MacOS X + Netgear Firewall ja VPN

[Jasca]

Tämä kysymys sopisi ehkä myös tuonne tietoturvan alle, mutta laitoin kuitenkin tänne...

Ei ole tullut oltua VPN-yhteyksien kanssa tekemisissä, mutta nyt pitäisi sellainen pystyä kahden pisteen välille rakentamaan. Meni sormi syvälle suuhun. Apuva!

Ideana päästä kotoa käsin toimiston lähiverkkoon (kytkettyihin laitteisiin). Kotikoneessa käyttiksenä SL, samoin kuin toimiston Macissa. Toimiston PuuCeessä, mihin siihenkin pitäisi päästä "kiinni", käyttiksenä on Windows 7. Toimistolla palomuurina Netgear FVS318N, josta löytyy VPN-tuet (IPsec sekä L2TP).

Osaisiko joku laatia minulle sellainen rautalankaohjeen VPN-tunnelin luomiseksi, huomioiden nuo mainitsemani härvelit? Netgearin omia ohjeita (PDF) yritin käyttää apuna, mutta ei hommasta mitään tullut.

EDIT: Sama pää kesät talvet. Tätä asiaa on jo jossain määrin puitu täällä Hompussa... Rautalankaohjetta kaipaan edelleen, sillä ei tuo edellinen turinakaan ratkaisuun ole johtanut.

EDIT2: Tuohon aiempaan keskusteluun(i) viitaten näyttäisin saaneen yhteyden viime toukokuussa jopa toimimaan, mutta en todellakaan enää muista miten. Kun ei ymmärrä näistä asioista, niin pää on aivan pyörällä. Nyt hitsi vieköön muutin jo palomuurin asetuksia, joten arvatkaa toimiiko enää... Enkä muista miten olivat ennen kuin menin ropeloimaan.

[Jasca]

Yrittäkää nyt joku edes auttaa...! Liike mistä laitteen ostin nosti kädet pystyyn (eivät ilmeisesti tunne VPN-maailmaa). Antoivat tukinumeron, joka ei toimi lainkaan. Verkkokauppa.comin sivuilta löysin toisen tukinumeron, joka johtaa lontoonkieliseen palveluun, eikä se ole nyt ensisijainen vaihtoehto, kun tekninen englantini ei ole kummoista.

EDIT: Netgearin VPN-toiminnon alta löytyvät vaihtoehdot IPsec VPN, SSL VPN ja L2TP Server. IPsec vaihtoehdon alta löytyy sinne Netgearin ohjeiden mukaisesti luomani Client-to-FVS318N -määritys. SSL on Global -moodissa. L2TP Server taas ei ole aktivoituna lainkaan. Muuta en oikeastaan osaa itse kertoa = tarvitsisin tukea joltakin, jolle VPN on arkipäivää ja joka on operoinut eri merkkisten palomuurien kanssa.

[Jasca]

Aloin tässä miettimään, että onko tuo "Client-to-FVS318N" sittenkään oikea muoto. Netgearin ohjeiden mukaan kun tuntuisi siltä, että se on suunniteltu nimenomaan Netgearin omaa VPN Clientia varten. Eli pitäisikö minun sitten määritellä "Gateway-to-Gateway" muoto? Toisaalta kotona olevasta purkista, Netgear WNDR3800, ei löydy VPN-asetuksia.

Miksi tämä ajatus pieneen mieleeni putkahti johtuu Netgearin käyttöliittymän End Point Information -kohdan Remote ID ja Local ID -määrityksistä. Kun valitsen VPN Wizardista muodoksi VPN Client, heittää Wizard edm. kohtiin automaattisesti asetukset remote.com ja local.com. Niitä selvästi tarvitaan yhteyden muodostamiseen, mutta mihin (ja mitä) syötän MacOS X:n Verkkoasetuksissa?

Valaisen nyt sen verran, että ihan pihalla en (toivottavasti) ole, eli olen luonut Verkkoasetuksissa VPN-yhteyden, kokeillen kaikkia kolmea tarjolla olevaa yhteystyyppiä. Todentamisasetuksiin olen tallentanut Netgearin käyttäjalistaan luomani käyttäjän salasanan – oikein vaiko väärin?

Niin, unohtui mainita, että kun valitsen tuon VPN Clientin, de-aktivoituvat What is the remote LAN IP Address ja What is the remote LAN Subnet Mask -kentät. Mutta tarvitsenko niitä edes mihinkään (client-yhteydessä)?

Hitsi kun osaa olla vaikeaa, kun ei asiasta riittävästi ymmärrä. Itse pitäisi silti selvitä, kun ei ole rahaa ostaa palvelua ammattilaiseltakaan.

[Raikka]

Onhan sulla siellä konttorilla operaattorilta kiinteä IP käytettävissä tai dyndns:llä?

[Jasca]

Onhan sulla siellä konttorilla operaattorilta kiinteä IP käytettävissä tai dyndns:llä?

Kiinteä IP.

[Jasca]

Täällä sormi suussa edelleenkin hyviä neuvoja odottelen...

[jeppe]

Mainitset tuolla alussa että pitää päästä konttorin koneisiin "kiinni". Tarkennatko että mitä sinun siis tarkemmin pitää niissä tehdä, käyttää jotain jaettuja kansioita ja niistä tiedostoja vai RDP yhteyksiä vai mitä?

[Jasca]

Mainitset tuolla alussa että pitää päästä konttorin koneisiin "kiinni". Tarkennatko että mitä sinun siis tarkemmin pitää niissä tehdä, käyttää jotain jaettuja kansioita ja niistä tiedostoja vai RDP yhteyksiä vai mitä?

Ensisijaisesti pitäisi päästä kytkeytymään Windows 7 -pohjaiseen tietokantapalvelimeen, tarkemmin siinä pyörivään tietokantasovellukseen. Tätä varten käytössä on sovelluksen client -softa. Edellisen purkin palomuuriin tekemäni pienen-pienen reiän kautta tuo onnistui, mutta yhteys oli suojaamaton.

Nyt haluaisin luoda suojatun yhteyden, jo senkin takia, että Netgearin palomuuriin en ole onnistunut luomaan vain yhden portin yhdelle IP:lle avaavaa reikää. Tässäkin on harmaita hiuksia syntynyt. Jos määritän asetuksista liikennemuodoksi SQL-NET tai vaikkapa HTTP (nuo valinnat lienevät vain esiasetuksia, jotka avaavat tiettyjä portteja), ja lisäksi määritän vain tietyn portin aukeavaksi, ei yhteys toimi. Vaikka juuri näin pitäisi toimia:

Select the port number checkbox only if the server is listening on a port other than the default. For example, if a machine on the LAN side is running a telnet server on port 2000, then select the Translate to Port Number checkbox and type 2000 in the Port field. if it is listening on the default port 23, then the box can be left unchecked.

Jos valitsen yhteysmuodoksi ANY, ei Netgear anna tehdä porttimääritystä. Prkl!

EDIT: Tämä porttiongelma ratkaistu. Piti luoda kokonaan uusi "Service", missä määriteltiin yhteystyyppi ja porttialue mikä kyseisen palvelun yhteydessä on auki. Ja sitten valita tämä luotu "Service" sieltä kymmenien listalta. Eli nyt pääsin samaan tilaan kuin vanhalla purkilla: vain yksi portti auki, jonka kautta liikenne sallitaan vain tietystä IP:stä tiettyyn IP:hen.

Toissijaisesti olisi kiva päästä kiinni toimiston iMaciin etänä. Miksipä ei koko lähiverkkoon, mikä käsittääkseni IPsecillä onnistuu...

Käytännössä siis ongelmana on määrittää sekä Netgeariin että MacOS X:ään oikeat asetukset VPN-yhteyden muodostamiseksi.

[Jasca]

Lukematon määrä kokeluja, melkoinen määrä sähellyksiä ja ämpärillinen kirosanoja. Siitä syntyy VPN yhteys. Eli vihdoinkin olen saanut sellaisen pystyyn!

Iloon ei silti ole aihetta. Miten hemmetissä mä pääsen kytkeytymään ton yhteyden kautta toimiston lähiverkossa olevaan iMaciin? Jos edes siihen kysymykseen osaisi täällä joku vastata...

[kimppikoo]

Jos olet onnistuneesti saanut VPN-yhteyden rakennettua, niin lähiverkossa olevat tietokoneethan näkyvät "tunnelin" toiseen päähän omilla ip-osoitteillaan. Eli Finderista vaan yhdistät palvelimeen ip-osoitteella (koska tod.näk. nimiselvitys ei toimi) esim. smb://192.168.1.10/jako missä ip-osoitteen korvaan palvelua tarjoavan mäkin osoitteella ja jako -sanan sillä nimellä millä verkkojakoa jaat siinä mäkissä. En osaa sanoa, toimiiko AFP protokolla, mutta voit tietty kokeilla silläkin afp:// vaan tuon smb:// tilalle.

[Jasca]

Jos olet onnistuneesti saanut VPN-yhteyden rakennettua, niin lähiverkossa olevat tietokoneethan näkyvät "tunnelin" toiseen päähän omilla ip-osoitteillaan. Eli Finderista vaan yhdistät palvelimeen ip-osoitteella (koska tod.näk. nimiselvitys ei toimi) esim. smb://192.168.1.10/jako missä ip-osoitteen korvaan palvelua tarjoavan mäkin osoitteella ja jako -sanan sillä nimellä millä verkkojakoa jaat siinä mäkissä. En osaa sanoa, toimiiko AFP protokolla, mutta voit tietty kokeilla silläkin afp:// vaan tuon smb:// tilalle.

Kiitos! Noinhan se alkoi toimimaan. Vihdoinkin...

EDIT: Toimii sekä SMB- että AFP-protokollalla.
EDIT2: Loppujen lopuksi päädyin käyttämään maksutonta IPSecuritas VPN-clientia. Suurin ongelma ei ollut clientissa, vaan Netgearin palomuurissa / VPN-palvelimessa. Sen käyttöliittymä on todella monimutkainen kaltaiselleni tumpelolle. Kunhan vain ehdin, laitan tänne ohjeen siltä varalta että joku muukin repii hiuksia päästään saman valmistajan purkin kanssa...