192.168.20.0/24
leftnexthop=%defaultroute
right=???
rightsubnet=???
rightnexthop=???
auto=add

und auf dem Server:
conn net2net
left=???
leftsubnet=???
leftnexthop=???
right=192.168.7.100
rightsubnet=192.168.20.0/24
rightnexthop=%defaultroute
auto=add

Was muss denn jetzt für die ??? hin? Da hänge ich fest.

Klaus

6

Ich gestehe, dass das Beispiel auf der Seite, auf die ich verwiesen hab, etwas ungluecklich ist, da dort ein ziemlich schraeges /29 subnet verwendet wird.

Lege erstmal fest, welches der zu verbindenden Netze right und
left sind (z. B. rightsubnet=0.0.0.0/0 und
leftsubnet=192.168.20.0/24) und gehe dann Schritt fuer Schritt
durch die Anleitung von der bereits erwaehnten Adresse.

Also: Sagen wir mal ‚right‘ ist das Verwaltungsnetz, aber was
gebe ich dann auf dem VPN-Server als ‚left‘ an?

Nein. left und right sind auf beiden Seiten identisch. Einmal left, immer left.

Das Schulnetz, oder das Internet, wenn letzteres, mit welcher
IP, ich hab da nämlich keine Feste!

left und right sind die beiden IP#, die ins unsichere Netz reichen (in Deinem Fall die im .7.0/24). Also:

Dann sähe meine conf auf dem Client so aus:

Und auf dem ‚server‘ (vergiss das mit client/server besser auch gleich wieder, von sowas kann man bei ipsec (AFAIK) nicht sprechen).

conn net2net
left=192.168.20.100

192.168.7.110. Die IP# im unsicheren Netz.

leftsubnet=192.168.20.0/24

Ich denke rechts ist das Verwaltungsnetz!? Hier kommt das linke subnet hin, das Internet: 0.0.0.0/0.

leftnexthop=%defaultroute

Nein. Left ist doch das gateway zum Internet. Dessen default route wird (denke ich) zum router des providers zeigen ($ /sbin/route). Die Pakete muessen direkt nach right (%direct).

right=???

192.168.7.100. Die IP# im unsicheren Netz.

rightsubnet=???

Und hier kommt jetzt das Verwaltungsnetz hin: 192.168.20.0/24.

rightnexthop=???

Entweder %direct, damit geht es direkt an die IP# von left, oder %defaultroute, dann gehen die Pakete an die default route des Rechners.

auto=add

Jetzt fehlt da aber (IMHO) noch was. Ich weiss ja nicht, ob Du noch einen Abschnitt ‚conn %defaults‘ hast, irgendwo solltest Du ‚authby=rsa‘ festgelegt haben (auch wenn bei der Punkt-zu-Punkt-Verbindung shared secret auch praktikabel waere). Und dann fehlen noch die {left,right}{id,rsasigkey}. Steht auch alles in der erwaehnten Anleitung.

und auf dem Server:
conn net2net
[gespiegelte config]

Vergiss das mal schnell wieder. Die Konfigurationen muessen (zumindest in den zusammengehoerenden conn-Abschnitten) identisch sein.

HTH,
Gruss vom Frank.

7

Fuer das Vorlesen von Dokumentation berechne ich
zweistellige Stundensaetze.

Das Angebot nehme ich an. Sagen wir 10 Euro?

SCNR
Stefan

8

Fuer das Vorlesen von Dokumentation berechne ich
zweistellige Stundensaetze.

Das Angebot nehme ich an. Sagen wir 10 Euro?

Sagen wir 99EUR? Kommt auch auf die Dokumention dran: bezahlst Du mir fuer das Lesen der AFS-Doku 10EUR? Weil ich die sowieso gerade lese. :wink:

SCNR

Me, too,
Gruss vom Frank.

9

Hallo Frank,

ich blick ich gar nicht mehr durch, ich dachte, ich hätte das jetzt kappiert…

Könntest du mir die beiden Abschnitte für ‚left‘ und ‚right‘ mal hier reinschreiben? Vielleicht kappier ich das dann.

Danke

Klaus

10

Hallo Frank,

Hi,

ich blick ich gar nicht mehr durch, ich dachte, ich hätte das
jetzt kappiert…

Wo ist das Problem?

Könntest du mir die beiden Abschnitte für ‚left‘ und ‚right‘
mal hier reinschreiben? Vielleicht kappier ich das dann.

Nein. Sag mir, was Du nicht kapiert hast und ich erklaere es Dir. Beim blosse Kopieren der config lernst Du nichts. Hast Du den link gelesen? Sag mir, was Du daran nicht verstanden hast, dann loesen wir das.

Gruss vom Frank.