DNS "Leasetime" für Software verkürzen

Moin,

eigentlich schreibt ja der Client direkt in den DNS...

Versucht doch nach Tunnelaufbau am Client mal ein "ipconfig /registerdns" (wobei da evtl nur die IP des LAN/WLAN Interfaces registriert wird, und nicht die des Tunnel Interfaces.... evtl. kann das euer VPN Endpunkt?) und am Lizenzserver ein "ipconfig /flushdns"

lg,
Slainte

Ganz verständlich ist der DNS Ansatz nicht. Normalerweise nutzt man im OpenVPN Server das moderne Subnet Verfahren (Parameter topology subnet im Server). Damit steht doch das VPN Client Subnetz statisch fest.
Das veraltete net30 Verfahren mit einzelnen /30er Subnetzen für die Clients wäre hier natürlich kontraproduktiv und nutzt ja eh niemand mehr.
Zudem es ja auch noch mit dem Parameter server <ip_netz> <maske> fest definiert ist.
Ein DNS Server "kennt" also zu jeder Zeit und Sekunde das OpenVPN Client IP Netz egal ob ein Client aktiv ist oder nicht. In einem Firmennetz wird ja der lokale DNS Server dem VPN Client zudem mit push "dhcp-option DNS <ip_addr>" übermittelt so das der aktive VPN Client primär immer den firmeneigenen DNS befragt.
Ein möglicher Workaround ist auch Clients auf Basis ihres Common Name immer eine feste IP im OpenVPN zu geben (ifconfig-push..) und diese statisch im DNS zu definieren. Damit umgeht man dann auch jegliches Laufzeitproblem.

Dann erfolgt die Ameldung am Programm aber erst NACH der OpenVPN Verbindung. In dem Moment ist der Laptop mit der VPN-IP im netzwerk bekannt.

Welcher DNS-Server ist bei eure DC eingetragen? Sinnvoll wäre DC fragt Firewall, Firewall fragt im Internet nach. Nur so kann der DC die Namensauflösung für VPN-angeschlossene Geräte kennen. In dem Fall brauchst du auch keine IP-Vergabe via DC.

Dann sollte der Domain-DNS auch die Firewall als DNS eingetragen haben.

Oder den DNS-die Firewall als DNS-Server eintragen. Köntne wie gesagt auch reichen.

Wird sich nicht mit dem lokalen Netz beißen. Intern nutzen sie die physischen Netzwerkkarte, per VPN nutzen Sie die virtuelle von OpenVPN eingerichtete. Das sollten eigentlich 2 unterschiedliche MAC-Adressen sein, wenn ich mich jetzt richtig erinnere. Habe aber OpenVPN seit Jahren nicht mehr genutzt.

Wie meinst du das ?? Er ist in der OpenVPN Server Konfig Datei eingetragen das er an den Client gepusht wird oder wie ist das zu verstehen ?
Ein Client meldet sich doch niemals aktiv an einem DNS Server an ! Hier missverstehst du vermutlich den DNS Vorgang.
Der Client befragt stinknormal per DNS Request (TCP/UDP 53) den DNS Server nach einem Hostnamen wenn er einen hat den er nicht auflösen kann. Der DNS Server sieht in seinen lokalen Records nach und antwortet mit der entsprechenden IP oder leitet dann weiter auf die Firewall wenn er auch nicht auflösen kann. Diese leitet wiederum weiter an den Provider DNS wenn sie nicht auflösen kann.
Ganz einfaches 08/15 Standard DNS Prinzip wie es millionenfach im Einsatz ist. Nicht mehr und nicht weniger.
Kollege @Doskias hat es oben ja ebenso schon gesagt.

Was du vermutlich (geraten) meinst ist das der DHCP Server dynamisch an den (Winblows) DNS Server den VPN Client Hostnamen meldet. Das dürfte hier aber nicht funktionieren, denn der OpenVPN Server kann bzw. macht sowas in der Regel nicht. Jedenfalls keine dynamische Meldung. Das kann wenn dann überhaupt nur über die Weiterleitung an die Firewall klappen.
Hier wäre hilfreich zu wissen ob du per nslookup oder dig dann solche aktiven VPN Clientnamen auch auflösen kannst ?
Klappt das wäre das OK und dann wären die Clientnamen auch sofort bei VPN Einwahl im DNS bekannt.
Andernfalls ja oben der Vorschlag das du die Clients statisch fest, statisch anhand ihres Common Names im DNS Server definierst und im OVPN Server je nach Client Common Name feste IP Adressen vergibst.

Das solltest du aber nochmal über die Hersteller Hotline sauber abklären ! Das wäre recht armselig, denn dann wäre dieses Produkt in keiner Firma sinnvoll nutzbar, denn in Firmen hat man zu 99% ja immer segmentierte IP Netze in der Infrastruktur.
Das kann eigentlich kein seriöser Hersteller wirklich wollen.

Lokale Windows-Firewall des "Servers" geprüft? Die läßt auch nicht ohne weitere Pakete aus "fremden" Netzen rein. Du mußt die VPN-Netze zu den vertrauenswürdigen Netzen hinzufügen.

Ansonsten Hersteller in den Hintern treten.

lks

Ist ja mal spannend was der antwortet...!

Bedeutet ja das diese Software dann letzlich nur mit einer ganz bestimmten IP Adressierung arbeiten kann und vermutlich nicht routebar ist. M.E. ein fataler Design Fehler in der Software und unhaltbar heutzutage wo segmentierte Netze Standard sind.
Passiert aber wenn Software Entwicklern der Praxis Horizont fehlt oder die Software schlecht oder gar nicht gepfelgt wird.
Schlimm das man dann solche gruseligen Workarounds machen muss aber wenns denn hilft...?!
Case closed.

Das ist keine Lösung, sondern ein "workaround". Das Problem ist, daß die Software nicht über IP-Netzwerkgrenzen hinweg funktioniert, weil die Programmierer schlampig programmiert haben. Normalerweise muß man sich extra dafür anstrengen, damit sowas passiert. Normale Progamme funktionieren üblicherweise ohne zutun über Netzwerkgrenzen hinweg.


Damit niemand merkt wie vermurkst deren Software ist.


Ich würde den Hersteller nochmal gehörig treten, damit die das Standard-Konform glattziehen.


Gern geschehen. Allerdings wäre es nett, wenn du auch den Namen des Herstellers und der Software nennen würdest, damit nachfolgende Generationen die Lösung den Workaround hier im Forum finden können..

lks