hallo imperator,
>"...ich mache also ein Port-Forwarding (SSH) auf die FW im privaten LAN..."
ja, genau.
>"...und tunle per SSH das VPN von der FW zum VPN Server?..."
nein. der ssh-tunnel ist bereits das vpn. du gehst vom client im wan verschlüsselt bis zu deiner 2. firewall und von der 2. firewall bis zum zielrechner im private lan gehts unverschlüsselt weiter. ich gehe jetzt mal davon aus, daß sich deine rechner im private lan nicht gegenseitig attackieren.
einen aspekt muß man bei der verwendung von ssh-tunneln beachten- protokolle, die osi brechen, können nicht mit ssh getunnelt werden, weil der "tunnel" genaugeneommen gar kein tunnel, sondern nur ein secure socket pair ist (es gibt keine zusätzliche tunnelkapselung).
dazu als beispiel passives ftp (ftp ist das paradebeispiel für ein protokoll, das osi bricht):
ftp besteht 2 verbindungen- ftp-control und ftp-data. über die kontrollverbindung tauschen die peers die verbindungsdaten für die datenverbindung aus.
wenn ein client daten mit passivem ftp vom server holen will, dann schickt er über die kontrollverbindung den "pasv"-befehl, und der server gibt in der antwort das socket bekannt, das er für die datenverbindung geöffnet hat. wenn jetzt der server hinter einem NAT hängt, dann ist das ein privates socket, in deinem fall könnte das z.b. 192.168.150.1:3333 sein. das ftp-alg erkennt die antwort des server als solche und macht folgendes:
1. es übersetzt die angabe des privaten sockets, die sich auf application level (layer 5) befindet, in ein öffentliches socket, also z.b. dei.ne.haupt.ip:4444
2. es richtet dynamisch eine weiterleitung für die datenverbindung ein, in diesem beispiel würde die map so aussehen: dei.ne.haupt.ip:4444 -> 192.168.150.1:3333
und punktiert die firewall für diese weiterleitung.
wenn jetzt aber die kontrollverbindung über den ssh-tunnel läuft, dann ist sie verschlüsselt. die antwort des server wird deshalb vom ftp-alg nicht als solche erkannt, ergo nicht übersetzt, und der client erhält das private socket als antwort. er versucht dann natürlich zu diesem socket zu verbinden und scheitert, weil private ips nicht in öffentlichen netzen geroutet werden (dürfen) -> fin.
willst du also derartige protokolle tunneln, muß du auf ipsec oder (schlechter) pptp ausweichen. unabhängig von der eingesetzte methode bleibt das grundprinzip jedoch gleich- das vpn geht nach möglichkeit nur bis zur 2. firewall.
lg
zid
