[Frage] VPN und "exposed host" Ist das gefährlich?

[effendi]

Hi Leute,

nach langer fritz!box- Abstinenz habe ich mich kürzlich endlich an das Thema Fernzugriff gewagt, und bin mächtig stolz auf mich, dass ich von all meinen mobilen clients und Devices (siehe Signatur) nun eine VPN-Verbindung herstellen kann (für einen Netzwerk- Dummy wie mich eine Mords- Leistung wie ich finde ;-)

Nun möchte ich aber den nächsten Schritt angehen und auf HDDs, Laufwerke, Drucker, etc. im Netzwerk zugreifen. Das einfachste wäre meinen Mac (der ist bei mir quasi Workstation und Server zugleich und der hängt direkt an der Fritze) als "exposed host" einzurichten.

Meine Frage ist nun: Ist das gefährlich (man liest so einiges bei google, aber nix genaues), oder bin ich durch die Fritze und dem VPN Tunnel ausreichend geschützt? Welche Risiken/ Probleme halse ich mir KONKRET mit der "exposed host "Lösung auf?

Danke im Voraus
effendi

 

[Novize]

Exposed Host heißt ganz grob dargestellt: Ein bestimmtes Gerät (in diesem Fall Dein Mac) ist völlig ungeschützt aus dem Internet erreichbar. Ist hier die kleinste Schwachstelle beim "Eigenschutz", kann der Eindringling dieses Gerät übernehmen, um von dort aus Zugriff auf alle Daten des Macs und darüber hinaus auf das gesamte Netzwerk von Dir zu erlangen. Exposed Host ist sozusagen ein Tunnel durch den Router und dessen Firewall direkt ins ungeschützte Internet.
VPN hingegen bedeutet: Durch diesen VPN-Kanal wird Dein externer PC (hier Deine iPads und iPhones) quasi durch einen geschützten Tunnel direkt mit dem Netz hinter dem Router verbunden. Ab diesem Moment hast Du eh Zugriff auf alle Geräte In diesem Netz. Quasi so, als wäre Dein VPN-Gerät ein normales Gerät im Netzwerk ohne Internet dazwischen.
Für Dich bedeutet das: Lasse die Finger vom Exposed Host, der nützt Dir nicht, kann aber mächtig Schaden anrichten!

 

[effendi]

Hi,

danke für die Antwort. OK, dann hatte ich ein Verständnisproblem, aber dann tut sich tatsächlich ein Problem auf, denn:

Ich habe KEINEN Zugriff auf das gesamte Netzwerk obwohl die VPN-Verbindungen eindeutig aufgebaut werden, und der Internet-Traffic eindeutig über meine Fritze geroutet wird (ich komme via VPN auf die Weboberfläche der Fritze fritz.box etc; wenn ich aus dem Ausland "Kazzaa- Internet TV" ohne VPN starte, dann klappt das nicht, weil "in diesen Ländern nicht freigeschaltet", sobald ich VPN starte geht alles wie von zuhause) ABER: Auf Drucker, HDDs etc. im Netzwerk komme ich nicht...

Es muss also noch was anderes "klemmen". Ich habe den Apple- Netzwerkdienst "Bonjour" in Verdacht, der eigentlich ansonsten auh mit meinen Windows-Büchsen ganz gut funktioniert. Hat jemand Erfahrung mit dieser Kombi: Fritz!box, VPN und Apple Bonjour (MAC) ?

Besten Dank im Voraus

 

[Novize]

Bonjour und ähnliche Dienste arbeiten bei dem Aufbau der Kommunikation mit Broadcast-Meldungen. Dies sind Anfragen, die nciht an ein bestimmtes Gerät gehen sondern einfach ins gesamte Netzwerk geschickt werden.
Dann kommen ggfl. von vielen Geräten Bestätigungsmeldungen zurück. Im lokalen Netz meist schön und gut, wenn das Netz nciht zu groß angelegt ist und nicht zu viele Teilnehmer hat, aber via VPN prinzipiell eine Katastrophe, da damit alleine schon das gesamte VPN überflutet werden kann.
Das und auch protokolltechnische Gegebenheiten sorgen nun dafür, dass diese Broadcastmeldungen nicht via VPN weitergeleitet werden. Damit bleibt alles bei VPN außen vor, was auf diesem Protokoll aufbaut.

 

[hitman]

Wie sieht die VPN-Konfig aus? Wenn du den gesamten VPN-Traffic wieder ins Internet routest, könnte hier ein Problem sein.

Von wo aus verbindest du dich? Hast du eine öffentliche IP oder bist du in einen privaten Netzwerk (im schlimmsten Fall im gleichen Subnet, wie das hinter der Fritzbox)?

 

[Novize]

Gleiches Subnetz wie die heimische Fritzbox ermöglichst keinen Zugang mehr, da das Phone nicht mehr weiß, was überhaupt noch wie geroutet werden kann. Das iPhone/iPad routet bei aufgebautem VPN grundsätzlich alles über diesen virtuellen Adapter. Das ist nicht das Problem.
Aus eigener Erfahrung und auch aus vielen anderen Berichten kann ich nur wiederholen: Beim genutzten Protokoll und dem iDevice ist es nicht möglich, Broadcasts via VPN zu senden und zu empfangen. Bonjour aber ist auf Broadcast ausgelegt. Ergo: Geht nicht...

 

[effendi]

Wie sieht die VPN-Konfig aus? Wenn du den gesamten VPN-Traffic wieder ins Internet routest, könnte hier ein Problem sein.

Von wo aus verbindest du dich?

Ich verbinde mich vom Internet aus. Dazu, wie die VPN- Einstellungen aussehen kann ich (als Netzwerk- Dummy) eigentlich nur folgendes sagen: Genau so, wie AVM es auf Ihrer entsprchenden Support- Page empfohlen haben

Aus eigener Erfahrung und auch aus vielen anderen Berichten kann ich nur wiederholen: Beim genutzten Protokoll und dem iDevice ist es nicht möglich, Broadcasts via VPN zu senden und zu empfangen. Bonjour aber ist auf Broadcast ausgelegt. Ergo: Geht nicht...

Das ist aber ärgerlich

Hast Du vielleicht nen Tip, aus den gleichen Erfahrungen heraus, wie man das ganze doch gänig machen kann? Ich frage deshalb, weil ich Firmen kenne wo sämtliche Clients MACs sind (ob aber der Server nicht doch ne andere Büchs ist weiss ich nicht) und wo sich Mitarbeiter über VPN ins Netzwerk einklinken.

Merci und Grüsse,
effendi

 

[Novize]

Ich frage deshalb, weil ich Firmen kenne wo sämtliche Clients MACs sind (ob aber der Server nicht doch ne andere Büchs ist weiss ich nicht) und wo sich Mitarbeiter über VPN ins Netzwerk einklinken.

VPN und Drucken via Netzwerk funktionierte schon lange vor Bonjour. Daher können sich vernünftig konfigurierte MACs auch im VPN-Netz bewegen, DOkumente bearbeiten und drucken.
Und nein, nativ fürs iOS-Devices kenne ich keinen Workaround. Ich selbst drucke via VPN nur mit meinem Notebook.
Das iOS-Device spielt bei mir nur den Tethering-Partner zur Anbindung ans Internet.