Verwendung eines VPN Tunnels erzwingen

[LL0rd]

Hallo Leute,

es kommt schon ab und an vor, dass sich mein Notebook in einem unverschlüsseltem WLAN-Netzwerk befindet. Es sind in der Regel offene Netze in Gaststätten, bei Seminaren oder Konferenzen. Damit meine Kennwörter z.B. nicht unverschlüsselt durchs Netz geschickt werden, achte ich schon darauf, dass ich möglichst überall eine Verschlüsselung verwende. Bei einigen Protokollen ist es auch kein Problem. Bei anderen Diensten (z.B. mein Paketverfolgungsprogramm), wird das Kennwort unverschlüsselt durch die Welt gebrüllt. Um das zu verhindern, nutze ich einen VPN Tunnel.

Jetzt habe ich folgendes Problem. Mein Notebook ist im Standby, ich klappe den Deckel auf. Das Notebook verbindet sich mit dem Netzwerk und das VPN Client stellt die Verbindung her. Doch genau in diesen paar Sekunden schaffen es bereits einige Programme, Ihre Daten unverschlüsselt zu übertragen. Wie kann ich das verhindern? Also ausschließlich zulassen, dass alle Verbindungen über das VPN gehen.

Ich habe schon an Routen gedacht. Doch es funktioniert nur bedingt. Das Notebook an den Netzen per DHCP seine Daten zugewiesen bekommen und dabei wird das default dateway gesetzt.

Kennt ihr eine andere Möglichkeit?

 

[FrankR]

Dumme Frage, aber wo ist denn der Endpunkt Deines VPN? Konkret verstehe ich nicht so recht, wie Dein Kennwort via VPN verschlüsselt bis zum dem Paketversender kommt, wenn dieser nicht innerhalb des gleichen VPN unterwegs ist ...

 

[LL0rd]

Der Endpunkt des VPN befindet sich in einem Rechenzentrum. Ja, es gibt keine komplette Verschlüsselung bis zum Ende. Das muss aber auch nicht sein. Es geht mir darum, dass die Daten übers WLAN Verschlüsselt übertragen werden.

 

[FrankR]

Ok, jetzt verstehe ich. Allerdings sollte das WLAN dann ja schon mit WPA/2 verschlüsselt sein - bleiben aber natürlich immer noch Angreifer innerhalb des WLANs übrig ... - wenn die IPs der Programme die sich da schuldig machen bekannt sind könnte ich mir noch vorstellen die über eine fixes Routing auf einen Router innerhalb des Rechenzentrums zu legen - allerdings auch nicht sehr elegant. Alternativ kann man vielleicht auch verhindern, dass via DHCP eine Default-Route gesetzt wird - aber da müsstest Du sicher mal ganz tief in den OS X Netzwerksachen graben.

 

[Wuchtbrumme]

Idee:
-Paketfilter allen Traffic bis auf VPN-Endpunkt-IP sperren (Destination als Kriterium)
-VPN aufbauen
-mit Link up (/etc/ppp) oder crankd (http://qscripts.blogspot.de/2011/03/run-script-in-os-x-on-network.html) ein Skript abfeuern, dass die Default Route aufs VPN hinzufügt (falls noch nicht geschehen) und die Metrik dieser Route entsprechend anpasst. Natürlich könnte man auch den Paketfilter (ipfw) noch anpassen
-mit Link down (utunx) zurück auf Ausgangssituation (sh. oben)

Statt crankd könnte man natürlich auch ControlPlane verwenden.