Archive for  März 2019

Home / März 2019
5 Posts

Da öfter mal Zertifikate in den Arten umgewandelt werden müssen, kommt es öfter mal vor, dass Zertifikate von PFX (Windows) in cert/key Dateien umgewandelt werden müssen.

Export Zertifikate (cer) aus pfx:

openssl pkcs12 -in cert.pfx -clcerts -nokeys -out cert.crt

Export Key aus pfx:

openssl pkcs12 -in cert.pfx -nocerts -out cert_crypted.key

openssl rsa -in cert_crypted.key -out cert.key

Der erste Befehl exportiert den Schlüssel passwortgeschützt (passphrase), der zweite entfernt das Kennwort. Gerade in Verbindung mit einem webserver (Apache/Nginx) sollte das Kennwort entfernt werden.

Umwandlung cert/key zu pfx [HowTo: cert to pfx]

 

 

 

Vorwort:

Mir selbst ist schon öfters die teils sehr schlechte Qualität einer RDP Sitzung aufgefallen. Ein Bekannter hatte mich gebeten, einmal zu prüfen ob man nicht was „Tuning“ betreiben kann. Hierzu muss man wissen, dass RDP selbst standardmäßig immer TCP Port 3389 nutzt. TCP ist aufgrund seiner Struktur verglichen mit UDP langsam.

 

Im Weg durch das „Neuland“ habe ich verschiedene Ansätze gefunden und zwei konkrete habe ich erfolgreich getestet

  1. Einrichtung RDS Gateway Server welcher die Datenübermittlung per UDP erledigt
  2. Anpassung der FPS für die RDP Sitzung (auch für Windows Clients interessant)

Beide Varianten sind so gesehen Windows Boardmittel und benötigen keine Programme von Drittanbietern. Gerade von letzteren dürften diverse Tools vorhanden sein, bspw. für Citrix Sitzungen.

 

Installation & Einrichtung RDS Gateway Server

Info: Um den RDS Gateway Server nutzen zu können, sollte man nach Möglichkeit ein öffentliches Zertifikat besitzen.

Das folgende Tutorial zeigt Schritt für Schritt die Installation und Konfiguration.

 

Öffnen des Server Managers

Allgemeine Info Seite, „Weiter“

Und nochmal „Weiter“

Auswahl des Zielservers, bei einem System nun nicht so schwer…

 

 

Auswahl der „Remotedesktopdienste“ Rolle:

Bestätigung der Installation von benötigten Abhängigkeiten in Form von „Features“.

 

Nach erfolgter Installation können wir nun mit der Konfiguration beginnen:

Erstellen einer neuen Richtlinie innerhalb der „Verbindungsautorisierungsrichtlinien“.

Erstellen einer RD CAP / RD RAP Richlinie.

 

Festlegen eines Namens für die CAP Richtlinie:

Auswahl von Autorisierung-Art und Auswahl der erlaubten Gruppen/Computer

 

Auswahl und Import des Zertifikats.

Sofern die Zertifikate als c(e)rt. vorliegen, so muss man diese in eine PFX Datei umwandeln Konvertieren von crt zu pfx

Alternativ kann man auch mit Windows Tools ein selbst signiertes Zertifikat erstellen.

 

Damit der zusätzliche Gateway Dienst genutzt wird, müssen noch die Firewall Regeln aktiviert werden. Erstellt wurden diese bereits:

Abschließend für diesen Punkt kann man die Einstellungen Testen, in dem man eine neue RDP Verbindung öffnet.

Über die Verbindungseigenschaften sollte nun innerhalb des Popups der Zusatz „and UDP is enabled“ erkennbar sein.

Beobachtung: Bei meiner Windows 10 VM (Client!) ist UDP wohl schon von Haus aus aktiviert…

 

 

Anpassung FPS

Hinweis: Ich würde in jedem Falle vorher ein Backup der Registry Einstellungen durchführen per Rechtsklick und „Export“:

 

Quelle: https://support.microsoft.com/de-de/help/2885213/frame-rate-is-limited-to-30-fps-in-windows-8-and-windows-server-2012-r

Mittels „regedit“ bzw. Registry kann man unter HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations den Schlüssel „DWMFRAMEINTERVAL“ mit dem Dezimal-Wert „15“ erstellen. nach einem Reboot greift die Änderung.

 

 

Fazit: Die Verbindungsqualität ist erheblich besser. Bei einem Musikvideo mit 720p von Youtube kann man es relativ ruckelfrei sehen. Dies spiegelt sich aber auch in der genutzten Bandbreite wieder, die Auslastung ist hier zwischen 3-10 MB/s.

 

Bei größeren Umgebung mit vielen Nutzern dürfte die Bandbreite zum Problem werden … für die Admin-VM aber sicherlich von Vorteil 😉

 

Meine Teststellung wird jedoch zusätzlich durch ein (Open)VPN geleitet und der Zielcomputer steht im Internet. Ein Test im LAN steht noch aus…

Zertifikate waren noch nie unwichtig und auch durch diverse Änderungen (DSGVO, …) nimmt das Verschlüsseln immer mehr zu. Diverse (REST-) APIs, Publishings, Netscaler usw. funktionieren ohne SSL nicht.

Kurzer Überblick der Filetypen:

  • .csr => Certifcate Request, dieser muss an den Provider welcher das SSL Zertifikat ausstellt übermittelt werden
  • .key => Ist der private Schlüssel und wird zur Verschlüsselung der Daten genutzt. Dieser sollte gut gesichert aufbewahrt und nicht mit Dritten geteilt werden
  • .crt => Enthält das reine Zertifikat
  • .pem => Enthält den privaten Schlüssel (.key) als auch das eigentliche Zertifikat (.crt)
  • .pfx => Ist ein spezielles Format für Windows Serrver. Diese Datei enthält alle Dateitypen (Zertifikate, ggf. Zwischenzertifikat, privater Schlüssel).

Da Windows Server auch im Jahr 2019 noch keine gängigen Typen importieren können, muss man die Datein zusammenfügen in einer PFX Datei.

 

Zur Umwandlung habe ich eine Debian Maschine als Hilfe genutzt:

Das „Export Password“ dient als Absicherung der neuen Datei, damit diese nicht unberechtigt genutzt werden kann.

Nun kann das PFX File normal auf dem Windows Server importiert werden.

Hinweis: Je nach openssl Version passiert es, dass die Umwandlung ohne Fehler festhängt. Hierbei könnte es helfen „-passout pass:%mein_pw%“ dem Befehl anzuhängen.

Im folgenden Artikel beschreibe ich die Peer-to-Peer (P2P) Anbindung zwischen einer PfSense als OpenVPN Server und einem Windows 2016 Server OpenVPN Client mittels eines Shares Secrets.

 

Als Vorbreitung sollte OpenVPN installiert werden. Man kann aus dem anderen HowTo OpenVPN installieren – [HOWTO OpenVPN] . Hierbei reicht die Durchführung der Schritte 1 bis 2.

 

Nachdem Login in der PfSense wird unter dem Punkt „VPN“ der Unterpunkt „OpenVPN“ ausgewählt. Anschließend wird ein neues Server Profil erstellt:

Für das neue Profil müssen diverse Einstellungen definiert werden.

 

Die Verschlüsselung kann frei gewählt werden, muss aber auf Client und Serverseite gleich sein. Ebenso muss der „Local port“ mit dem Zielport aus der Clientconfig übereinstimmen.

Das „Ipv4 Tunnel Network“ ist lediglich ein virtuelles Transfernetzwerk. Dieses darf sich nicht mit anderen vorhandenen Netzen schneiden.

Weiterhin wichtig ist das Setzen der IPv4 Remote networks, da ansonsten die Rück-Routen fehlen und keine Kommunikation stattfinden kann.

Das Shared Secret wird nach dem Speichern automatisch erstellt, wenn man anschließend wieder in die Konfiguration wechselt von dem neu erstellten OpenVPN Profil, so muss das Shared Secret auf dem Client ebenso in einer Datei (C:\Program Files\OpenVPN\pre_shared_key\site1.key) hinterlegt werden.

Client Config:

##########################
# VPN %Ziel%
##########################

dev tun

#Optional sofern separater Adapter genutzt wird
#dev-node "tap-vpn-name"

script-security 3
keepalive 10 60
ping-timer-rem
persist-tun
persist-key
proto udp4
cipher AES-256-CBC
auth SHA256

#Lokale IP des Clients
local %local-ip%
lport 0

# Remote IP oder DynDNS Name
remote %remote-ip% 1199

# virtuelle-Ip Client gefolgt von IP des Gateways/OpenVPN Servers (virtuelle IP)
ifconfig 10.0.4.2 10.0.4.1

# Rück-Route, kann mehrfach gesetzt werden
route 192.168.178.0 255.255.255.0
secret "C:\\Program Files\\OpenVPN\\pre_shared_key\\site1.key"
comp-lzo adaptive
resolv-retry infinite

##########################
# Logging
##########################

status "C:\\Programme\\OpenVPN\\log\\site1.log"
log "C:\\Programme\\OpenVPN\\log\\site1.log"
log-append "C:\\Programme\\OpenVPN\\log\\site1.log"
verb 3

Bei dem Verbindungsaufbau sollte dann anschließend folgendes erkennbar sein in der PfSense unter „Status“ > „OpenVPN“

Die Verbindung sollte „up“ sein und Traffic muss erkennbar sein.

 

Hinweis: In jedem Falle prüfen, dass die entsprechenden Ports (VPN Port + diverse Ports welche man freigeben möchte, bspw. RDP 3389/TCP, …) auf beiden Seiten in den Firewall freigegeben sind.

Update: OpenVPN 2.5 HowTo

Für einen Kunden war die Anforderung ein (Windows) System mittels eines VPNs abzusichern, das Ganze möglichst einfach und dennoch ohne Sicherheitsverlust.

Daher habe ich mich für den Einsatz von OpenVPN entschieden, da dieses OpenSource ist und eine große Bekanntheit hat.

 

1. Vorbereitung:

  • fertig installierter Windows 2016 Server
  • Download Community OpenVPN NSIS Package (https://openvpn.net/community-downloads/)

2. Installation OpenVPN Server:

Nachdem wir in der Vorbereitung die EXE Datei heruntergeladen haben, können wir diese installieren:

Übliche Willkommensmaske:

Bestätigen der Nutzungsbedingungen:

Auswahl der zu installierenden Komponenten. Hier sollte man noch den Punkt „EasyRSA 2“ auswählen.

Im nächsten Schritt wird der Installationordner ausgewählt:

Während der Installation muss man noch explizit die Installation eines virtuellen Netzwerkadapters freigeben.

Hinweis: Ohne entsprechende Berechtigung kann der Installer den Adapter nicht korrekt erstellen und eine VPN Verbindung ist nicht möglich!

Abschluss der Installation:

Nun haben wir OpenVPN installiert jedoch existieren noch keine Custom Keys oder Einstellungen welche die VPN Verbindung erst ausmachen.

 

3. Schlüsselpaare erstellen

In den folgenden Schritten werden folgende Keys bzw. Zertifikate erstellt:

  1. Einmalig: Certificate Authority (CA)  – build-ca.bat
  2. Einmalig: Diffie-Hellman Key – build-dh.bat
  3. Einmalig: Server Certificate – build-key-server.bat
  4. Pro Client ein Client Certificate – build-key.bat

Hinweis: Die Zertifikate bzw. Keys sind per Default 10 Jahre gültig. In dieser Zeit ist spätestens das Betriebssystem EOL, aus diesem Grunde vollkommen ausreichend.

Hierbei sollte man in den Easy-RSA Pfad wechseln in welchen OpenVPN installiert wurde ( C:\Program Files\OpenVPN\easy-rsa ). In diesem Ordner wird die vorhandene Datei vars.bat.example dupliziert oder nur umbenannt in „vars.bat“ und folgende Zeilen werden verändert bzw. hinzugefügt.

set KEY_COUNTRY=DE
set KEY_PROVINCE=RLP
set KEY_CITY=KOBLENZ
set KEY_ORG=MeineFirma AG
set KEY_EMAIL=kontakt@firma.tld
set KEY_CN=vpn.firma.tld
set KEY_NAME="Firmenname OpenVPN Key"
set KEY_OU="Abteilung"
set PKCS11_MODULE_PATH=platzhalter
set PKCS11_PIN=123456
set KEY_SIZE=2048

Die Werte sollten gesetzt werden, da es sonst zu Hinweis- als auch Fehlermeldungen kommen kann.

Ich habe bei der Schlüssellänge 2048 gewählt, da hier Sicherheit und Performance in einem guten Verhältnis stehen. Sofern man eine potente Hardware hat oder nur eine Verbindung aufbaut, kann man sich für 4096 entscheiden. Desto größer die Schlüssellänge desto länger dauert auch das Erstellen der jeweiligen Dateien!

Im Anschluss wird die „Arbeitsumgebung“ geladen:

Hinweis: Die Umgebung muss bei jeder neuen CMD Sitzung neu ausgeführt werden, da die Variablen sonst nicht gesetzt sind!

Um sicher zu gehen, dass alles sauber erstellt wird, lasse ich noch den Clean Job laufe. Dieser Schritt sollte bei einer Neuerstellung von einem Keypair oder bei einem Fehler in jedem Falle wiederholt werden!

Hinweis: Hierbei werden alle zuvor erstellten Keypairs gelöscht!

Erstellung Certificate Authority:

Erstellung Diffie-Hellman Key

Erstellung Server Certificate

In diesem Schritt muss man insbesondere das Signieren als auch das Erstellen des Zertifikates mit „y“ bestätigen:

Erstellung Client Certificate

Bei der Generierung des Client Certificates sollte man pro Client einen eigenen Namen wählen. Sollte man ein Zertifikat für mehrere Clients verwenden wollen, in den Default Settings würden sich die Clients immer gegenseitig aus der Sitzung werfen! Besser ist ein Zertifikat pro Client oder wenn es sein muss, wird der Parameter „duplicate-cn“ in der OpenVPN Konfig hinterlegt.

 

Überblick der Zertifikate:

Für den Client werden die folgenden Zertifikate benötigt:

  • ca.crt
  • client_%name%.crt
  • client_%name%.key

Die Server Files werden im folgenden Schritt beschrieben.

Alle anderen Dateien sollten unter keinen Umständen weitergegeben werden, da ansonsten die Sicherheit erheblich gefährdet ist.

4. Konfiguration OpenVPN Server:

Für den Server werden nun unter „C:\Program Files\OpenVPN“ noch weitere Ordner erstellt:

  • ccd
  • keys

Bei mir sieht es anschließend wie folgt aus:

Der Ordner „pre_shared_key“ ist zu ignorieren, dieser ist für ein Peer-to-Peer VPN (HowTo – LINK) erstellt worden.

Nun kopieren wir die zuvor erstellten Key und Zertifikate in den Ordner „keys“:

 

Optional:

Auf dem Kundensystem sollen zwei OpenVPN Instanzen laufen. Eine als Peer-to-Peer zu einem anderen OpenVPN Server und eine weitere als reiner OpenVPN Server für „normale“ Clients wie Windows 10, Android, iOS, …. Hierfür habe ich einen weiteren Tap Adapter erstellt, man kann nur eine Instanz pro Adapter betreiben.

Starten einer CMD mit Administratoren Berechtigung und anschließendes erstellen eines weiteren Adapters per OpenVPN „addtap.bat“.

Danach sollte der neue Adapter verfügbar sein und im Netzwerk Center bzw. per CMD sichtbar sein. Ich habe den Adapter umbenannt per „Umbennen“ in „tap-vpn-server“:

Man kann die Adapter auch per OpenVPN  Binary prüfen und schauen, ob diese verfügbar sind:

 

OpenVPN Server Konfig „C:\Program Files\OpenVPN\config\vpn_server_client.ovpn“

##########################
# VPN Server for clients
##########################

# Lokale IP auf welche der Socket/Port gebunden wird
local 1.2.3.4

#Listener des OpenVPN Servers
port 1194

#Protokoll des Servers
proto udp
dev tun
# Zuweisung auf separaten Adapter
dev-node "tap-vpn-server"

##########################
# Zertifikate
##########################

dh "C:\\Program Files\\OpenVPN\\keys\\dh2048.pem"
ca "C:\\Program Files\\OpenVPN\\keys\\ca.crt"
cert "C:\\Program Files\\OpenVPN\\keys\\vpn_name.crt"
key "C:\\Program Files\\OpenVPN\\keys\\vpn_name.key"

##########################
# Server-Setup
##########################

# DHCP Subnetz
server 10.0.100.0 255.255.255.0
ifconfig-pool-persist "C:\\Program Files\\OpenVPN\\ipp.txt"

#Ermöglichen von Anfragen von einem Client zum anderen, bei Bedarf die Zeile entfernen
client-to-client

##########################
# Client-Settings (inkl Special Dir)Files
##########################

client-config-dir "C:\\Program Files\\OpenVPN\\ccd"
push "route 192.168.1.0 255.255.255.0"
#push "dhcp-option DNS 192.168.1.10"

##########################
# Defaults
##########################

keepalive 10 120
comp-lzo
persist-key
persist-tun

##########################
# Logging
##########################

status "C:\\Program Files\\OpenVPN\\log\\vpn_server_client_status.log"
log "C:\\Program Files\\OpenVPN\\log\\vpn_server_client.log"
log-append "C:\\Program Files\\OpenVPN\\log\\vpn_server_client.log"
verb 3

Der OpenVPN Server kann mittels „C:\Program Files\OpenVPN\bin\openvpn-gui.exe“ starten, gerade während der Einrichtung sollte man diese Option nutzen. So startet man die GUI und sieht die Fehlermeldungen direkt.

Später kann man den OpenVPNService nutzen. Dieser ist per Default vorhanden aber auf „Manuell“ gestellt, damit der Dienst automatisch verfügbar ist habe ich die Einstellung auf „Automatisch“ angepasst.

 

Tipp zum Prüfen ob der Socket existiert:

netstat -a | findstr 1194

So sollte die Ausgabe sein:

Ebenso sollte der Windows Firewall noch ein Eintrag bei den eingehenden Regel ergänzt werden für den gewählten Port (UDP/1194).

5. Installation Client

Für die Client-Installation unter Windows 10 kann man Schritt 2. unter Windows 10 wiederholen (die EasyRSA Tools müssen hier nicht mitinstalliert werden)

C:\Program Files\OpenVPN\config\vpn_client1.ovpn:

##########################
# VPN Client config
##########################

client
dev tun

proto udp
remote vpn.server.tld 1194
resolv-retry infinite
nobind
persist-key
persist-tun

ca "C:\\Program Files\\OpenVPN\\config\\ca.crt"
cert "C:\\Program Files\\OpenVPN\\config\\client_1.crt"
key "C:\\Program Files\\OpenVPN\\config\\client_1.key"
ns-cert-type server

comp-lzo
verb 3

 

So sollte es bei dem Verbindungsaufbau aussehen:

Hinweis: OpenVPN muss als Administrator oder mit einem User der die entsprechenden Berechtigungen (eines Netzwerkoperatoren) hat ausgeführt werden. Ansonsten schlägt der Verbindungsaufbau fehl.