Wlan mit OpenVPN schützen

Anarcho · Advocate Joined: 06 Jun 2004 Posts: 2970 Location: Germany

Der ist noch nicht so alt, da wird sich wohl nicht viel getan haben.

Daher finde ich die OpenVPN Lösung genauso sicher aber einfacher zu installieren und zu benutzen.
_________________
...it's only Rock'n'Roll, but I like it!

Neo_0815 · l33t Joined: 24 Feb 2003 Posts: 815 Location: Leipzig

Naja das Mark Target war als umständlich beschrieben, die IPSec Policy war aber als adäquat genannt ... ich werd mich melden sobald ich live ausprobiert habe obs wirklich so schwer ist, derzeit nutze ich ja den nativen Stack schon für ESP Pakete, nur der Router muss noch dran kommen - mal sehn wies wird.

Denn dann finde ich ist es so schon besser, da Kernel Space meist schneller läuft als Userspace, siehe pppoe im Kernel / Userland, die im Kernel sind zig mal schneller.

MfG
_________________
[img:76661e22b8]http://www.biersekte.de/biersektebanner.gif[/img:76661e22b8]

Anarcho · Advocate Joined: 06 Jun 2004 Posts: 2970 Location: Germany

Naja,

aber der Trend geht schon in Richtung Userland, siehe udev.
Und generell kann man das auch nicht sagen das kernelspace schneller ist als userspace.

Und die einfache Installation ist schon ein wichtiges Argument. Ebenso die Portablilität,
z.b. wenn jetzt jemand mit nem Fedaro Core 2 connecten möchte und der keinen IPSec-Unterstützung im Kernel hat (keine Ahnung ob FC2 jetzt IPSec drinne hat oder nicht, ist nur ein Beispiel), er aber auch den Kernel nicht neukompilieren will (Firmenpolitik, Können, etc.) , geht es nicht.
Mit OpenVPN ist es egal welchen Kernel er einsetzt und welches OS ebenfalls.
_________________
...it's only Rock'n'Roll, but I like it!

Neo_0815 · l33t Joined: 24 Feb 2003 Posts: 815 Location: Leipzig

Die Portabilität ist nat. ein sehr gutes Argument stimmt - nunja ich werde auf jeden Fall beide Lsg. mal austesten und dann mal schauen was sich besser macht,.

MfG
_________________
[img:76661e22b8]http://www.biersekte.de/biersektebanner.gif[/img:76661e22b8]

Anarcho · Advocate Joined: 06 Jun 2004 Posts: 2970 Location: Germany

Ich bin natürlich auch für andere Lösungen offen. Wenn du es mal durchtestest wäre ich für einen Kommentar dankbar!
Und ob das mit iptables nun geht oder nicht würde mich auch interessieren.
_________________
...it's only Rock'n'Roll, but I like it!

daemonb · Apprentice Joined: 24 Jul 2002 Posts: 242

habe seit ca einem halben jahr openvpn mit meinem wlan laufen und bin eher unzufrieden.

Habe unter windows schon alles mögliche probiert und habe immer mit verbindungsabbrüchen oder routingfehler zu kämpfen die keine sind.
Werde nächste WE mal forschen was ich noch machen kann, habe aber langsa genug und werde denke ich evtl mal mit ipsec und l2tp probieren was zu reissen....

Lasse mich mal überraschen....

bis denne

DaemonB
_________________
Wie? Ein Laufwerk kann in einem Ordner stehen? ;-)

Anarcho · Advocate Joined: 06 Jun 2004 Posts: 2970 Location: Germany

Bei mir läuft das jetzt seit Anfang des Jahres und ich kann deine Probleme nicht bestätigen. Bisher gab es nicht ein Problem.
Was ich mir bei dir vorstellen kann wäre ein Verlust der Leitung auf Grund zu schwacher WLAN-Leistung.
Wobei da gerade das auf UDP basierende OpenVPN weniger Probleme machen sollte (würde ich meinen).
_________________
...it's only Rock'n'Roll, but I like it!

daemonb · Apprentice Joined: 24 Jul 2002 Posts: 242

habe das problem ja nur mit dem einen windowsXP laptop.

Zuerst ging es garnicht, das lag aber daran das da SP2 drauf war.

Also deinstalliert und dann gings erst, jetzt zickt er immer rum, vonwegen routing problem packet lost....

Denke es liegt evtl auch an der Kerio FW oder ähnlichem....

Mit meinem Powerbook geht es eigentlich relativ stressfrei.
_________________
Wie? Ein Laufwerk kann in einem Ordner stehen? ;-)

Neo_0815 · l33t Joined: 24 Feb 2003 Posts: 815 Location: Leipzig

@Anarcho: Kannst du eingentlich eine Lastaussage treffen?

Bei meinem P90 verbraucht ipsec mit ESP ca. 0.4 load average im Vergleich zu kein ipsec, ist openvpn besser oder schlechter? Bei schlechter scheidet es nämlich eh aus.

MfG
_________________
[img:76661e22b8]http://www.biersekte.de/biersektebanner.gif[/img:76661e22b8]

Anarcho · Advocate Joined: 06 Jun 2004 Posts: 2970 Location: Germany

@Neo

für nen richtigen Test sollten wir wohl die Art des testes abstimmen.
Bei mir läuft es auf einem Athlon XP 2000+ mit 1 GB RAM. Aber dort läuft noch ne ganze menge anderes Zeug. Ich kann dir aber sagen wieviel CPU der openvpn-daemon nimmt.
Ist dein Wert unter Netzwerkvolllast oder unter normallast?

Edit:

Unter fast DSL-Vollast (ca. 300 kb/s) liegt der openvpn daemon bei max. 2% CPU
_________________
...it's only Rock'n'Roll, but I like it!

Neo_0815 · l33t Joined: 24 Feb 2003 Posts: 815 Location: Leipzig

Geht alles mittlerweile.
Größter Vorteil die Performance, IPSec frißt definitv das xx-fache im Gegensatz zu OpenVPN, das Argument für den armen P90 ;-)

.

Ein Problem gibts aber noch: Openvpn erstellt auf dem Client das tap1 Device nicht schnell genug so das das Init Script zum starten von tap1 scheitert ... was den Bootvergang verewigt da die Netzanbindung fehlt, wie kann man das beheben?
Ein sleep in den Startscripten hilft nicht.

Gruß
_________________
[img:76661e22b8]http://www.biersekte.de/biersektebanner.gif[/img:76661e22b8]

AcheronH · n00b Joined: 21 Oct 2003 Posts: 8

@Anarcho:
Wie siehts eigentlich aus, wenn bei deiner config das tap device mal verschwindet? Wenn ich die OpenVPN Doku richtig verstehe könnte das ja passieren, wenn OpenVPN-Server und -Client sich mal nicht mehr verstehen (einfach zu triggern, indem man die Uhrzeit mal deutlich verstellt bzw den Dienst auf dem Server einfach mal neu startet). Schonmal Probleme gehabt oder funktioniert das immer sauber?

Ich hab das so ähnlich aufgesetzt wie du (bin zu spät auf deine FAQ gestoßen), hab aber dazu auf dem Server das WLAN mit dem LAN als bridge zusammengeführt. Das funktioniert auch recht gut, nur hab ich auf den clients keine init-scripte für tap0 sondern lasse das als route-up script vom openvpn aus starten.
Das hat bei mir den Vorteil, dass ich mit dem Notebook sowohl aus dem LAN als auch WLAN dieselbe IPV4-Adresse habe (die er vom LAN-dhcp bezieht).

Bei Interesse kann ich die configs mal posten.
_________________
__
success is the ability to go from one failure to another with no loss of enthusiasm (W. Churchill)

Neo_0815 · l33t Joined: 24 Feb 2003 Posts: 815 Location: Leipzig

Naja nein die Bridge nutze ich nicht, ich route korrekt und gut.

Aber das mit dem Device ist so, wenn openvpn startet dauert es lange bis der Kernel das Device anlegt oder udev, einer von beiden mehrt, ich habe jetzt per Hand "provide, use" Direktiven in die Startscripte so eingebaut, das das Device da ist wie es soll.

Ein "sleep" im openvon hat nix geholfen, sehr interessantes Problem ...

MfG
_________________
[img:76661e22b8]http://www.biersekte.de/biersektebanner.gif[/img:76661e22b8]

AcheronH · n00b Joined: 21 Oct 2003 Posts: 8

Anarcho · Advocate Joined: 06 Jun 2004 Posts: 2970 Location: Germany

Komisch,

@neo: schön das es bei dir klappt. Das der Unterschied an CPU-Last so deutlich ist, hätte ich nicht vermutet.
Aber ich habe keinerlei solche probleme mit nicht vorhandensein des tap-devices gehabt.

Und zum Thema verbindungsabbruch: Damit habe ich sehr gute Erfahrung gemacht:
Wenn ich mein Notebook mit suspend-to-disk ausschalte und wieder hochfahre, dann denkt der Server ja, das während das Notebook aus ist, das die Verbindung abgebrochen ist. Aber wenn ich es wieder hochfahre, dann wird die Verbindung ja nicht manuell wiederhergestellt, da der openvpn daemon ja noch läuft. Dieser baut dann selbstständig die Verbindung wieder her. Man muss nur kurz warten.
_________________
...it's only Rock'n'Roll, but I like it!

benjamin200 · Posted: Thu Apr 14, 2005 11:43 am Post subject:

Auf dieses Howto sollte in "Dokumentationen & Tipps & Tricks" gelinked werden.

Gruß,
Benjamin
_________________
Gentoo Linux Stage1 / Kernel 2.6.18
AMD Athlon64 3500+ on Asus A8N-E / 1024 MB DDR-RAM / ATI X700 PCIe
Take LINUX and forget Blue Screens

Squiddle · Tux's lil' helper Joined: 27 Jan 2004 Posts: 141

kommt das auch ins wiki? www.gentoo-wiki.com
_________________
"Unerhört schnelle Systeme begehen unerhört schnell Fehler." -- Stanislaw Lem

Anarcho · Advocate Joined: 06 Jun 2004 Posts: 2970 Location: Germany

Werde das mal ins WIKI stellen, wenn ich zeit habe.
_________________
...it's only Rock'n'Roll, but I like it!

Neo_0815 · l33t Joined: 24 Feb 2003 Posts: 815 Location: Leipzig

Squiddle · Tux's lil' helper Joined: 27 Jan 2004 Posts: 141

Ich hab mal angefangen, ich hoffe das ist ok.
http://de.gentoo-wiki.com/Wlan_mit_OpenVPN_sch%C3%BCtzen
_________________
"Unerhört schnelle Systeme begehen unerhört schnell Fehler." -- Stanislaw Lem

Anarcho · Advocate Joined: 06 Jun 2004 Posts: 2970 Location: Germany

Sieht doch schon ganz gut aus.
Ich habe noch den Eintrag zu den Kernelvorraussetzungen geändert, denn bei neueren Kerneln braucht man support für das Universal TUN/TAP Device.

Ich meine das ich das damals nicht gebraucht habe, werde aber nochmal nen alten Kernel testen.
_________________
...it's only Rock'n'Roll, but I like it!

AcheronH · n00b Joined: 21 Oct 2003 Posts: 8

Neo_0815 · l33t Joined: 24 Feb 2003 Posts: 815 Location: Leipzig

AcheronH · n00b Joined: 21 Oct 2003 Posts: 8

Anarcho · Advocate Joined: 06 Jun 2004 Posts: 2970 Location: Germany

Da müsste ich mal ethereal anwerfen wie Client-to-Client Traffic verläuft.
Aber mir ist Client-to-Client Traffic egal, denn bei mir geht es nur um den Server (Fileserver und Router)
und das neustarten des Servers halte ich für unwahrscheinlich bzw. noch aus anderen Gründen für sehr schlecht, daher würde mir im Falle des neustarten des Servers sowieso ein wenig Handarbeit nicht erspart.
Wenn dein Server ständig neustartet, machst du was falsch :twisted:

_________________
...it's only Rock'n'Roll, but I like it!