VPN og Windows

For English readers, please go to this page !

For å ivareta sikkerhet, samt å ha kontroll over det trådløse nettet har vi valgt å satse på VPN (Virtual Private Network) tjenester basert på PPTP (Point to Point Tunneling Protocol) for å ha kontroll med trafikken som går over det trådløse nettet.

Vi har opprettet en maskin som skal være VPN-server ved UiB (uib-vpn-gw.uib.no eller bare uib-vpn-gw når du kommer fra det trådløse nettet). Primær oppgaven er å kjøre VPN-tunneler til brukere på det trådløse nettet, men det er selvsagt ingenting i veien for å benytte dette for å virtuellt å koble seg til UiB nett fra andre steder på Internet. Tilsvarende er det opprettet VPN-servere ved NHH (nhh-vpn-gw) og ved HiB (hib-vpn-gw) som kan brukes på samme måte.

Hvordan det hele virker:

Når du kobler deg opp mot det trådløse nettet vil du få tildelt en IP-addresse. Dette er ikke en vanlig adresse som kan brukes mot Internet, men en såkallt "privatnett-adresse" som begynner med 10. Fra denne IP-addressen kan du nå maskinen som heter uib-vpn-gw (evt. nhh-vpn-gw eller hib-vpn-gw), og ved å identifisere deg med ditt brukernavn og passord vil du få en reel IP-addresse (i en tunnel).

Hvordan bruke VPN-løsningen:

Når du har fått forbinnelse vil du få ip adresse fra dhcp serveren samt netmaske, gateway addresse, navnetjener, broadcast adresse og domenenavn. Det er en fordel at alle disse adressene fås fra dhcp serveren, og ikke konfigureres statisk, for da kan vi sjonglere på bokser, og kun endre pekerne i dhcp serverne og alt vil fungere.

Windows 95/98

Egen bruksanvisning for Windows 98 finnes på http://www.wlan.uib.no/win98/.

Du må ha "dial-up-networking" version 1.2 eller høyere (følger med fra og med Win95b): ftp://ftp.uib.no/pub/pc/Win95/msdun13.exe
Evt hvis du er på vpn nettet: ftp://10.1.1.100/pub/pc/Win95/msdun13.exe

Control panel -> Legg til nettverks adapter, Microsoft VPN (du må også ha innstallert eller innstallere dial-up networking og tcp/ip).

Så gå under "My Computer" -> dial-up networking -> make new connection -> velg vpn adapter (i steden for modem/isdn) -> velg uib-vpn-gw / nhh-vpn-gw / hib-vpn-gw som VPN-server -> trykk connect.

Angi brukernavn og passord i henhold til oversikten:

VPN-server (Fra trådløs-nettet)	VPN-server (Fra Internet)	Brukernavn
uib-vpn-gw	uib-vpn-gw.uib.no	brukernavn@ansatt.uib.no (ansatte) brukernavn@student.uib.no (studenter)
hib-vpn-gw	hib-vpn-gw.hib.no	brukernavn

Hvis du velger egenskaper for det nye iconet, og tar vekk "Logg on to network" og IPX og NetBEUI, vil paloggingen ga mye kjappere.

Nyere windows 98 viser seg å komme med Microsoft kryptering slått på som default (mschapv2). Det er ikke kompatibelt med vpn serveren vår og må slås av. Det gjøres med å bruke regedit programmet som er med windows (startknappen -> kjør -> regedit).

Her er løsningen, fikk den av en av windows brukerne:
Finn verdien RemoteAccess (HKLM er Local_Machine mener jeg) og se om den er satt til 1, i så fall må den skiftes til 0 og maskinen bootes.


   HKLM\System\CurrentControlSet\Services\RemoteAccess
   Default: 0x00000000

   DWORD: SecureVPN
   Value: 0x00000001 == Force secure mode (MSCHAP V2 plus data 
                        encryption)on all PPTP connections
   Value: 0x00000000 == Do not force secure mode on PPTP connections

Dette gjelder forsåvidt også win2000, men der er krypering et kryss under egenskaper for oppkoblingen.

Windows ME

Har ikke laget noe for ME enda, skal de om ikke vi får gjort det en dag, evt at vi får "kopiere" st04483 sine glimrende sider. I hvertfall inntil videre kan du lese dem HER (http://www.student.uib.no/~st04483/) men da må du være på nett.

Windows NT

VIKTIG: Hvis du har en servicepakke innstallert, Sørg for å ha den servicepacken du kjører (eller høyere) liggende klar på disken for innstallering på disken når du innstallerer VPN under NT.

Control-panel -> Nettverk -> protokoller -> add -> Velg "Point To Point Tunneling" protokoll -> OK Velg antall vpn's til 1 -> OK.

RAS vil da enten bli innstallert eller oppdatert. Så må du legge til VPN adapter på lik linje med et modem. (kjører du NT server velg kun dial-out) -> continue -> close på nettverk -> IKKE START OM MASKINEN hvis du har servicepack 1 eller høyere innstallert, DU MÅ innstallere servicepacken du kjører på nytt nå før du starter om maskinen.

Du finner Engelsk NT service pack 6a HER. Norsk finnes på Microsofts websider.

Etter innstallasjon av RAS og servicepack må du ta omstart.

My Computer -> Dial-up networking -> New -> kall det f.eks "VPN" -> skriv uib-vpn-gw / nhh-vpn-gw / hib/vpn-gw i feltet for telefonnummer -> Dial using: RASPPTPM (VPN1) -> Security -> Accept any (øverst) -> OK.

Velg oppringning VPN -> Dial -> brukernavn og passord -> connect -> nå har du en fullverdig Internet-forbinnelse. -> Trykk "Disconnect" når du er ferdig.

Windows 2000: Egne sider om Windows 2000 her
(takk til kevin.cruickshanks@student.uib.no)

Generellt:

Etter at man har opprettet en VPN-tunnel vil all trafikk inn og ut av maskinen din gå gjennom tunnelen til VPN-serveren og så rutes fra den til dit den skal. Svaret vil sendes fra maskinen du snakker med til VPN-serveren for så å pakkes inn i tunnelen din, og sendes til deg. For maskinen du "snakker" med på Internet vil du identifiseres som en UiB/NHH/HiB- maskin.

Litt mer om PPTP http://www.moretonbay.com/vpn/pptp.html
PPTP er et resultat av et draft fra IETF. PPTP er direkte implementert i Microsofts operativsystemer. Klienter for andre operativsystemer har enten allerede kommet, eller vil antaglig komme etterhvert. Pr i dag kjenner jeg til at det finnes klient for NT/95/98, Linux, Solaris, Digital Unix, OpenBSD og FreeBSD og flere vil etterhvert komme. Dermed føler vi at vi kan satse på dette som en akseptabel løsning.

Interesante linker: http://www.microsoft.com/ntserver/commserv/deployment/moreinfo/pptpfaq.asp
ftp://ftp.ietf.org/rfc/rfc2637.txt