openVPN vraagjes

[pa3hio]

Ik heb een openVPN server in de NAS opgestart, en ingesteld, dit werkt. Ik gebruik hiervoor de standaard client versie van openVPN, om met mijn windows PC een verbinding te maken.
Tijdens de verbindings-opbouw, zie ik in  het venster van de openVPN client wat rode meldingen, die betrekking hebben op de beveiliging.
Mijn vragen zijn:
- standaard gebruikt de server het UDP protocol, is TCP niet beter ?
- de codering staat default op BF-CBC, kan ik niet beter iets van AES-192 of zelfs AES-256 kiezen, en welke verificatie (nu SHA1) moet ik dan kiezen ?

Voorde duidelijkheid: de verbinding werkt, maar ik vroeg me af hoe ik de rode waarschuwingsteksten "aan moet pakken" 

Alvast bedankt voor het mee denken.

[Birdy]

TCP niet beter

TCP is niet beter maar, langzamer dan UDP.

e codering staat default op BF-CBC, kan ik niet beter iets van AES-192 of zelfs AES-256 kiezen

Ik gebruik AES-256-CBC.

welke verificatie (nu SHA1) moet ik dan kiezen ?

Ik gebruik SHA512

zie ik in  het venster van de openVPN client wat rode meldingen

En wat voor een rode meldingen dan?

[pa3hio]

Birdy, hier kan ik wel wat mee De meldingen hebben betrekking op de (nu) te lage beveiligings-instellingen. Ik ga dit bekijken, en kom er op terug.

[Ben(V)]

Even ter uitleg.

UDP is een handshake less protocol, wat inhoud dat het aan de ene kant verzonden worden en er niet gekeken wordt of het aankomt.
Dat is voor normaal verkeer alleen werkbaar op zeer betrouwbare verbindingen of voor broadcast achtig verkeer.

Echter als je een VPN gebruikt dan zorgt het VPN protocol voor een gegarandeerde aflevering en kun je binnen die VPN tunnel dus gerust UDP gebruiken.
En zoals te verwachten was, heeft UDP minder overhead dan TCP dus heeft het de voorkeur boven TCP binnen een VPN.

[pa3hio]

Dank je Ben, duidelijke uitleg. Waarom kies je er in het ene geval wel, en in het andere geval niet voor, om alle data via de tunnel te laten lopen? Alles door de VPN tunnel vertraagt, maar is dat dan wel veel veiliger?

[Ben(V)]

Eigenlijk is er geen keuze, alle andere methoden dan VPN zijn een security risico.

VPN heeft enkele voordelen.
1. Het is veel veiliger en sterk encrypted.
2. Je hoeft maar een poort te forwarden en daarna is het gewoon alsof je op het lan zit.
3. Die ene poort staat onder controle van de VPN server en is dus niet(voor zover bekent) te hacken.

[Birdy]

Alles door de VPN tunnel vertraagt

Dat is wat kort door de bocht, normaal gesproken mag/kan dit niet traag zijn, behalve als er slechte verbindingen ontstaan (op afstand) maar, dat heb je ook als je met andere oplossing dan VPN.
Vaak zit het tussen de up/down stream bij 1 of beide Providers.

Hoe denk je dat mensen thuis kunnen werken, met VPN natuurlijk, er is geen betere oplossing voor thuiswerkers.
Zelf werk ik ook thuis, en heb altijd een prima VPN connectie met het bedrijf.

[pa3hio]

Birdy, met jouw settings werkt het ook weer direct, blij mee ! Wanneer ik het thuis test, en ik verbreek de verbinding, kan ik deze niet weer direct verbinden, ik moet enkele minuten wachten, met de laptop buitenshuis heb ik dit niet, geen probleem, maar het viel me op. Dit treedt zowel op de mac, als op Windows op, maar alleens binnenshuis.

Wat is een aan te raden IP-range om te gebruiken? Ik heb maar weer de standaard van 10.8.0.1 aangehouden.
Een van de doelen is om tijdens vakantie met de Ipad, de ziggo-app te gebruiken, om TV te kijken, is voor deze toepassing het IP adres nog van belang?

[Babylonia]

Welke IP-range wordt gebruikt is zeker belangrijk.
Omdat men feitelijk met 3 sub-nets te maken heeft, mogen die niet met elkaar in conflict komen.

https://www.synology-forum.nl/vpn-server/beter-beveiligde-openvpn/msg135813/#msg135813

[Birdy]

Ik heb mij nog nooit bezig gehouden over IP-Ranges, neem gewoon wat er standaard gegeven wordt, het is maar virtueel.

[Birdy]

Toevoeging: Als je b.v. je NAS wilt aanspreken, dan gebruik je immers niet een virtueel (b.v. 10.8.0.1) maar het IP-adres van de NAS zelf of NAS-naam.

[Babylonia]

Maar als je daarbij op locatie onder een WiFi netwerk daar in eenzelfde standaard "normaal" LAN sub-net bereik zit, als wat je thuis ook gebruikt, heb je een conflict.  Dat is het achterliggende idee van andere IP bereiken gebruiken.  Omdat je er hooguit alleen thuis rekening mee zou kunnen houden (op locatie kun je niets veranderen), thuis juist "een niet standaard" IP-bereik instellen.

[Pippin]

64bit block ciphers moeten vermeden worden i.v.m. SWEET32, b.v. BF-CBC.

De huidige aanbeveling vanuit OpenVPN is minimaal AES-128-CBC en SHA256.

Oplopende volgorde is:
AES-128-CBC - AES-192-CBC - AES-256-CBC

SHA1 - SHA224 - SHA256 - SHA384 - SHA512
SHA224 t/m SHA512 vallen onder SHA2.
De RSA-SHAxxx keuzes zijn hetzelfde als de bovenstaande, het is slechts een andere benaming.


TCP of UDP, reeds hierboven geschreven m.b.t. het verschil, aanbevolen is UDP.
TCP kan ook goed werken. Wanneer TCP door de tunnel gaat kan dat eventueel tot problemen leiden die hier beschreven staan: http://sites.inka.de/bigred/devel/tcp-tcp.html
Uit eigen ervaring kan ik schrijven dat SSH en SCP door een TCP tunnel niet altijd even goed werkt, zeker als de lijn/WiFi wat trager is en ping hoog.

[Birdy]

Dus, ik zit nog steeds op het goede spoor

[pa3hio]

Dank allen voor de leerzame antwoorden. @MMD, default stond deze op BF-CBC, maar is dus reeds aangepast.