VPN-Sicherheit: MAC-Filter eine Option?

[Riven]

Hallo Leute,

ich beschäftige mich gerade ein bisschen mit VPN-Sicherheit, da ich ggf. auf meiner DS den VPN-Server anwerfen möchte.
Zwar sind VPNs ja nicht unbedingt unsicher, aber das Portforwarding gefällt mir trotzdem nicht. Wobei ich dazu sagen muss, dass ich leider was Netzwerksicherheit angeht, wahrlich kein Experte bin.
Was gibt es für Möglichkeiten, ein VPN bzw ein Heim-Netzwerk von dem ein VPN ausgeht, zusätzlich abzusichern? Bisher habe ich Standard-Firewall im Router, Firewalls auf den einelzenen PCs (löchrig bzw. großzügig und nicht besonders fachkundig konfiguriert) und natürlich die Firewall und das Antivirusprogramm auf der DS an.
Ich habe jetzt in meiner Naivität an etwas wie einen MAC-Filter gedacht. Ich weiß, dass die Mac-Adresse meines Netzwerkgerätes am Router gegen die des Routers ausgetauscht wird für Pakete, die ins InTernet gehen, aber da das VPN ja nur eine Erweiterung des Heimnetzwerkes ist, spielt das vielleicht keine Rolle. Es ist nämlich so, dass nur einige wenige festgelegte Geräte auf den das VPN zugreifen sollen und vielleicht gibt es eine Möglichkeit, dritte Geräte auszuschließen.
Eine weitere Variante wäre, die Portweiterleitung nur nach Bedarf einzuschalten, aber ich weiß nicht, wie das aus der Ferne gehen soll.

Vielleicht habt ihr Ideen und Hinweise. Danke und einen schönen Sonntag noch!
Riven

 

[hopeless]

Für meinen Arbeits-VPN habe ich einen Hardware-Dongle mit USB, nur damit kann ich Verbindungen zu besonders gesicherten VPN auf der Arbeit nutzen.

 

[Riven]

Das klingt gut. Allerdings möchte ich auch und gerade mit meinem Smartphone (kein USB Port) auf den Tunnel zugreifen.

 

[ottosykora]

Ich habe jetzt in meiner Naivität an etwas wie einen MAC-Filter gedacht. I

das ist eher was aus der Esoterik Ecke. MAC Adressen können beliebig gefaked werden.

Wenn du dir bei so viel Aufwand immer noch so viel Gedanken über Sicherheit machst, dann sollst du gar keinen NAS betreiben und schon gar nicht ein Fernzugang dazu.
Jeder Server der erreichbar sein soll, muss dazu Software bereit halten die auch in der Lage ist zu antworten. Und das ist mit den Ports und den damit verbundenen Servern geregelt. Das machen alle Server so.
Etwas weiter geht man mit einer Berechtigung, dann können auf den Clienten extra Schlüssel vorinstalliert werden oder können auch auf externen Medien wie Dongle etc vorliegen.
Mit Bereitstellen der Ports und Software die auf Empfang hat das nichts zu tun, das muss immer noch gleich bleiben. Es bedeutet lediglich grössere Hürde um den Tunnel aufzubauen oder zu benutzen oder in das entfernte Netzwerk zu gelangen.

 

[ottosykora]

Allerdings möchte ich auch und gerade mit meinem Smartphone (kein USB Port) auf den Tunnel zugreifen.

...Smartphone...??? dann interessiert dich das Thema Sicherheit wahrscheinlich gar nicht.

 

[Riven]

nochmal dazu dass MAC-Adressem gefälscht werden können.
Schon, aber dazu muss man sie ja erstmal kennen. Und solange ein Angreifer die MAC Adressen meiner Geräte nicht kennt, müsste das doch schon ein Mittel sein, um Fernzugriff zu reglementieren oder?

Wieso solange mein Smartphone nicht kompromittiert ist, wüsste ich nicht, wo das Problem bei einem Smartphone größ0er ist als bei einem Laptop.

Das mit den für die einzelnen Benutzer hinterlegten Schlüsseln klingt interessant, ist mir aber nicht klar was du damit meinst?

Viele Grüße

 

[Riven]

Ich versuchs noch ein letztes mal mit einer Ergänzung, dann lasse ich es. Ich möchte mich ja hier nicht als Karteileichenausgräber tätig zeigen.
Wenn ich mein LAN mittels eines zweiten Routers und DMZ in zwei Subnetze splitte und nur der NAS direkt am Router mit WAN-Zugang hängt und alle anderen Clienten hinter dem zweiten Router, dann könnte man selbst wenn man, doch erst recht nicht rausfinden, welche MACs die anderen Clienten haben und die somit auch nicht fälschen oder? Und ergo dann auch nicht auf dem NAS aktiv werden, wenn ich dort MAC-Whitelisting betreibe oder?
Viele Grüße

 

[ottosykora]

vergiss doch diesen Unsinn.

die MAC wird mit den Packeten gesendet, die ist nicht geheim oder verschlüsselt oder sonst was.

http://www.howtogeek.com/204458/why-you-shouldn’t-use-mac-address-filtering-on-your-wi-fi-router/

 

[jahlives]

Solange wir bei VPN von OpenVPN reden gehen MAC Filter eh nicht. Denn OVPN übeträgt keine MAC Adressen.

 

[Riven]

okay, danke. Ich bin geläutert ;-)