Frage zu Routing an die Experten

Den Drucker zu separieren bringt nichts, wenn sie sich im gleichen Netz aufhalten. Das ist das Gleiche, als, wenn du ihn gleich im alten IP Bereich lässt. Wenn du ihn wirklich "richtig" separieren möchtest, benötigt er ein eigenes VLAN.

Die Route zu 10.0.0.0/24 muss auf beiden Gateways eingestellt werden.
Auf dem Gateway des Netzes, in dem sich der Drucker befindet (ich nenne es mal Gateway 1), muss als Ziel die Netzwerkkarte eingetragen werden, über welches der Drucker erreichbar ist. Auf dem Gateway 2 (des entfernten Netzes) muss als Ziel das Gateway 1 eingetragen werden.

Dann lass den Drucker im alten Netz und spare dir das Routing vom Gateway 1.

Nein, aber es ist dennoch wichtig die Gesamte Situation zu kennen.

Zum Gateway direkt und Platt ausgedrückt: Das Gateway wird immer dann genutzt wenn eine Verbindung außerhalb des Netzes aufgebaut wird. Wenn du also deine Drucker in ein neues Netz packst, dann brauchst du ein Gateway im Netzbereich der Drucker. Das Gateway der Clients muss dann natürlich auch das Gateway der Drucker kennen. Kann man machen, aber welchen Mehrwert erhoffst du dir von deiner Konstellation?

Würde ich auch so sehen.

Wenn es dir nur darum geht, dass es "aufgeräumter" sein soll, dann nimm 192.168.x.y und mach n Hypernetz (16 Netz) draus oder gleich 172.16.x.y wobei x für (1=Server, 2=Clients, 3 Drucker) steht und y einfach durchnummeriert wird.

Hat der auch zwei Beine und sind die beiden Netze physikalisch oder per VLAN segmentiert?



Prinzipiell kann man zwar "auf demselben Kabel" mehrere IP-netze betreiben, aber das ist garantiert ncihts für leute, die erst solche fragen stellen müssen.

Üblicherweise segmentiert man verschiedene IP-netze entweder physikalisch, indem man sie an getrennte switche hängt, die per Router verbunden sind oder per VLAN. Ansonsten bekomtm man des öfteren Probleme. (@aqui wird Dir da garantiert noch die Leviten lesen).

Wenn man zwei Netze auf demselben Kabel betreibt, mußt natürlich der Router, der dazwischen routen soll auch zwei IP-Adressen auf demselben Interface haben. Manche Laien behelfen sich damit, daß sie zwei Beinchen des Routers an denselben Switch hängen und diesen beiden dann die verschiedenen IP-Adressen vergeben. DAS IST NICHT DAS WAS Du MACHEN SOLLTEST! Du solltest Dir ein VLN-fähigen (ggf. L3-Switch) holen und das damit lösen!


lks

Ja, wie ich es bereits oben geschrieben habe.

Gateway 2 erreicht es, indem es die Anfragen zu Gateway 1 schickt. Gateway 1 benötigt eine zusätzliche 10.0.0.0/24 IP Adresse auf einen der vorhandenen Netzwerkkarten (die mit dem Drucker verbunden ist), oder eine neue Netzwerkkarte (die mit dem Drucker verbunden ist).

Du kannst aber auch die IP des Druckers im alten Netzwerk lassen und der Gateway 1 Firewall einstellen, dass nur diese IP Adresse durchgelassen wird.

Die Beschreibung ist für ein finales Verstandnis der IP Adressierung etwas wirr. Es hört sich irgendwie nach einer Router_Kaskade an wo der 2te kaskadierte Router die VPN Verbindung bedient.
Das ist aber auch erstmal nur im freien Fall geraten weil das etwas undurchsichtig ist.
Hilfreich wäre eine kleine Skizze für ein besseres Verständnis und eine zielgerichtete Lösung.
Es fehlt außerdem auch noch das verwendete VPN Protokoll.
Ohne das zu kennen und dessen Routing Option ist eine Antwort eh unmöglich.

Entweder per separaten VLAN oder separater IP auf einen der Netzwerkkarten des Gateways 1, alles oben bereits beschrieben. Du kannst aber auch ein NAT bauen. Dann behält der Drucker seine alte IP und für das Remotenetzwerk wird auf Gateway1 eine neue IP nur für den Drucker eingerichtet. z.B. 10.0.0.7 wird vom NAT zur Verfügung gestellt und routet den Port weiter auf die 192.168.1.x des Druckers.

Wie ist es möglich das ein remoter VPN PC eine 10.1.0.100er IP hat wenn du selber schreibst dein VPN arbeitet mit einer 172.16.0.0/16er Adressierung. Ein VPN Client muss ja dann eine 172.16er IP haben und niemals eine 10er IP.
Da stimmt ja dann irgendwas nicht ?!

Nein !
Wozu NAT wenn dein VPN Netz 172.16.x.y ist dann hat der Client ja eine IP in dem Netz und ist von überall erreichbar. Der VPN Router kennt dann doch dieses IP Netz und kann das im gesamten IP Netz sauber routen.
Die VPN Clients bekommen vom VPN Router die Routen ins .1.0er Netz automatisch bei Tunnelaubau in die Routing Tabelle injiziert und "wissen" somit das sie Traffic ins 192.168.1.0er Netz auch in den Tunnel routen müssen.
Simples Standard Verhalten bei jedem VPN...!
Kannst du auch bei aktivem Client immer selber checken mit route print (Winblows) oder netstat -r -n (unixoide OS).
Die hiesigen VPN Tutorials für die unterschiedlichen VPN Protokolle weisen auch explizit immer darauf hin !
Wozu also überflüssiges NAT ? Braucht man im eigenen internen IP Netzwerk niemals.

Deshalb ja die Bitte um eine Skizze deines Netzwerk Designs damit wir alle genau wissen worum es geht !
Du meinst irgendwo im Internet, richtig ?
Ode rist damit gemein er ist im lokalen LAN "hinter" deinem Gateway. Aber dann wäre seine IP ja bekannt. Verwirrend...
Der remote VPN Client also der "irgendwo" im Internet steht oder besser gesagt in einem anderen IP Netz mit Anbindung ins Internet soll auf diesem Drucker in deinem lokalen LAN drucken, richtig ?
Was ?? der Druckertreiber der dann drucken soll ??
Das ist technisch unmöglich wenn dieser "externe" PC sich mit einem VPN Client bei dir einwählt. Er bekommt dann immer durch den VPN Client vom VPN Router (also deinem VPN Router) automatisch eine Route ins 192.168.1.0er Netz injiziert. Logich, denn sonst könnte er ja niemals den Drucker IP technisch erreichen über den VPN Tunnel.
Dieser Routing Tabellen eintrag ist aber immer nur solange gültig wie der VPN Tunnel steht und wird dann automatisch wieder entfernt. Sprich nur mit aktivem VPN Tunnel hat man diesen Routing Tabellen Eintrag im Client wovon der Client User aber selber nichts mitbekommt. Er "sieht" diesen automatischen Eintrag nicht.
Das ist auch leider wieder missverständlich.....
Du meinst du installierst dort statisch einen Drucker der unter der Ziel IP 172.16.0.100 zu erreichen ist oder wie ist das zu verstehen ?
Das kann man machen ist aber unsinnig, denn dein VPN Netz und das lokale netz ist am Client ja so oder so immer durch den Automatismus oben bekannt.
NAT ist also generell überflüssig.
Man kann es aber machen wenn man sich das Leben schwermachen will. Du musst dann nur dafür sorgen das auch das 172.16er Netz in den Tunnel geroutet wird was problemlos möglich ist.
Der VPN Router muss dann aber gesagt bekommen das der 172.16er Ziel IP Traffic aus dem VPN IP mit einem 1:1 NAT oder PAT auf eine 192.168.1.0er IP umgesetzt wird.
Das geht natürlich auch ist aber eigentlich komplett überflüssig und verkompliziert dein VPN Setup. Machbar ist es aber natürlich.
Die ToDos hängen sehr stark vom verwendeten VPN Protokoll ab was du uns ja leider noch nicht in der Lage warst zu nennen...

Es ist eine Idee, wenn du die echte IP verschleiern möchtest.

Ich hätte den Drucker im lokalen Netzwerk gelassen und einfach ein Routing für eine IP eingerichtet, oder für den ganzen 24er Bereich und dann die restlichen IPs per Firewall dicht gemacht.

In einem großen Netzwerk sind die Drucker bei uns in einem eigenen VLAN.

OK, das Design ist dann recht einfach und ein simpler VPN Klassiker. Leider hast du es immer noch nicht geschafft das verwendete VPN Protokoll zu benennen.
Deine ToDos sind recht simpel und schnell gemacht:

• Statische Route in Router 1 auf das interne VPN Client IP Netz via next Hop Router 2
• Statische Route in Router 2 auf das lokale Drucker IP LAN Netz via next Hop Router 1
• VPN Router muss lokales Drucker LAN 192.168.1.0er Netz an die remoten VPN Clients beim Tunnelaufbau in deren Routing Tabelle injizieren (z.B. "push 192.168.1.0..." Kommando bei OpenVPN)

Hast du das alles richtig gemacht sieht das dann aus Layer 3 Routing Sicht so aus:


Nebenbei: Die Wahl eines millionenfachen Router Allerwelts Default IP Netzes von 192.168.1.0 in einem VPN Umfeld ist nicht gerade sehr intelligent. Warum, das kannst du z.B. HIER nachlesen.