Router OS en anonimiseerde VPN

[NuKeM]

Naar aanleiding van mijn post i.v.m. "Countermeasures telecommonitoring" ben ik wat beginnen nadenken en sta ik op het punt te gaan experimenteren.

Mijn netwerkconfiguratie is hier terug te vinden.

Opmerking: Ik wil geen criminele zaken doen via het internet. Dit is louter voor de uitdaging/sport en ook een beetje om een minuscule tegenbeweging te geven aan wat gaande is.

Doel:
1) Er voor zorgen dat mijn ISP niet kan zien welke webpagina's ik bezoek
2) Bij uitval van de VPN-verbinding moet alles gewoon direct via de ISP verlopen (soort Dual WAN met failover dus)
3) Downloads (buiten http) niet door VPN laten lopen
4) Inkomende VPN-server moet blijven werken (en clients ook anonimiseren), al denk ik dat dit punt geen enkel probleem zal zijn

Wat heb ik al:
- VPN-provider (ibVPN)
- Mikrotik router die kan verbinden met VPN-provider (L2TP-client voorlopig, openVPN is een volgende uitdaging)

Na wat Googlen, de aanpak die ik zal proberen (als ik eens tijd heb):

• Alles wat via poort 80 gaat laten markeren door de router. Of moet dit (ook nog) met een 'mark-routing'... te onderzoeken
• De IP-routes aanpassen (op zo'n manier dat als één route down gaat hij de andere neemt)
• En dan twee NAT masquerades voor ISP en VPN

Interessante bronnen:
http://forum.mikrotik.com/viewtopic.php ... 06#p249410
http://blog.butchevans.com/2008/09/mikr ... n-example/
http://home.swkls.org/mikrotik-policy-based-routing/
http://wiki.mikrotik.com/wiki/Policy_Base_Routing
http://wiki.mikrotik.com/wiki/Manual:PCC

Vragen hierbij:
Http (poort 80) traffic/connections alleen over de VPN laten lopen, is dat wel voldoende om volledig anoniem te zijn? Wat met https (poort 443?), of beter DNS-requests (poort 53?) bij het surfen? Moeten deze ook niet over de VPN lopen om goed te zijn? Zie ik dan niet nog dingen over het hoofd?

Jullie bedenkingen/tips/opmerkingen/ervaring?

[ubremoved_539]

DNS requests moet je al zeker over je VPN laten lopen... anders kan je ISP zien welke hostnames je allemaal resolved (en ervan uitgaan dat je ze dan ook bezoekt als hoeft dat niet zo te zijn), maar in theorie moet je alles over de VPN laten lopen. Een website zou bijvoorbeeld z'n images of welke resources dan ook kunnen halen vanaf een webserver die bv. op poort 81 staat... en dan ben je nog exposed.

[NuKeM]

Dus eigenlijk pak ik het best omgekeerd aan. Alles standaard over VPN, behalve de gedefinieerde uitzonderingen.
Dat is eigenlijk nog makkelijker, want de uitzonderingen komen allemaal van hetzelfde interne IP (de NAS).
Probleem, de VPN-server loopt op de NAS dus de VPN-clients zullen niet geanonimiseerd worden (maar dan draai ik die misschien wel op de RouterBoard).

[Mathy]

Je kan eventueel ook zelf een recursing DNS-server opzetten via die VPN, dan kan je er redelijk zeker van zijn dat het niet gelogd wordt. Het is wel nog altijd traceable als ze echt specifiek jouw verkeer gaan monitoren maar het zal standaard niet ergens gelogd worden.

[ubremoved_539]

Probleem, de VPN-server loopt op de NAS

Jij had toch een Routerbord dacht ik... waarom dan zoiets op je NAS laten lopen ?

[NuKeM]

Ik had gelezen dat een routerboard (ik weet wel niet welk type) een erg hoge CPU-load krijgt bij het opstellen van een geëncrypteerde VPN-verbinding. Mijn NAS doet zijn werk prima en heeft CPU power op overschot. Ik kan het natuurlijk altijd proberen en zelf mijn conclusies trekken over de load

Misschien een domme opmerking, maar wat met de firewall. In principe is een VPN-verbinding een 2de weg naar de buitenwereld. Tot op heden heb ik mij niet veel zorgen gemaakt i.v.m. firewall rules aangezien de routerboard achter mijn Telenet router hangt. Maar, met een VPN, komt die dan niet 'openbaar' (al was het maar voor de andere gebruikers op die VPN-server die in dezelfde pool zitten)? Ik ga dat toch ook eens bekijken.

[ubremoved_539]

Misschien een domme opmerking, maar wat met de firewall. In principe is een VPN-verbinding een 2de weg naar de buitenwereld.

Geen domme vraag... een VPN op die manier is inderdaad een interface zoals iedere andere... en moet je ook beveiligen met een firewall.

[NuKeM]

Ter info:

Op basis van deze informatie heb ik alvast kunnen instellen dat bv. een specifiek IP (of een lijst of range van IP's) over een PPTP VPN gaat, dat werk netjes (de snelheid valt tegen, maar dat kan aan de provider liggen.. te onderzoeken). CPU-load piekt ook wel wat meer (al richting 25% bij een kleine upload test).

Qua firewall heb ik gewoon op de input chain een drop gezet op de VPN-interface. Die rule staat helemaal bovenaan.
M.a.w. zou elk pakketje dat naar de router zelf gericht is gedropt moeten worden als dat over de VPN komt.

Daarnaast heb ik een drop gezet op alles wat binnen komt op de router van de VPN interface en een andere destination heeft dan de VPN ip-adressen.
En natuurlijk een accept op alles wat naar de VPN interface gaat uit de router komende (en een destination heeft uit de VPN ip-adreslijst).

Ik weet niet of dat mij voldoende zal afschermen. Ik wil vermijden dat men enerzijds toegang heeft tot de router (interface) vanaf de andere kant van de VPN verbinding (de provider) en dat men bovendien ook geen toegang heeft tot mijn interne netwerk (buiten eventueel die IP's die op de VPN lijst staan, maar liever ook niet... NAT?).
Maar dat vind ik van mezelf dan weer een rare uitspraak... want alles zit toch achter een NAT als ik de stappen uit bovenstaande link heb gevolgd?
Ondertussen merk ik ook dat ik vanop een ander subnet blijkbaar niet meer aan mijn servers kan met een IP dat op de VPN lijst staat...

Nog veel werk dus Maar nu even rebooten naar de oude setup