VPN-Client mit virtuellen Adapter

[sascha 10]

Hallo zusammen,

 

ich sehe mich gerade für unsere externen Mitarbeiter nach VPN-Software um. Bis jetzt gefällt mir "The Green Bow" sehr gut, weil es einfach zu installieren und konfigurieren ist. Allerdings bietet die Software keinen virtuellen Adapter an und wenn der Tunnel aufgebaut ist, läuft jeder Netzwerkverkehr über diesen Tunnel. Mir wäre es aber lieber, es ginge nur der Netzwerkverkehr über den Tunnel der auch in das Intranet der Firma soll und der einfache Aufruf einer Website würde normal ins Internet gehen.

 

Kennt jemand nen VPN-Client, der so einen virtuellen Adapter anbietet?

 

Vielen Dank

Sascha

[Velius 10]

Aventail (SonicWall), Check Point, möglicherweise auch CISCO.

 

 

cheers

Velius

[IThome 10]

NCP, Safenet ... Im Übrigen ist das auch Konfigurationssache, was er wohin schickt. Wenn als Ziel 0.0.0.0 in der Security Policy angegeben wird, dann jagt er alles durch den Tunnel (Strict Tunneling). Daran ändert auch ein virtueller Adapter nichts, der eigentlich eine andere Funktion hat ...

[sascha 10]

Hallo!

 

Danke schonmal für die beiden Antworten. :-) Damit kann ich schon mal was anfangen.

 

Ich wusste gar nicht, dass es nichts mit dem virtuellen Adapter zutun hat. Ich war der Meinung, das ich dann entsprechend das Routing einstellen kann, wenn ich so ein virtuelles Interface hab. Da werd ich mich nochmal schlau machen. In dem Fall könnte ich ja auch The Green Bow behalten.

 

Welche Aufgabe hat so ein virtueller Adapter denn dann?

 

Viele Grüße

Sascha

[IThome 10]

Er ist als Netzwerkkarte ansprechbar und es lassen sich beispielsweise Dienste auf ihn binden. Ein Vorteil ist, dass man z.B. spezielle DNS-Server, Verbindungssuffixe einstellen kann. Im sogenannten Shim-Modus (ohne virtuellen Adapter) ist das nicht möglich ...

[Velius 10]

Es kommt auf den Client an. Einige Clients verwenden sehr wohl den virtuellen Adapter um Packete an verschieden Ziele zu senden. Es gibt da keine pauschal Lösung, da VPN an sich eine Work-Around Lösung ist.

 

Ding die mit IPsec und VPN realisiert werden können wurden in IPv6 z.B. ganz anders entworfen.

[IThome 10]

Welcher zum Beispiel ? Wie macht der Client das (der VA ist ja eigentlich nur eine virtuelle Netzwerkkarte) ? Ich kenne es so, dass die SPD bestimmt, was wie wohin geht, ob mit Adapter oder ohne. Es gehen dann natürlich schon, je nach Konfiguration, bestimmte Dinge nur über den VA, was aber nicht am Vorhandensein des VAs liegt, sondern weil die SPD so konfiguriert ist (zumindest bei den Dingern, die ich so gesehen habe).

[Velius 10]

Welcher zum Beispiel ? Wie macht der Client das (der VA ist ja eigentlich nur eine virtuelle Netzwerkkarte) ? Ich kenne es so, dass die SPD bestimmt, was wie wohin geht, ob mit Adapter oder ohne. Es gehen dann natürlich schon, je nach Konfiguration, bestimmte Dinge nur über den VA, was aber nicht am Vorhandensein des VAs liegt, sondern weil die SPD so konfiguriert ist (zumindest bei den Dingern, die ich so gesehen habe).

 

 

Wie erwähnt, die erbeiten unterschiedlich. Aventail besipielsweise macht bei aktiver Verbindung einen PPP Adapter auf mit eigener MAC, IP, DNS und sonstigen IP Einstellungen (kein zusätzliches Protokoll auf dem physischen Adapter gebunden). Auch Routing Einträge werden geschrieben, je nachdem ob die Verbindung offen ist oder nicht. Check Point erstellt hingegen einen vollwertigen Netzwerk Adapter (virtuell) der sich ansonsten nicht gross vom Aventail unterscheidet, ausser dass ein zusätzliches Protokoll an den Adapter gebunden wird bei der Installation.

 

Für's OS ist es somit Transparent was geschiet, und wenn ein Packet für die VPN Domain bestimmt ist wird es (kann weder der Client noch das OS an sich ja wissen) anhand der IP Eigentschaften entweder direkt, über den physischen Adpater oder gekapselt mit der IP des phyischen Adapters and die entsprechenden Orte gesendet.

 

Ich geb dir recht, dass insofern der Client bestimmt, welche IP Eigentschaften & Routing Tebellen geschrieben werden (aufgrund der Konfiguration des Clients), doch die Packete werden über das OS anhand der der IP Eigenschafen versendet. Wo und wie der Hook im TCP/IP Stack implementiert ist ist eine andere Frage.