Wie ihr sicher schon gelesen habt, drücke ich im Moment noch ein- bis zweimal die Woche die Schulbank.
Die Berufsschule hat als Zugriffskontrolle zum Internet einen Microsoft ISA Server im Einsatz, über den die Lehrer individuell Schüler oder ganze Klassen für den Zugriff aufs Internet freischalten können. Der Schüler meldet sich dann mit seinen Zugangsdaten am Proxy an und surft fortan protokolliert und zensiert durchs Netz.
Soweit nicht weiter problematisch - wenn es denn keinen anderen Weg ins Internet gäbe...
Und genau hier liegt das Problem. Alle installierten PCs der Schule besorgen sich ihre Netzwerkkonfiguration via DHCP, bekommen jedoch keinen Gateway zugewiesen.
Stöpselt man hingegen seinen eigenen Laptop in die RJ45-Buchse an der Wand, sieht das schon ganz anders aus. Trägt man dann nämlich noch die IP des ISA/Proxy-Servers als default Gateway ein, klappt bereits ein Ping ins Internet. TCP/UDP-Verbindungen nach draußen werden jedoch alle vom ISA Server unterbrochen bzw. zurückgewiesen. Alle? Sollte man meinen. Dummerweise (bzw. freundlicherweise :)) läßt der ISA-Server Verbindungen auf Port 1723/tcp ins Internet ungehindert durch.
Mir ist schleierhaft, warum 1723/tcp ausgehend ungehindert durch die Büchse durchgeht. Ich kann mir nur vorstellen, daß es sich um eine Fehlkonfiguration handelt und es den Lehrern eigentlich ermöglicht werden sollte, von zu Hause in das Schulnetz zu kommen.
Was macht man in so einem Fall? Richtig, OpenVPN und WLAN auf seinem Laptop aufsetzen und lustig durch die Windowsbüchse hindurchtunneln. Wozu WLAN fragt ihr? Damit die anderen Mitschüler mit Laptop auch etwas davon haben 
Grüße an Patti und Ottman Ottmen für das Finden dieser Schwachstelle.
{ 7 } Comments
Naja, vielleicht hat sich der Admin auch gedacht: "Wer sich remote irgendwo in ein VPN einwählt, kann ruhig raustelefonieren. Was er von seinem VPN aus dann für Unsinn treibt, ist mir doch schnuppe!"
Ich habe aus eben demselben Gedankengang heraus auch schon mal überlegt, ob ich hier bei mir einen öffentlichen WLAN-Hotspot betreibe, der VPN durchlässt. Ist dann bisher am Router gescheitert, aber ich halte die Idee an sich nach wie vor für recht schlüssig.
Unser Admin =)
Nur schad' das ich kein WLAN Ding hab.
Lieben Gruß,
~Keks
hmm keks dann must du es wie ich machen usb stick oder wlan karte !
Ah lieber blogger ein kleiner FEHLER ist dir unterlaufen ottman ist es nicht aufgefallen sondern ottmen
ottman gibbet nämlich net ^^
trotzdem super coole aktion, das wireless zu machen! weil nicht immer sind ausreichend steckplätze vorhanden und deine Serveranbindung ist auch besser als meine ! 4 mbit gegen deine 100 mbit ^^
mfg
Ottmen (Major)
@Overkill
Ok, der Gedankengang ist garnicht so abwegig, andererseits geht es bestimmt nicht nur darum, über die IP der Schule keinen Mist zu verzapfen. Spätestens wenn Du bei Klausuren (die Du am Laptop bearbeiten darfst) im Netz nachschlagen kannst und dir damit einen Vorteil vor anderen verschaffst, ist es nicht mehr egal.
@Ottman
Asche auf mein Haupt
Was wären wir ohne Gateway bloß? Gatewaylos!
In diesem Sinne grüße aus dem anderen Blog. Netter Artikel.
1723? Hmm, also jetzt ohne nachgeschaut zu haben, würde ich sagen, 1723 ist PPTP was es dann auch erklärt. Der ISA hat vermutlich einen VPN Server darauf laufen und daher den Port freigeschaltet.
Hehe, wir haben in der Schule auch ein ISA-Server.
Der Zugriffbeschränkungen erfolgen aber über den Proxy. Da alle Rechner Administrator-Rechte haben, braucht man nur als Gateway die IP-Adresse des Proxys einzutragen. (Dafür haben die Rechner alle ein HD-Guard, sodass Einstellungen am Rechner beim Herunterfahren verfallen)