OpenVPN - Sophos - iOS

Hallo,

das iOS kann meist IPSec VPN "out of the box" warum das nicht nehmen?

Dobby

Die o.a. Client Konfiguration hat auch fatale Security Fehler die man nicht mehr machen sollte:
https://community.openvpn.net/openvpn/wiki/VORACLE
Compression gehört also auf keinen Fall mehr in eine OpenVPN Konfig mit Endgeräten die öffentliche Adressen tragen. Ist zudem sinnfrei weil 90% der Daten schon durch die Applikationen vorkomprimiert sind.
Von den doppelten remote Einträgen jetzt mal nicht zu reden.
Das fragst wohl nicht nur du dich. Nicht nur iOS kann das sondern Android und alle anderen auch. Zumal die Sophos wie fast alle anderen Firewalls auch IKEv2 supportet.
IPsec IKEv2 VPN für mobile Benutzer auf der pfSense oder OPNsense Firewall einrichten
L2TP kann sie wie andere auch:
PfSense VPN mit L2TP (IPsec) Protokoll für mobile Nutzer
2 deutlich bessere Alternativen also. Im Hinblick darauf fragt man sich warum man dann das durchs single Threading auch noch in der Performance erheblich schlechtere OpenVPN nutzt.
Aber jeder darf ja frei wählen...

IPsec schön und gut aber die Performance alleine reicht oft nicht aus. SSL VPN kann man granularer steuern wer wohin was nutzen darf. Abgesehen davon kann man mit SSL VPN auch Clientless über den Browser ins Netzwerk kommen (Beispiel RD-Web Access).

Auf einer Firewall darf man an dieser doch sehr gewagten Aussage aber mal mehr als ein Fragezeichen machen. Das stimmt so pauschal nicht.
Das ist sicher richtig, erfordert dann aber meist ein (proprietäres) Plugin auf dem Browser und ob das dann wieder embeddete Browser auf tragbaren Geräten mitmachen ist eine andere Frage. Auch sicherheitstechnisch hat sowas immer ein Geschmäckle. Kommt also letztlich auf die Anwendung an und was man genau machen will. Wie immer gibt es keine alles schlagende Ideallösung.
Es gibt ja bekanntlich viele Wege nach Rom und deshalb wollen wir den Thread nicht kapern.

Pauschal stimmt das so zwar nicht aber wer möchte schon für jede Anwendergruppe, Applikation und Ziel im Netzwerk eine eigene Regel erstellen. Du etwa?


Nein! Sophos Clientless VPN erfordert keine Plugins.


Der Weg heißt hier SSL VPN und man muss nicht zwingender Weise Alternativen aufzählen und die Vorzüge auflisten ohne die Nachteile zu nennen. Vielleicht ist SSL VPN nun mal aus uns unbekannten Gründen die einzige nutzbare VPN Art für den Themenersteller.

Ok das mag zwar stimmen, aber so pauschal ist das dann ben doch nicht.

Die Sophos kann IPSec und iOS auch, und damit bekommt man es dann auch schnell "zum fliegen".
IPSec ist kampferprobt, OpenVPN der defacto Standard und WireGuard der Hoffnungsträger am Firnament.
Mag ja auch alles angehen, nur VPN ist eben immer eine zweiseitige Sache! Habe ich auf beiden Seiten die
Möglichkeit AES-NI zu aktivieren ist das am besten, ist auf beiden Seiten QAT ist das die derzeit beste Lösung
um den Durchsatz zu "pushen". Und das iPad ist eben auch nicht so das starke Gerät, kann aber IPSec von
Hause aus. Und wenn der Durchsatz immer nicht hoch genug ist kann man sich immer noch nach einer
anderen VPN Methode umschauen.

Dobby

Ok das man sich darum dann immer noch kümmert ist doch wohl eher Makulatur oder nicht?
Aber erst einmal hat man ein laufendes oder funktionierendes VPN.

Dobby

Verantwortungsvolle Netzwerker machen sowas. Auch bei einem SSL VPN wie OpenVPN oder Wireguard musst du das machen. Nur mit VPN Konfig Mitteln kannst du das nicht kontrollieren. Zumindestens nicht bei dien 2 SSL Vertretern.
Die Sophos clientless Access VPN Funktion über HTML 5 ist proprietär und kein Standard. Erzwingt also immer Sophos Hardware und damit eine Bindung an den Hersteller (Vendor Lock) was nicht von jedem gewollt ist. Zudem ist diese Funktion fest auf nur wenige Protokolle beschränkt. Bei XG-Firewalls: RDP, Telnet, SSH, FTP, FTPS, SFTP, SMB und VNC und bei UTM-Firewalls:RDP,Telnet,SSH,VNC, HTTP und HTTPS. VoIP Telefonie oder andere Dienste sind davon also in einem solchen Client VPN ausgenommen.
Als Nischenanwendung sicher nutzbar für den einen oder anderen der z.B. nur RDP macht wenn man mit der Hersteller Bindung leben kann. Langfristig aber keine gute und skalierbare VPN Lösung da eben nicht Standard konform.
Wie du schon sehr richtig bemerkt hast: "...und die Vorzüge auflisten ohne die Nachteile zu nennen."
Den man nie trauen sollte und immer hinterfragen sollte. Immer Frickelei mit systemfremden, extra VPN Clients, keine Skalierbarkeit und miese Performance durch single Threading.
Wenn man aber damit leben kann ist das natürlich absolut OK. Deshalb gibt es ja die freie Wahl bei den VPN Protokollen. Sollte ja auch nur ein kleiner Anstoß sein dein Design ggf. zu überdenken.
Case closed...