Mac OS X und OpenVPN (Teil 3)

Konfigurationsbeispiele mit preshared key

Im Teil 1 habe ich einige mögliche VPN Netzwerk-Topologien genannt. Nun wollen wir Schritt für Schritt einige Beispielkonfigurationen erstellen. Dabei bekommen wir ein Gefühl für die Vor- und Nachteile der jeweiligen Konzepte und lernen den unterschiedlichen aufwand einzuschätzen.

1. Sichere Verbindung zwischen zwei PC's

Für die direkte OpenVPN Verbindung zwischen zwei PC's wählen wir die einfachste Konfigurationsvariante. Das ist eine Peer-to-Peer Konfiguration mit sog. preshared key.

• OpenVPN muss auf beiden Rechnern installiert sein
• Die Rechner müssen sich über einen DNS Namen oder eine statische IP Adresse gegenseitig finden
• Der verwendete Port muss auf beiden Seiten durchlässig sein
• Der "preshared key" muss, wie der Name schon sagt, vor dem Verbindungsaufbau ausgetauscht werden.

Die Art der Internetverbindung ist im Grunde nicht relavant. Falls wir uns aber hinter einem Router oder einem anderen NAT Gerät befinden, müssen wir sicherstellen, dass der verwendete Port vom Router an den Rechner, mit dem wir uns verbinden wollen weitergeleitet wird. Wir verwenden den Standardport für OpenVPN: udp/1194. Dieser Port darf natürlich auch nicht von einer Firewall geblockt werden. Hier sehen wir bereits einen großen Vorteil, den der Einsatz von VPN bietet. Egal mit welchem Port des Zielrechners wir uns verbinden wollen, in der Firewall muss nur ein einziger Port geöffnet werden.

Der Austausch des preshared key stellt eine sicherheitstechnische Engstelle bei diesem Konzept dar. Übertragungsmöglichkeiten wären z.B. das Kopieren über eine sichere SSH Verbindung, das Senden per Fax oder die persönliche Übergabe.

Wir beginnen mit der Erstellung eines Arbeitsverzeichnisses und der Erzeugung des preshared keys:

Als nächstes erzeugen wir die Konfigurationsdateien. Daei gehen wir davon aus, dass die beiden Rechner unter den Namen "peer1.dyndns.org" und "peer2.dyndns.org" erreichbar sind. Die Konfigurationsdateien und die keyfiles werden üblicherweise im Verzeichnis "/etc/openvpn" abgelegt.