VPN für Institute

Das Angebot „Instituts-VPN“ stellt auf Basis des vorhandenen allgemeinen VPN-Angebots einzelnen Instituten jeweils einen eigenen VPN-Adress-Pool bereit. Entsprechend der Option „Remote Access“ im KDD (zu finden im Bereich/Modul „Personen“) werden bestimmten, auswählbaren Benutzerkennungen einer Person genau diese reservierten IPs per VPN vergeben. Die Einstellungen werden über Nacht in die Systeme provisioniert, sodass Einstellungen und Änderungen am nächsten Morgen nutzbar sind. Sie erhalten dann im VPN eine IP-Adresse aus einem für Ihr Institut reservierten Adressbereich. Diesen IP-Adressbereich können Sie in der Firewall durch Ihren DV-Koordinator für Ihr Instituts-Netz freischalten lassen, so dass Sie auf institutsinterne Ressourcen zugreifen können. Welcher Art diese Firewall-Freischaltungen sind, richtet sich nach Ihren Anforderungen. Das Angebot richtet sich an Institute, die von außen durch eine Firewall geschützt sind. Für die VPN-Adressen des Instituts können in dieser Firewall dann Freischaltungen eingepflegt werden, die die Sicherheit des Instituts in keinster Weise aufweichen.

Beispiel

Für das Institut „XYZ“ sind die Adressen 134.169.217.16-24 reserviert und Sie als DV-Koordinator haben im KDD bei der Nutzer-ID „tmuster“ den Remote Access konfiguriert. Dies hat zur Folge, dass die Person mit der Nutzer-ID „tmuster“ ab dem nächsten Tag per VPN immer eine Adresse aus dem Bereich 134.169.217.16-24 erhalten wird. Umgekehrt wird nie jemand, der nicht (durch Sie) per KDD entsprechend dafür freigeschaltet ist, jemals eine

Ohne Instituts-VPN

IP-Adresse aus diesem kleinen Pool bekommen. Damit können Sie Firewall-Regeln entwerfen, die ganz sicher nur den Institutsangehörigen Zugang zu Ihren Netzressourcen erlauben. Außerdem könnten Sie, sofern nötig oder gewünscht, auch bei externen Ressourcen, die den Zugriff basierend auf IP-Adressen einschränken (z.B. DIN-online), diese für Sie reservierten VPN-Adressen zusätzlich zu Ihrem normalen Instituts-IP-Bereich anmelden. Wenden Sie sich hierzu an die Unibibliothek.

Mit Instituts-VPN

Technische Umsetzung

Wir vergeben an jede Einrichtung einen Pool von 8 öffentlichen IP-Adressen im VPN und richten zur Nutzung dieses Adresspools für Ihre Einrichtung ein spezielles Verbindungsprofil auf unseren VPN-Servern ein. Durch Zuordnung des entsprechenden Netzes zur Nutzerkennung eines Kollegen (im KDD unter „Personen zu Netz“) wird bei der Anmeldung dieser Nutzerkennung am VPN-Gateway eine Information übermittelt, die für genau diese Nutzerkennung das Profil und damit den Adresspool für Ihr Institut auswählt. Dadurch brauchen weder Sie noch Ihre Kollegen Änderungen an Ihren VPN-Clients bzw. deren Konfiguration vorzunehmen. Sie installieren und konfigurieren den Client wie zur Nutzung des allgemeinen VPN-Angebots.

Die 8 IP-Adressen Ihres VPN-Pools werden dynamisch zugeordnet. In der Regel können dadurch zunächst nur 8 gleichzeitige VPN-Verbindungen aufgebaut werden. Sofern dies nicht ausreicht, teilen Sie uns als DV-Koordinator bitte mit, dass es einen erhöhten Bedarf gibt. Dann werden wir zusätzlich eine Lösung konfigurieren, die mithilfe von NAT/PAT die Anzahl der gleichzeitig möglichen Verbindungen von 254 auf 262 gleichzeitige Verbindungen erweitert, ohne dass auf den Clients etwas geändert werden muss. Bei dieser Lösung wird ein Netz von 255 privaten Adressen auf die letzte der 8 öffentlichen IPs gelegt.

Sie müssen uns die Notwendigkeit für diese Erweiterung mitteilen. Notwendig ist diese Erweiterung dann, wenn Sie regelmäßig damit rechnen, dass mehr als 8 Personen gleichzeitig das VPN nutzen. Außerdem weisen wir darauf hin, dass bei dieser Lösung im Falle von Nutzerverstößen oder kompromittierten Rechnern eine Zurückverfolgung auf Basis der IP-Adresse nicht immer möglich ist. Wir bitten außerdem darum, dass Sie Ihre Kollegen darauf hinweisen, in der Regel das Profil „Tunnel-TU-Traffic“ einzusetzen und nur dann „Tunnel-All-Traffic“ zu wählen, falls Sie Dienste außerhalb der TU nutzen müssen, die jedoch nur für den IP-Adressbereich der TU freigegeben sind.

VPN-Nutzung beantragen

KDD: VPN Beantragen möglich

In der Regel sollten Sie die Option [VPN beantragen] im Blatt Datennetz im KDD eingeblendet sehen. Sollte diese Schaltfläche bei Ihnen noch nicht eingeblendet werden, ist es möglich, dass bei Ihnen aus historischen Gründen noch nicht alle Voraussetzungen zur Nutzung von VPN in der Konfiguration Ihres Netzes erfüllt sind, bzw. die Organisations-Struktur Ihres Instituts bzw. Ihrer Einrichtung besondere Absprachen notwendig macht. In diesen Fällen schreiben Sie bitte einfach eine E-Mail an noc@tu-bs.de oder benutzen das Formular unter https://www.tu-braunschweig.de/it/self-service/kontakt-netze. Wir werden dann sicher gemeinsam eine Lösung finden.

Instituts-VPN für Mitarbeiter freischalten

Siehe hier.

Weitere Informationen

netz/vpn/institutsvpn.txt · Zuletzt geändert: 2022/04/22 18:34 von minbecir
Gauß-IT-Zentrum