Was muss man bei Wlan beachten?

[detg]

Mir ist auch nicht klar, wie bei VPN die PC's im lokalen Netzwerk geschützt sind :noidea:

Das wäre nämlich erstmal meine größe Sorge. Und das hat mit DSL und Internetzugriff erstmal noch gar nix zu tun. Ich plädiere zwar dafür, nicht zum Sicherheits-Fetischisten zu werden, aber das WLAN so ganz offen lassen ?

 

[paulchenpanther]

Mal langsam mit den Pferden

Hey Jungs. Übertreibt es mal nicht.
Hier ist ein Fortgeschrittener der einen Ratschlag für ein "sicheres" WLAN wollte, welches mit normalen bzw. gegebenen Mitteln ohne größere Investitionen eingerichtet werden kann. Und dies ist auch m.E. möglich.

WPA/WPA2-Verschlüsselung reicht hier aus. Und wer sicherheitsrelevante Daten hat, sollte sowieso auf WLAN verzichten. Das ist die sicherste Variante.

Gruß

 

[Neo7530]

Ist eigentlich ganz simpel: Haken raus bei alle Clients befinden sich im selben Netzwerk => Per Whitelist nur noch einen Port (den für die VPN-Verbindung) erlauben, und den Clienten einen VPN-Zugang einrichten. Man kann dann per IPTABLES auch die kommunikation der wlan-clienten untereinander verhindern, somit sind auch deine wlan-clienten sicher vor angriffen. Aber ist spielerei... WPA oder besser WPA2 einrichten, schon isses (vorerst) sicher.

Gruß Neo.

 

[florianr]

Mir ist auch nicht klar, wie bei VPN die PC's im lokalen Netzwerk geschützt sind

Das vpn bildet ein eigenes, verschlüsseltes Netz. sofern keine Schwachstellen (schwache passörter o.ä.) vorhanden sind, ist so ein Netz zuverlässig gegen Angriffe von außen geschützt. Selbst bei einer physischen Attacke auf einen Router sind alle Kommunikationsdaten verschlüsselt.
Auch via WLAN mitgeschnittene Pakete sind dann verschlüsselt.


Allerdings bleiben dabei IMHO einige schwachstellen.
In Verbindung mit einem WLAN AP, bleibt dieser bei einem Unverschlüsselten WLAN angreifbar, d.h. Ein Angreifer erhält direkten Zugriff auf den AP. HAupt Schwachstelle bildet dann ein verwundbares Web Interface des AP. so könnte der Angreifer Zugang auf die Konfiguration des Access Points erhalten. Über einen telnet Zugang würde man sogar Zugriff auf alle Konfigurationsdateien des Router erhalten. Wenn der AP (was standardmäßig meist der Fall ist) dann nichteinmal mit einem Passwort geschützt ist, benötigt ein Angreifer nichteinmal eine gezielte Schwachstelle des Interfaces.
Wie erwähnt ist das WAN Interface in einem solchen Setup nicht geschützt, wenn es auf einem WLAN AP bereitgestellt wird, so daß insbesondere über den AP auf das Internet zugegriffen wird, vermutlich häufig ein haupt Angriffsziel bei einer WLAN Attacke.

Häufig eird ein solche Konzept auch einfach unzureichend umgesetzt, indem z.B. ein Printserver via WLAN unverschlüsselt angesprochen wird.

IMHO ist auch bei Verwendung eines VPN Tunnels im internen Netz eine Verschlüsselung des WLAN anzuraten. Alleine um den AP vor Angriffen zu schützen.
In diesem Fall gilt außerdem: doppelt gemoppelt hält besser (was im Sicherheitsbereich ja nicht immer zutrifft). Ein via WPA zusätzlich verschlüsselter VPN Tunnel dürfte mit vertertbarem Aufwand nicht zu knacken sein.

Im übrigen habe ich mir bislang keine Gedanken gemacht, inwieweit man mit einer fbf ein vpn an das Internet Anbinden kann, ich denke daß ist ohne vpn fähigen Router zusätzlich nicht möglich, diese Möglichkeit bietet sich als nur für das interne Netz an, nicht für den Zugriff auf das Internet.

 

[detg]

Ist eigentlich ganz simpel: Haken raus bei alle Clients befinden sich im selben Netzwerk => Per Whitelist nur noch einen Port (den für die VPN-Verbindung) erlauben, und den Clienten einen VPN-Zugang einrichten.

Und wie komme ich dann im lokalen LAN mit meinem Laptop per WLAN an meinen Windows-Server (Laufwerkszugriffe, Video-Streaming usw.) ???
Ich habe doch mein LAN nicht nur deswegen, damit die Clients ins Internet kommen. Es gibt doch noch lokale Dienste. An meiner Fritzbox hängen auch Streaming Clients per WLAN.

Wie soll das mit VPN funktionieren ???

 

[florianr]

Und wie komme ich dann im lokalen LAN mit meinem Laptop per WLAN an meinen Windows-Server (Laufwerkszugriffe, Video-Streaming usw.) ???Es gibt doch noch lokale Dienste

Gerade für diese lokalen Dienste (Netze) ist VPN ja gedacht. Es wird gleichsam ein verschlüsselter Tunnel im öffentlichen (oder natürlich auch lokalen Netz) erstellt.
Haupt Anwendungsbereich ist z.B. wenn man die oben genannten Dienste (Laufwerkszugriffe, Streaming usw.) über das Internet bereitstellen will. Dabei wird dann eine verschlüsselte Verbindung bereitgestellt, die für die angeschlossenen Systeme transparent wie ein eigenes Netz aussieht. Eigentlich ist es aber eben ein verschlüsselter Tunnel innerhalb eines anderen Netzes.
Man muß das natürlich nicht über das Internet machen, man kann solche vpn Tunnel natürlich auch im lokalen Netz einsetzen, das mach Sinn, wenn man z.B. befürchtet, daß über WLAN unbefugte Teilnehmer Zugriff auf das Netz haben.

Ich habe doch mein LAN nicht nur deswegen, damit die Clients ins Internet kommen.

Richtig, das ist eigentlich ein Systembruch und zeigt auch, daß vpn eigentlich nicht zu dem genannten Zweck geignet ist. Entweder realisiert man den Zugriff auf das Internet über ein eigenes Netz, dann bleiben aber natürgemäß die WLAN Clients darußen, weil die nur im VPN sind, oder man hat einen vpn fähigen Router, der in der lage ist ein VPN ins Internet zu routen, dann ist aber der Sicherheitsvorteil des vpn dahin, weil ein ungeschützter, unverschlüsselter Zugang ins Internetbereitgestellt wird.

 

[Neo7530]

Naja... so ganz skann ich das net stehen lassen...

Die Fritzbox ist ja VPN-tauglich (siehe OPENVPN). Man kann nun per ds-mod die firewall so konfigurieren, dass das wlan-netz getrennt ist vom Lan und so einstellen, dass nur ein Port (zB 5000 UDP) zum Knotenpunkt (also zur bridge) durchgelassen wird. Somit ist es nur möglich über diesen Port eine Verbindung zu irgendeinem Gerät herzustellen. Idealerweise lauscht an diesem Port der OPENVPN. Loggt sich nun ein Client per wlan auf die FritzBox ein, kann er dort erstmal nichts tun. er ist nur per WLAN verbunden. Zugriffe auf die Fritzbox sind nicht möglich, und mit hilfe von iptables kann man auch den zugriff auf weitere wlan-clients unterbinden. um nun eine verbindung ins lan oder zu anderen wlan-clienten zu erhalten muss man per openvpn eine verbindung zur bridge der fritzbox herstellen. wer will, kann das ganze auch ausprobieren, das funktioniert wunderbar, anleitungen gibts hier im forum. Suche nach iptables und openvpn.

Gruß Neo.


P.S.: Man könnte das natürlich auch aufs lan ausweiten, sprich: LanClients müssen auch eine VPN-Verbindung aufbauen, um ins Internet oder zugriff auf Streaming-server zu haben, aber da der "Angriff" wenn dann durchs WLAN kommt, kann man sich diesen schritt sparen. Aber es Zeigt, dass mit ein paar gut gewählten Firewall-Einstellungen auf der Fritz ein sehr sicheres Netzwerk möglich ist.

 

[florianr]

Und wer sagt uns wie sicher eine gemoddete Fritz Box ist?
Also mal ehrlich, das taugt nicht als Sicherheitskomzept, und löst auch noch nicht das Problem, wie der Zugriff auf das internet geschützt werden soll, das würde, wie ich oben schrieb voraussetzen, daß die Fritz Box ein vpn ins Internetrouten kann und das kann sie eben nicht,
Das Hauptangriffsziel einer WLAN Attacke würde IMHO das Erlangen eines Internetzuganges sein. Das ist aber auch mit den oben genannten Einstellungen nicht verhindert, so wird nur das LAN geschützt. Angriffe auf das LAN dürften aber weitaus seltener sein, als Angriffe, die nur auf Internetzugang abzielen.

Aber es wird hier sehr OT, vielleicht sollten wir dafür einen neuen Thread aufmachen,