6
Sophos UTM: Unterscheidung VPN Clients
Hi,
ich habe eine Sophos UTM (SG) im Einsatz, die Homeoffice-Clients sind per SSL-VPN unterwegs. Jetzt habe ich auf ein paar mobilen Endgeräten OpenVPN ausgerollt, das klappt gut. Die Mobilen machen darüber grundsätzlich erstmal nur Exchange, der von Außen vorerst nicht erreichbar ist.
Jetzt grübel ich etwas, sieht jemand einen eleganten Weg wie ich in der Firewall zwischen Windows PCs im Homeoffice und Mobilen Endgeräten unterscheiden kann? Ich möchte gerne die Mobilen restriktiver handhaben, aber dafür jetzt auch nicht komplett andere VPN-Techniken einsetzen oder jedem Benutzer einen separaten Account für sein Mobil-Gerät einrichten.
Es wäre auch okay mit verschiedenen DHCP-Ranges zu arbeiten, aber ich kann für SSL-VPN nur einen DHCP Pool angeben, das ist irgendwie vom gewöhnlichen DHCP entkoppelt. So die zündende Idee habe ich noch nicht...
ich habe eine Sophos UTM (SG) im Einsatz, die Homeoffice-Clients sind per SSL-VPN unterwegs. Jetzt habe ich auf ein paar mobilen Endgeräten OpenVPN ausgerollt, das klappt gut. Die Mobilen machen darüber grundsätzlich erstmal nur Exchange, der von Außen vorerst nicht erreichbar ist.
Jetzt grübel ich etwas, sieht jemand einen eleganten Weg wie ich in der Firewall zwischen Windows PCs im Homeoffice und Mobilen Endgeräten unterscheiden kann? Ich möchte gerne die Mobilen restriktiver handhaben, aber dafür jetzt auch nicht komplett andere VPN-Techniken einsetzen oder jedem Benutzer einen separaten Account für sein Mobil-Gerät einrichten.
Es wäre auch okay mit verschiedenen DHCP-Ranges zu arbeiten, aber ich kann für SSL-VPN nur einen DHCP Pool angeben, das ist irgendwie vom gewöhnlichen DHCP entkoppelt. So die zündende Idee habe ich noch nicht...
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 665133
Url: https://administrator.de/contentid/665133
Printed on: April 19, 2024 at 12:04 o'clock
6 Comments
Latest comment
Zumindestens bei OpenVPN Clients ist das sehr einfach, denn über deren Common Name kannst du Ihnen feste IP Adressen zuweisen mit denen du dann wieder explizite Firewall Regeln pro User oder User Gruppe umsetzen kannst.
Zitat von @aqui:
Zumindestens bei OpenVPN Clients ist das sehr einfach, denn über deren Common Name kannst du Ihnen feste IP Adressen zuweisen mit denen du dann wieder explizite Firewall Regeln pro User oder User Gruppe umsetzen kannst.
Den Common Name gibt derzeit meine Sophos vor und der Benutzer wird mit der AD gesynct. Es ist im Prinzip der selbe Benutzer einmal mit Windows-PC und zeitgleich mit Tablet drin, die Config bezieht er über das selbe User Portal. Ich vermute mal ich kann den Common Name in der Config anpassen, das müsste dann aber händisch am Gerät ablaufen (unter iOS wird das vermutlich gar nicht so einfach gehen, da muss ich dann eine vorher präparierte Config verschicken).Zumindestens bei OpenVPN Clients ist das sehr einfach, denn über deren Common Name kannst du Ihnen feste IP Adressen zuweisen mit denen du dann wieder explizite Firewall Regeln pro User oder User Gruppe umsetzen kannst.
Ich hatte eigentlich die Hoffnung es mit Vendor-spezifischen DHCP-Ranges lösen zu können. Also angenommen ein Gerät kommt mit einer MAC a la aa:bb:cc:xx:xx:xx daher und wird als Apple-Gerät erkannt. Dann vergibt der DHCP eine IP aus einem eigenen Adress-Pool für Apple Geräte und den verwende ich in der Firewall (nicht schlimm wenn es manuell umgangen werden kann). Allerdings sehe ich noch mehrere Probleme:
1) Scheinbar hat Apple sehr sehr viele "OUI"s, also verschiedene MAC-Adressblöcke.
2) Man kann im DHCP MAC-spezifisch "Options" mit geben (habe ich noch nicht zum laufen gebracht), kann man überhaupt unterschiedliche IP-Ranges auf dem selben Interface abhängig von der MAC spezifizieren?
3) Die "normale" DHCP-Konfiguration stellt sich bei Sophos ganz anders dar als der "Adress-Pool" für SSL VPN, Kann ich für VPN überhaupt die selben Möglichkeiten nutzen? (Konsole?)
4) Ich hab doch eigentlich gar keine Ahnung
Es ist egal unter welchem Betriebssystem oder Smartphone. Der Common Name ist bei OpenVPN ja immer fest an ein User Zertifikat gebunden und wird dann mit ifconfig-push... Client spezifisch gesetzt. In sofern spielt es keinerlei Rolle ob Winblows, Mac, Linux oder iOS oder was auch immer....
Ändern sich also permament. Apple nennt das "Private WLAN Adressen" ! Siehe:
https://support.apple.com/de-de/HT211227
Das ist aber abschaltbar so das klassisch wieder eine feste Mac benutzt wird.
Neueste Androiden machen das übrigens auch so im WLAN...
Ich hatte eigentlich die Hoffnung es mit Vendor-spezifischen DHCP-Ranges lösen zu können
Das geht natürlich auch aber scheidet zumindestens bei OpenVPN aus da dort die IP nicht per DHCP verteilt wird an die Clients. Wie dein SSL Client das macht musst du dann sehen. Wenn der DHCP nutzt (was aber vermutlich nicht der Fall ist) klappt das ggf.Scheinbar hat Apple sehr sehr viele "OUI"s, also verschiedene MAC-Adressblöcke.
Sogar richtig viele im neuen iOS denn dort sich die zur Verhinderung des User Trackings dynamisch. Thema Probe_Requests. In jeder Shopping Mall und an der Autobahn mit den Zeiten zu bestimmten Zielen usw. usw wird das gemacht um Nutzerverhalten zu analysieren. Big Brother... Ändern sich also permament.
Apple nennt das "Private WLAN Adressen" ! Siehe:https://support.apple.com/de-de/HT211227
Das ist aber abschaltbar so das klassisch wieder eine feste Mac benutzt wird.
Neueste Androiden machen das übrigens auch so im WLAN...
Zitat von @aqui:
Es ist egal unter welchem Betriebssystem oder Smartphone. Der Common Name ist bei OpenVPN ja immer fest an ein User Zertifikat gebunden und wird dann mit ifconfig-push... Client spezifisch gesetzt. In sofern spielt es keinerlei Rolle ob Winblows, Mac, Linux oder iOS oder was auch immer....
Leider nutzen alle Clients das selbe Zertifikat, der Common Name wird bei Sophos abhängig vom User gesetzt.Es ist egal unter welchem Betriebssystem oder Smartphone. Der Common Name ist bei OpenVPN ja immer fest an ein User Zertifikat gebunden und wird dann mit ifconfig-push... Client spezifisch gesetzt. In sofern spielt es keinerlei Rolle ob Winblows, Mac, Linux oder iOS oder was auch immer....
Zitat von @aqui:
Das ist auf jeden Fall hilfreich, danke. Ich war mir nicht sicher ob das mit DHCP gemacht wird denn die Sophos definiert hier einen IPv4 Adresspool und der Client bezieht die Adressen automatisch.Ich hatte eigentlich die Hoffnung es mit Vendor-spezifischen DHCP-Ranges lösen zu können
Das geht natürlich auch aber scheidet zumindestens bei OpenVPN aus da dort die IP nicht per DHCP verteilt wird an die Clients. Wie dein SSL Client das macht musst du dann sehen. Wenn der DHCP nutzt (was aber vermutlich nicht der Fall ist) klappt das ggf.Ich würde sagen immer noch denkbar aber viel zu aufwendig umzusetzen, nur um verschiedene Firewall-Regeln auf externe Geräte anzuwenden. Ich habe die Firewall für alle Geräte bereits auf die nötigen Protokolle eingeschränkt und werde die Regeln einfach weiter zerlegen je nach Zielsystem.
Leider nutzen alle Clients das selbe Zertifikat
Tödlich !Wer macht denn so einen Unsinn als verantwortungsvoller Netzwerker ?? Da hat wohl einer nicht wirklich nachgedacht.
Was ein Quatsch. Kompromitiert einer das Zertifikat oder verlässt die Firma muss für alle ein neues eingerichtet werden. Wie oft will man das machen... ?? Da war wohl jemand beim Setup etwas "geistig umnachtet".
Aber nungut. Damit beraubst du dich dann sämtlicher Optionen was dein Vorhaben anbetrifft, jedenfalls für die OpenVPN Ecke.
Da solltest du/ihr wohl besser nochmal in euch gehen und euch fragen ob ihr mit solch laienhafter Frickelei leben wollt. Für dein IP Adresskonzept ist es so oder so dann der Todesstoß.
Case closed...
Ne ich muss mich korrigieren, in der Config stehen 2 Zertifikate, nur das erste ist identisch und dann vermutlich der öffentliche Schlüssel der Sophos.
PS: Allerdings haben natürlich einige User (z.B. Administratoren) Zugriff auf alle Zertifikate. Damit wären sie dann in der Lage mitgeschnittene Daten, die von der Sophos an einem VPN User geschickt werden, zu entschlüsseln oder?
PS: Allerdings haben natürlich einige User (z.B. Administratoren) Zugriff auf alle Zertifikate. Damit wären sie dann in der Lage mitgeschnittene Daten, die von der Sophos an einem VPN User geschickt werden, zu entschlüsseln oder?
