Kopplung von 2 IP-Netzen, Zugriff via VPN
Hallo allerseits!
Ich habe folgendes Problem: Ein Kunde hat eine Heizungssteuerung, diese ist allerdings in einem anderen Subnetz als der gesamte Rest des Netzwerks. Nun soll per VPN der Zugriff auf diese Steuerung hergestellt werden können. Schaubild ist im Anhang.
Verwaltungsnetz: 192.168.123.x
Heizungssteuerung: 192.168.10.x
Es gibt einen Verwaltungscomputer mit 2 Netzwerkkarten. Dieser befindet sich sowohl im Verwaltungsnetz, als auch im Heizungsnetz.
Sonst kann kein Computer auf die Steuerung zugreifen.
Wir haben eine VPN soweit ans laufen bekommen, dass wir in das Verwaltungsnetz 192.168.123.1 reinkommen, und dort auch z.B. per RDP an den Verwaltungscomputer kommen.
Gewünscht ist jetzt allerdings, dass man aus dem Internet direkt an die Heizungssteuerung im 10er Subnetz kommt.
Meine Idee (grün) wäre jetzt ein TPLink WR1043nd, den ich zufällig noch hier habe, an beide Netze anzuschließen, und mit einer statischen Route zu versehen.
Allerdings habe ich ehrlich gesagt keinen blassen Schimmer vom Routing und wollte daher fragen, ob mir hier jemand fix einen Vorschlag für die entsprechend einzutragenden Routen machen kann, oder mir zu sagen, dass das völliger Blödsinn ist, was ich mir da überlegt habe :D
Ich habe folgendes Problem: Ein Kunde hat eine Heizungssteuerung, diese ist allerdings in einem anderen Subnetz als der gesamte Rest des Netzwerks. Nun soll per VPN der Zugriff auf diese Steuerung hergestellt werden können. Schaubild ist im Anhang.
Verwaltungsnetz: 192.168.123.x
Heizungssteuerung: 192.168.10.x
Es gibt einen Verwaltungscomputer mit 2 Netzwerkkarten. Dieser befindet sich sowohl im Verwaltungsnetz, als auch im Heizungsnetz.
Sonst kann kein Computer auf die Steuerung zugreifen.
Wir haben eine VPN soweit ans laufen bekommen, dass wir in das Verwaltungsnetz 192.168.123.1 reinkommen, und dort auch z.B. per RDP an den Verwaltungscomputer kommen.
Gewünscht ist jetzt allerdings, dass man aus dem Internet direkt an die Heizungssteuerung im 10er Subnetz kommt.
Meine Idee (grün) wäre jetzt ein TPLink WR1043nd, den ich zufällig noch hier habe, an beide Netze anzuschließen, und mit einer statischen Route zu versehen.
Allerdings habe ich ehrlich gesagt keinen blassen Schimmer vom Routing und wollte daher fragen, ob mir hier jemand fix einen Vorschlag für die entsprechend einzutragenden Routen machen kann, oder mir zu sagen, dass das völliger Blödsinn ist, was ich mir da überlegt habe :D
Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 351278
Url: https://administrator.de/forum/kopplung-von-2-ip-netzen-zugriff-via-vpn-351278.html
Ausgedruckt am: 23.12.2024 um 23:12 Uhr
20 Kommentare
Neuester Kommentar
Moin,
a) Es ist DEIN Kunde, DU verkaufst eine Dienstleistung... Ich frage mich wieso man Dinge verkauft die man nicht kennt... Gibst du dein Auto eigentlich auch zur Inspektion zum Bäcker?
b) Es ist die Frage ob dein Kunde überhaupt erlaubt das du die beiden Netze verbindest - wenn der da einen Rechner mit 2 Karten hat könnte das ja gute Gründe haben das er keine Verbindung will....
c) Wenn er das erlaubt kannst du natürlich nen Router dahin stellen der beide Netze ins VPN bringt - sofern der TPLink das kann. K.a. ob der das kann, mir wäre es zu peinlich mit so nem Kram (sieht mir eher wie Home-Use aus) zu nem Kunden zu fahren der dafür auch noch Geld bezahlt...
d) von deinem Schema aus - ich würde einfach das Kabel für die Steuerung an die Fritte hängen und der das zweite Netz geben... SO der dann erlaubt das ein Zugriff von allen Netzen auf die Steuerung möglich ist (es gibt viele Gründe das man das ggf. nicht will)
a) Es ist DEIN Kunde, DU verkaufst eine Dienstleistung... Ich frage mich wieso man Dinge verkauft die man nicht kennt... Gibst du dein Auto eigentlich auch zur Inspektion zum Bäcker?
b) Es ist die Frage ob dein Kunde überhaupt erlaubt das du die beiden Netze verbindest - wenn der da einen Rechner mit 2 Karten hat könnte das ja gute Gründe haben das er keine Verbindung will....
c) Wenn er das erlaubt kannst du natürlich nen Router dahin stellen der beide Netze ins VPN bringt - sofern der TPLink das kann. K.a. ob der das kann, mir wäre es zu peinlich mit so nem Kram (sieht mir eher wie Home-Use aus) zu nem Kunden zu fahren der dafür auch noch Geld bezahlt...
d) von deinem Schema aus - ich würde einfach das Kabel für die Steuerung an die Fritte hängen und der das zweite Netz geben... SO der dann erlaubt das ein Zugriff von allen Netzen auf die Steuerung möglich ist (es gibt viele Gründe das man das ggf. nicht will)
Hi,
wenn es schön sein soll, würde ich die Fritzbox gegen einen Router/Firewall tauschen die mit verschiedenen Netzen umgehen kann.
Würde es wahrscheinlich auch in Zukunft leichter machen.
Ansonsten hat die Fritzbox noch das Gastnetzwerk, ich weiß aber nicht ob man dort per VPN hinkommt ....
Deine Lösung kann gehen, aber ich glaube das Routing bekommst du einer Fritzbox nicht beigebracht.
VG,
Deepsys
wenn es schön sein soll, würde ich die Fritzbox gegen einen Router/Firewall tauschen die mit verschiedenen Netzen umgehen kann.
Würde es wahrscheinlich auch in Zukunft leichter machen.
Ansonsten hat die Fritzbox noch das Gastnetzwerk, ich weiß aber nicht ob man dort per VPN hinkommt ....
Deine Lösung kann gehen, aber ich glaube das Routing bekommst du einer Fritzbox nicht beigebracht.
VG,
Deepsys
Hallo!
Ist nicht böse und persönlich gemeint, aber dann soll dein kumpelhafter Kunde ein paar Schritte weiter gehen bis er jemanden findet.
Wie willst du die Vorschläge (und die wurden schon gemacht) umsetzen, wenn dir Grundlagen, Erfahrung, Wissen etc. fehlen?
Gut gemeinte Grüße
eisbein
dass ich keine Ahnung von Routing habe
Ist nicht böse und persönlich gemeint, aber dann soll dein kumpelhafter Kunde ein paar Schritte weiter gehen bis er jemanden findet.
Wie willst du die Vorschläge (und die wurden schon gemacht) umsetzen, wenn dir Grundlagen, Erfahrung, Wissen etc. fehlen?
Gut gemeinte Grüße
eisbein
Moin,
ich würde z.B. die Fritte einfach durch nen halbwegs guten Router ersetzen (Cisco SB-Serie z.B., gibt aber auch div. andere!), da 2 Netze öffnen und das VPN damit erledigen... Nur:
a) muss dein Kumpel/Kunde/whatever damit einverstanden sein das dann die Heizungssteuerung im (internen) Netz ist
b) muss der sich darüber klar sein das die eben auch via VPN erreicht werden kann
c) ist das Aufsetzen eines VPN bei Cisco nicht so einfach wie bei der Fritte (ok, bei der SB-Serie mit Web-Frontend auch nicht mehr wirklich komplex)
Wenn du jedoch sagst das du KEINE Ahnung vom Routing hast - dann würde ich davon ausgehen das dir dein Konstrukt mit 2 Routern um die Ohren fliegen wird. Denn dann musst du dich ja nicht nur um ein Gerät kümmern sondern dem 2ten Router auch noch sagen was er wie tun soll - und dabei ggf. 2x NAT machen. Ich glaube nicht das du das wirklich willst...
ich würde z.B. die Fritte einfach durch nen halbwegs guten Router ersetzen (Cisco SB-Serie z.B., gibt aber auch div. andere!), da 2 Netze öffnen und das VPN damit erledigen... Nur:
a) muss dein Kumpel/Kunde/whatever damit einverstanden sein das dann die Heizungssteuerung im (internen) Netz ist
b) muss der sich darüber klar sein das die eben auch via VPN erreicht werden kann
c) ist das Aufsetzen eines VPN bei Cisco nicht so einfach wie bei der Fritte (ok, bei der SB-Serie mit Web-Frontend auch nicht mehr wirklich komplex)
Wenn du jedoch sagst das du KEINE Ahnung vom Routing hast - dann würde ich davon ausgehen das dir dein Konstrukt mit 2 Routern um die Ohren fliegen wird. Denn dann musst du dich ja nicht nur um ein Gerät kümmern sondern dem 2ten Router auch noch sagen was er wie tun soll - und dabei ggf. 2x NAT machen. Ich glaube nicht das du das wirklich willst...
Die Fritte kann statische Routen und recht viel mehr brauchts dazu eigentlich auch nicht.
https://avm.de/service/fritzbox/fritzbox-7390/wissensdatenbank/publicati ...
https://avm.de/service/fritzbox/fritzbox-7390/wissensdatenbank/publicati ...
Ist auf der Fritz Seite alles schön beschrieben.
Für so ein Mini Netzwerk braucht man auch nicht wirklich Ahnung von Routing. Ein paar Grundlagen findest du hier:
https://www.elektronik-kompendium.de/sites/net/0903151.htm
Kurz gesagt, die Lösung funktioniert so, du musst lediglich dem TP-Link und der Fritte sagen, wo sie welche Datenpakete finden können.
Das ist im allgemeinen die Aufgabe eines Routers->Routing.
Die Heizung braucht als Default Gateway den TP-Link, der wiederum braucht eine IP aus dem Netz der Fritzbox mit der Fritte als Default GW.
Zusätzlich braucht die Fritte wie oben beschrieben eine statische Route ins Heizungsnetz mit dem TP-Link als Gateway. NAT am TPLink ausschalten, denn sonst sieht die Fritzbox das Heizungsnetz nicht.
Einfacher wäre es aber wenn du alles in ein Netz hängst, denn zusätzliche Sicherheit hast du durch die Trennung von Heizung und Verwaltung sowieso nicht in dem Szenario. Es macht nur alles unnötig kompliziert.
Mach deinem Freund aber klar das er für seine VPN keine Standard Passwörter nutzen soll, denn sonst könnte es sein das ihm ein Hacker Kiddie die Bude abfackelt.
https://avm.de/service/fritzbox/fritzbox-7390/wissensdatenbank/publicati ...
https://avm.de/service/fritzbox/fritzbox-7390/wissensdatenbank/publicati ...
Ist auf der Fritz Seite alles schön beschrieben.
Für so ein Mini Netzwerk braucht man auch nicht wirklich Ahnung von Routing. Ein paar Grundlagen findest du hier:
https://www.elektronik-kompendium.de/sites/net/0903151.htm
Kurz gesagt, die Lösung funktioniert so, du musst lediglich dem TP-Link und der Fritte sagen, wo sie welche Datenpakete finden können.
Das ist im allgemeinen die Aufgabe eines Routers->Routing.
Die Heizung braucht als Default Gateway den TP-Link, der wiederum braucht eine IP aus dem Netz der Fritzbox mit der Fritte als Default GW.
Zusätzlich braucht die Fritte wie oben beschrieben eine statische Route ins Heizungsnetz mit dem TP-Link als Gateway. NAT am TPLink ausschalten, denn sonst sieht die Fritzbox das Heizungsnetz nicht.
Einfacher wäre es aber wenn du alles in ein Netz hängst, denn zusätzliche Sicherheit hast du durch die Trennung von Heizung und Verwaltung sowieso nicht in dem Szenario. Es macht nur alles unnötig kompliziert.
Mach deinem Freund aber klar das er für seine VPN keine Standard Passwörter nutzen soll, denn sonst könnte es sein das ihm ein Hacker Kiddie die Bude abfackelt.
Meine Idee (grün) wäre jetzt ein TPLink WR1043nd, den ich zufällig noch hier habe, an beide Netze anzuschließen, und mit einer statischen Route zu versehen.
Wäre machbar allerdings darfst du nicht vergessen das die Breitbandrouter allesamt NAT (IP Adresstranslation) am WAN Port machen.Damit ist dann kein transparentes Routing möglich deiner beiden Netze mehr möglich ! Siehe auch hier:
Kopplung von 2 Routern am DSL Port
Also keine gute Idee, es sei denn du flashst dort ein OpenWRT oder DD-WRT drauf. OpenWRT erlaubt auch das deaktivieren von NAT auf dem WAN Port.
Besser ist es einen kleinen preiswerten Mikrotik Router (z.B. hexLite) zu verwenden. Der macht das für kleines Geld ohne das störende NAT und... ist gleichzeitig auch noch ein VPN Router der dir das VPN für die remote Steuerung zur Verfügung stellt
Ein simpler Klassiker der im Handumdrehen erledigt ist. Alles was du dazu wissen musst steht in diesem Foren Tutorial:
Routing von 2 und mehr IP Netzen mit Windows, Linux und Router
(Kapitel: LAN Routing mit Router)
Das versteht man auch wenn man keinen blassen vom Routing hat
Dazu unbedingt das Kapitel: "Der Weg eines LAN Paketes durch dieses Netz vom Router zum Client" lesen !!
Dann verstehst auch du das Geheimnis Routing sofort !!
Erstmal generell vorweg: Was soll der Blödsinn mit diesen externen Bilderlinks ?
Wenn du hier links am Eingabefeld auf das Kamerasymbol klickst kannst du deine Bilder und Screenshots hier direkt in den Port integrieren. Das macht das lesen und Verstehen erheblich einfacher als die dümmliche Klickerei auf externe Links wo man wohlmöglich noch Viren und Trojaner im Schlepptau hat !
Lasse das also bitte und bette die Images ein.
Das kann man übrigens wunderbar auch noch nachträglich mit dem "Bearbeiten" Butten machen...
Lies dir bitte das hier erstmal durch:
Routing von 2 und mehr IP Netzen mit Windows, Linux und Router
Dann solltest auch DU es verstehen.
Übrigens sind hier traceroute und pathping wie immer deine besten Freunde die dir die Router Hops auch noch explizit anzeigen !
Im Grunde ist es ganz simpel: (man beachte die eingebettete Grafik ohne externe Seiten !)
Wenn du hier links am Eingabefeld auf das Kamerasymbol klickst kannst du deine Bilder und Screenshots hier direkt in den Port integrieren. Das macht das lesen und Verstehen erheblich einfacher als die dümmliche Klickerei auf externe Links wo man wohlmöglich noch Viren und Trojaner im Schlepptau hat !
Lasse das also bitte und bette die Images ein.
Das kann man übrigens wunderbar auch noch nachträglich mit dem "Bearbeiten" Butten machen...
...ungern noch weiter auf den Keks
Warum ? Dafür ist ein Forum doch da ?! Allerdings mit dem Malus von oben...mmmhhhVPN läuft soweit
Glückwunsch !Muss ich auch eine Route für den "Rückweg" einrichten
Na logisch !! Wie sollen Antwortpakete denn sonst den Weg finden...dzzzzLies dir bitte das hier erstmal durch:
Routing von 2 und mehr IP Netzen mit Windows, Linux und Router
Dann solltest auch DU es verstehen.
Übrigens sind hier traceroute und pathping wie immer deine besten Freunde die dir die Router Hops auch noch explizit anzeigen !
da die Routen ja eigentlich relativ simpel sind.
In der Tat, das sind sie.Im Grunde ist es ganz simpel: (man beachte die eingebettete Grafik ohne externe Seiten !)
- Mikrotik bekommt eine Default Route auf die IP der FritzBox (Beisp. hier: 192.168.7.254):
- FritzBox bekommt statische Route: <Zielnetz>, <Maske>, <MT IP Adresse>
- Fertisch !
Dein Fehler liegt in der IP Adressierung des MT
Die Routing Tabelle zeigt das dort eine sinnfreie statische Route noch definiert ist die das .10.0er Netz über die FritzBox routet !
Das ist ja Schwachsinn (sorry) wenn man eine Default Route hat die so oder so alles dahinroutet !!
Fazit: Raus mit dem Unsinn, dann klappt es auch !
Logisch und auch vom Handling wäre es besser wenn du statt der Ports 1 und 2 die Ports 1 und 5 nimmst.
Default Route, und einzig NUR die default Route auf die FB nicht vergessen
Die Routing Tabelle zeigt das dort eine sinnfreie statische Route noch definiert ist die das .10.0er Netz über die FritzBox routet !
Das ist ja Schwachsinn (sorry) wenn man eine Default Route hat die so oder so alles dahinroutet !!
Fazit: Raus mit dem Unsinn, dann klappt es auch !
Logisch und auch vom Handling wäre es besser wenn du statt der Ports 1 und 2 die Ports 1 und 5 nimmst.
- 5 der WAN Port der auf die FB geht.
- 1 als Master Port für die Ports 2-4
Default Route, und einzig NUR die default Route auf die FB nicht vergessen
Was mich gerade wundert ist, dass der WAN-Port als Gateway die Fritzbox hat
Das kann niemals sein, denn die default Route ist immer global und nicht interface bezogen.Das lässt den schlimmen Verdacht aufkommen das du die Default Konfig des MT NICHT gelöscht hast !!
Dann arbeitet Port 5 als WAN Port mit IP Adress Translation und im DHCP Client Mode. Genau was du NICHT willst !
Dann zieht er sich automatisch eine IP von der FB und auch die Default Gateway IP was nicht sein soll. IP ziehen ginge noch aber das aktive NAT wäre dann für transparentes Routing tödlich !
Checke also ganz genau das du VOR der Konfiguration des MT dessen Default Konfig sicher gelöscht hast.
Dazu gehst du in WinBox oder dem GUI und klickst auf dem MT SYSTEM und dann Reset Configuration. Hier machst du einen Haken bei:
- No Default Config
- No Backup
Dann machst du mit WinBox die folgende Konfig:
- Lokales LAN auf Port eth 5. Port 5 ist der Masterport der Ports 2 bis 4 ! Das entsprechend setzen in den Interfaces Settings von 2 bis 4.
- IP Adresse Port eth 1 = 192.168.123.254 /24 (FritzBox ist die 192.168.123.1 und MT IP darf NICHT im DHCP Bereich der FB liegen !! Deshalb hier die .254)
- IP Adresse Port eth 5 = 192.168.10.1 / 24
- Routerport = eth 1 (kommt an einen der FritzBox LAN Ports)
- Default Route im MT einrichten unter IP Routing - Add: 0.0.0.0 /0 Gateway = 192.168.123.1 (FritzBox IP)
- IP Pool einrichten: pool1 = 192.168.10.100-192.168.10.129 (30 IP Adressen fürs lokale LAN)
- DHCP Server einrichten unter IP - DHCP Server. Interface = eth 5, Pool = pool1
- DHCP Network auf + und lokales LAN hinzufügen: 192.168.10.0/24, Gateway: 192.168.10.1, DNS: 192.168.123.1, Domain: heizung.thatguy.intern
- Auf der FritzBox statische Route ins 192.168.10.0 /24 Netzwerk einrichten mit Gateway IP: 192.168.123.254
Hier siehst du die entsprechenden Schritte mit etwas anderer IP Adressierung:
10.99.1.0 /24 = Das FritzBox LAN Netz wobei die FritzBox die .254 hat und der Mikrotik die .1
10.168.10.0 /24 = Lokales LAN am Mikrotik mit DHCP
Das schematische Netzwerk Design dazu sieht so aus:
Mikrotik Setup und Adressierung:
Statische Route FritzBox:
Testping ins Internet vom Mikrotik lokalen LAN:
Das jetzt fehlerfrei und funktionsfähig umzusetzen auf deine lokale IP Adressierung wirst du ja wohl hoffentlich nun endlich hinbekommen, oder ?