iuk:intern:services:pritunl_vpn
Differences
This shows you the differences between two versions of the page.
| Both sides previous revisionPrevious revision | |||
| iuk:intern:services:pritunl_vpn [2023/05/19 07:59] – ↷ Seite von it:intern:services:pritunl_vpn nach iuk:intern:services:pritunl_vpn verschoben bosses_admin | iuk:intern:services:pritunl_vpn [2024/03/24 04:07] (current) – gelöscht sebastian.bosse | ||
|---|---|---|---|
| Line 1: | Line 1: | ||
| - | ====== PRITUNL VPN-Server ====== | ||
| - | Für den VPN-Zugriff auf die internen Dienste, wird der Server OS auf ABDOMEN ausgeführt. Dieser betreibt das System PRITUNL, welches die Benutzerzugriffe und OpenVPN-Server verwaltet. | ||
| - | Der Server ist über den Domainnamen https:// | ||
| - | ===== Zugriffssteuerung ===== | ||
| - | Die Benutzer authentifizieren sich über ihren ActiveDirectory-Account am VPN Server. Dieser verlangt zusätzlich eine OTP-Authentifizierung. | ||
| - | |||
| - | ==== Benutzer für VPN freigeben ==== | ||
| - | Um einen Benutzer für den VPN-Zugriff freizugeben, | ||
| - | Dem Benutzer stehen dann automatisch die entsprechenden Server zur Verfügung. | ||
| - | |||
| - | ^ Benutzergruppe | ||
| - | ^ VPN_Admin | ||
| - | ^ VPN_Einsatzleitung | ||
| - | ^ VPN_Material | ||
| - | |||
| - | Sollte ein Benutzer einer anderen Benutzergruppe hinzugefügt werden, welche mehr Server beinhaltet, muss der Benutzer erneut seinen Profillink im PRITUNL-Client eingeben. Erst danach stehen die weiteren Server zur Verfügung. | ||
| - | ==== Benutzer für VPN sperren ==== | ||
| - | Die Sperrung für den VPN-Zugriff kann auf unterschiedlichen Wegen erfolgen. | ||
| - | - Entzug der Benutzergruppe im ActiveDirectory | ||
| - | - Sperren des Benutzers im ActiveDirectory (CAVE: Der Benutzer kann sich an keinem Dienst mit AD-Authentifizierung mehr anmelden) | ||
| - | - Sperren des Benutzers im PRITUNL-Webinterface (Der Benutzer muss sich hierfür bereits ein mal angemeldet haben, sonst wird er nicht angezeigt) | ||
| - | |||
| - | Somit muss je nach Situation die richtige Methode ausgewählt werden. Grundsätzlich empfiehlt es sich Änderungen lieber im ActiveDirectory (1) vorzunehmen, | ||
| - | da das Webinterface eher zur Verwaltung der verschiedenen VPN-Server dient. | ||
| - | |||
| - | ===== VPN-Server ===== | ||
| - | Um die Zugriffe gezielt in der Firewall steuern zu können, stehen den Benutzern den Aufgaben angepasste Server zur Verfügung. | ||
| - | ^ Server | ||
| - | ^ Admin | 10.8.10.0/ | ||
| - | ^ Einsatzleitung | ||
| - | ^ Material | ||
| - | |||
| - | ==== Routen ==== | ||
| - | ^ Server | ||
| - | ^ Admin | 10.10.0.0/ | ||
| - | | ::: | 10.4.0.0/ | ||
| - | | ::: | 10.41.0.0/ | ||
| - | | ::: | 10.69.0.0/ | ||
| - | | ::: | 10.9.0.0/ | ||
| - | ^ Einsatzleitung | ||
| - | ^ Material | ||
| - | ==== Konfiguration ==== | ||
| - | Die Server sind so eingestellt, | ||
| - | Wird eine Verbindung mit dem PRITUNL eigenen Client hergestellt, | ||
| - | |||
| - | Zur Sicherstellung des korrekten Routings wurde die VM in ein eigenes VLAN eingebunden. Die verbundenen Clients nutzen kein NAT, wodurch sich der Client immer mit seiner zugewiesenen IP am Router meldet. | ||
| - | |||
| - | ==== Mobile Nutzung ==== | ||
| - | Es ist möglich OpenVPN-Benutzerprofile herunterzuladen. Diese Funktion ist für den Endnutzer gesperrt. Über das Admin-Interface können diese bei Bedarf für den entsprechenden Nutzer heruntergeladen werden. | ||
| - | |||
| - | Da wir davon ausgehen, dass die meisten Arbeiten sowieso mit einem Computer erledigt werden müssen, wurde diese Funktion deaktiviert. Desweiteren aktualsiert sich die heruntergeladene Konfiguration bei änderungen nicht automatisch. Der Benutzer muss also erst eine neue Konfiguration über die Admins anfordern. | ||
| - | |||
| - | ===== PRITUNL-Webinterface ===== | ||
| - | Über das [[https:// | ||
| - | |||
| - | ==== Für Endnutzer ==== | ||
| - | Über den AD-Benutzer können sich berechtigte Personen einloggen. | ||
| - | Folgende Funktionen stehen dann zur Verfügung: | ||
| - | * OTP-QR-Code für die Zwei-Faktor-Authentifizierung | ||
| - | * Download des PRITUNL-Clients | ||
| - | * Profillink zum hinzufügen im PRITUNL-Client | ||
| - | |||
| - | ==== Für Administratoren ==== | ||
| - | Über gesonderte Benutzer kann über das Webinterface auf die Administration zugegriffen werden. | ||
| - | Folgende Funktionen stehen hier zur Verfügung: | ||
| - | * Verwaltung der VPN-Server sowie neustarten dieser | ||
| - | * Einsehen der Zugriffslogs | ||
| - | * Benutzerverwaltung (Einstellungen, | ||
| - | |||
| - | Admin-Accounts werden im Webinterface gesondert angelegt und sollen zusätzlich mit einer Zwei-Faktor-Authentifizierung geschützt werden. Dieser Code kann über das Webinterface auch für Admin-Accounts eingesehen werden. | ||
| - | Ein Zugriff ist im Regelbetrieb eigentlich nicht erforderlich. | ||
| - | |||
| - | ===== Fallback Zugriff ===== | ||
| - | Falls die RADIUS-Authentifizierung ausfällt, beispielsweise wenn COR ausfällt, gibt es einen Benutzer als Rückfallebene.\\ | ||
| - | Dieser ist standardmäßig deaktiviert und muss vorher über das Webinterface aktiviert werden. | ||
| - | |||
| - | Anschließend kann mit diesem Benutzer über VPN auf das Netzwerk zugegriffen werden. | ||
iuk/intern/services/pritunl_vpn.1684483150.txt.gz · Last modified: 2023/05/19 07:59 by bosses_admin