vafk18
Goto Top

Namensauflösung im lokalen LAN geht nicht bei aktiver VPN-Verbindung

Guten Tag,

ich habe den relativ neuen VPN-Anbieter ProtonVPN ausprobiert und komme an einer Stelle nicht weiter.
ProtonVPN bietet die Möglichkeit, einen Split-Tunnel zu verwenden, bei dem (s.Anhang) nur bestimmte Programme (in meinem Fall Browser) über VPN gehen.
Das Problem, was ich im lokalen LAN habe ist, daß wenn ich den Rechner starte und VPN automatisch verbinde, ich mich nicht mit den gemappten lokalen Laufwerken (z.B. meine NAS) verbinden kann. Wenn ich die Laufwerke VOR der Verbindung mit dem VPN im Browser öffne, sind sie auch nach VPN-Verbindung EINE WEILE ansprechbar. Irgendwann sind sie wieder weg. Sofern ich die Laufwerke über die \\IP-ADRESSE-MEINER-NAS\Verzeichnis anspreche, sind sie jederzeit verfügbar.
Auch die Umleitung von den Browsern durch den Split-Tunnel behebt mein Problem nicht.

Der Service von ProtonVPN konnte mir bislang keine Lösung geben. Die Vermutung, es könne AV und FW (in meinem Fall pfsense) liegen, hat sich als falsch herausgestellt.
Ich vermute das Problem in der Namensauflösung, bin aber der Meinung, daß kommerzielle Anbieter dieses sicher nicht selten auftretende Problem in den Griff bekommen müßten. Wenn ich die von den Nutzern beschriebenen Probleme lese, entnehme ich daraus, daß ich nicht allein bin.

Ich errinnere mich, vor Jahren als ich PureVPN benutzt habe, das gleiche Problem gehabt zu haben und bei diesem VPN-Anbieter habe ich es ebenfalls nicht hinbekommen. Danach habe ich mein Netztwerk komplett neu aufgesetzt und alles lief wie vorgesehen bis zur Installation des VPN-Dienstes.

Daher ist meine Frage, ob das Problem immer noch in meinem LAN/NAS liegt (und ich dieses entsprechend konfigurieren muß) oder ob das Problem an diesem VPN-Anbieter liegt. Wenn letzteres, würde mich eine Empfehlung eines Anbieters freuen, der seinen VPN-Client so programmiert hat, daß der Admin keine weiteren Eingriffe im Netzwerk vornehmen muß, wenn ein Benutzer lokal den Dienst aufruft und dabei weiter Zugriff auf lokal verbundenen Laufwerke benötigt.

Danke!
screenshot - 16.11.2020 19_46_42

Content-Key: 623050

Url: https://administrator.de/contentid/623050

Printed on: April 18, 2024 at 04:04 o'clock

Member: falscher-sperrstatus
falscher-sperrstatus Nov 17, 2020 at 13:57:20 (UTC)
Goto Top
Ist klar, du hast den fremden dns, der kennt nix lokales.
Member: vafk18
vafk18 Nov 17, 2020 at 14:41:55 (UTC)
Goto Top
Genau; und wie löst man das Problem?

ProtonVPN bietet ja nicht umsonst die Möglichkeit (s.o.) nur bestimmte Anwendungen durch VPN zu schicken. Also wenn ich nur die Browser per VPN verbunden haben will, würde ich davon ausgehen, daß z.B. der Dateiexplorer weiterhin auf das LAN zugreifen kann. Das Dumme ist, daß es nicht funktioniert und der gesamte Datenverkehr vom Rechner geht durchs VPN.

Insgesamt wurdert es mich schon, daß es nicht Out-of-the-Box funktioniert, denn es ist ja mittlerweile gängig, daß ein Ottonormalverbraucher an seiner "FritzBox" eine NAS hängen hat und nur weil er anonym surfen will, will er nicht zugleich auf die Verbindung zur NAS verzichten. Weshalb bekommen es die VPN-Anbieter nicht hin, ist es aus Sparsamkeit oder gibt es da welche, die das können?

Ich kann ja alle gemappte Laufwerke über die IP-Adresse verbinden, findes es aber nicht ideal und will verstehen, weshalb es dazu keine schöne Lösung gibt (oder gibt es sie und ich kenne sie nur nicht).
Member: support-m
support-m Nov 17, 2020 at 14:44:45 (UTC)
Goto Top
Hi,
Kannst du bei dem Programm den Netzwerkadapter anpassen? Also installiert dieser einen eigenen virtuellen Netzwerkadapter?

Ansonsten kannst du mal versuchen, in der Windows Hosts-Datei deine NAS mit der lokalen IP ein zu tragen. Kannst du dann mit dem Namen auf das NAS zugreifen?

MfG
Member: falscher-sperrstatus
falscher-sperrstatus Nov 17, 2020 at 14:59:31 (UTC)
Goto Top
naja, eigener dns heisst auch anfragen nach draussen, willst du obscurity...kein eigener dns...
Member: aqui
aqui Nov 17, 2020 at 15:10:27 (UTC)
Goto Top
Was ja bei öffentlichen VPN Anbietern eh alles ad absurdum führt. Das die ja nun besonders viel schnüffeln und schnorcheln ist ja längst eine bekannte Binsenweisheit. Von der "Sicherheit" der Passwörter und Zertifikate mal gar nicht zu reden... So was zu nutzen ist normal ein NoGo.
Member: Ex0r2k16
Ex0r2k16 Nov 17, 2020 at 15:36:10 (UTC)
Goto Top
Ich möchte in dem Zusammenhang auch noch auf den NordVPN Skandal hinweisen. face-smile

https://www.golem.de/news/leak-nordvpn-wurde-gehackt-1910-144528.html
https://techcrunch.com/2019/10/21/nordvpn-confirms-it-was-hacked/

Und die waren schon echt groß.
Member: falscher-sperrstatus
falscher-sperrstatus Nov 17, 2020 at 15:39:44 (UTC)
Goto Top
natürlich ist das ein nogo, aber darüber braucht man ja nicht mehr reden, aber wer eine vpn zur vermeidung des direkten ausgehenden Verkehrs nutzt (whyever), der konterkariert in diesem fall per lokalem dns ggf. das ziel.
Member: vafk18
vafk18 Nov 17, 2020 updated at 16:45:03 (UTC)
Goto Top
Wenn wir beiseite lassen, ob VPN sinnvoll oder -los ist, wie ist das Problem zu lösen?

support-it hat vorgeschlagen, den Netzwerkadapter anzupassen. ProtonVPN installiert einen "TAP-ProtonVPN Windows Adapter V9"-Adapter. Was ist dort einzutragen?

Wenn ich in die hosts mein lokales NAS eintrage, wie support-it weiter vorschlägt, gehen dann die Anfragen vom Client-PC durch den VPN (womit der VPN-Anbieter "schnüffeln" könnte) oder ist das eine gute Möglichkeit?
Member: magicteddy
magicteddy Nov 18, 2020 updated at 07:08:18 (UTC)
Goto Top
Moin,

Zitat von @vafk18:...
Wenn ich in die hosts mein lokales NAS eintrage, wie support-it weiter vorschlägt, gehen dann die Anfragen vom Client-PC durch den VPN (womit der VPN-Anbieter "schnüffeln" könnte) oder ist das eine gute Möglichkeit?

Der Eintrag in die hosts erspart doch nur die DNS Abfrage für Dein NAS weil die Frage vorab schon lokal beantwortet wird...


-teddy


ps.: VPN Anbieter nutzen und Schnüffelei unterstellen face-monkey finde den Fehler ...
Member: vafk18
vafk18 Nov 20, 2020 at 12:35:42 (UTC)
Goto Top
Wenn ich alle Antworten zusammenfasse, verstehe ich woher das Problem kommt, habe aber noch keine Lösung meines Anliegens:

Wie konfiguriere ich den lokalen Client, daß es auf LAN zugreifen kann, während auf dem Client der VPN aktiv ist?

Der Workaround durch den Eintrag in die hosts ist nicht ideal, da ich die Datei bei jeder Änderung editieren muß. Ist das eine Anforderung, die der VPN-Anbieter mit seinem VPN-Client kojmfortabler lösen könnte (wenn er wollte)?

Oder lautet die definitive Antwort, wer einen lokalen VPN-Dienst startet, kann niemals auf LAN zugreifen, solange der VPN-Dienst aktiv ist?

Immerhin bietet der VPN-Client von ProtonVPN die Einstellung, daß nur ausgewählte Dienste (ich brauche nur die Browser siehe Bild) per VPN ins Internet gehen, während andere Dienste nicht. Allerdings funktioniert diese Einstellung nicht. Ich bin darüber noch am verhackstücken mit dem Anbieter; der vermutet das Problem in der FW und AV und hat nicht erkannt, daß es mit der Namensauflösung zusammenhängt bzw. wie einige von Euch hervorheben, ein grundsätzliches Problem ist.
screenshot - 20.11.2020 13_28_02
Member: falscher-sperrstatus
falscher-sperrstatus Nov 20, 2020 at 12:38:50 (UTC)
Goto Top
in dem du die App, die lokal andienen soll aus der Appliste nimmst, ist doch eigentlich klar?
Member: vafk18
vafk18 Nov 20, 2020 at 15:11:51 (UTC)
Goto Top
Ich habe die angehängte Einstellung so verstanden, daß "Only included apps/IPs will go through VPN tunnel" also die 4 Browser gehen durch den Tunnel, alles andere nicht. Dennoch können alle anderen Programme (z.B. Dateiexplorer) trotz der Einstellung nicht mehr aufs LAN zugreifen. Nur per IP-Adresse.

Ich will "eigentlich nur" wissen, ob der VPN-Client von ProtonVPN nicht hält was es verspricht oder ich es falsch verstanden bzw. nicht richtig eingestellt habe.
Member: vafk18
vafk18 Nov 21, 2020 at 10:05:00 (UTC)
Goto Top
Wie eingangs geschrieben, kann ich die "network drives" und "network locations" unter Windows 10 (sorry habe es nicht auf Deutsch sondern in Englisch) problemlos über \\IP-Adresse\Verzeichnis verbinden/mappen. Ich wollte "nur", daß die Namensauslösung funktioniert, damit man für den Fall, daß man die IP-Adresse des Netzwerkgeräts ändert, nicht auf allen Clients eingreifen muß. Ich sehe, daß dieses "nur" ziemlich aufwendig zu sein scheint aber dachte, daß bestimmt viele Benutzer, die selbst im kleinsten Privatnetzwerk eine NAS haben und VPN benutzen, den gleichen "nur"-Wunsch haben könnten face-smile
Member: aqui
aqui Nov 21, 2020 at 11:04:52 (UTC)
Goto Top
sorry habe es nicht auf Deutsch sondern in Englisch
Zum Glück, deutsche Übersetzungen sind in der IT in der Regel das Grauen pur... face-wink
Ich wollte "nur", daß die Namensauslösung funktioniert
Das ist aber simpler Standard bei allen VPN protokollen, das man bei Tunnelaufbau dem Client immer einen DNS Server mitgibt. Das ist bei IPsec, L2TP und auch OpenVPN so. Dieser DNS Server ist dann bei aktivem Tunnel immer der primäre DNS. Das kannst du auch sehen wenn du bei aktivem VPN Client mal mit nslookup oder dig eine DNS Abfrage machst.
daß dieses "nur" ziemlich aufwendig zu sein scheint
Nein, keineswegs. Das ist immer nur die Eingabe einer simplen IP Adresse !
im kleinsten Privatnetzwerk eine NAS haben und VPN benutzen,
Genau das ist der Punkt. Die machen das auch und da funktioniert es ja auch millionenfach fehlerlos... face-wink
Member: vafk18
vafk18 Nov 21, 2020 at 14:11:12 (UTC)
Goto Top
Lieber aqui, Deine Geduld ist grenzenlos face-smile

Also ist die einzige Lösung, daß man die Netzlaufwerke über die IP-Adresse verbindet und sich mit DNS nicht auseinandersetzt?

Kann man denn nicht einen zweiten, lokalen DNS aufsetzen, welcher, nachdem der DNS des VPN-Anbieters das private Netzwerk nicht erkennt und Windows einen Fehler meldet, sozusagen einspringt und der Anwendung (z.B. Dateiexplorer) übersetzt, daß der Name "MEINENAS" auch unter 192.168.1.10 zu erreichen ist?
Member: aqui
aqui Nov 21, 2020 at 17:22:01 (UTC)
Goto Top
Also ist die einzige Lösung,
Nein !
Zeigt das du die Antwort nicht gelesen oder verstanden hast... face-sad
Die Lösung ist dem Client dynamisch bei VPN Einwahl einen lokalen DNS Server zu übermitteln. Damit klappt dann auch die Lösung über den Hostnamen. So wird es wenigstens millionenfach gemacht.
Wenn du natürlich so töricht bist einen öffentlichen Schnüffel VPN Provider zu nutzen hast du keine Chance. Logisch, denn der bestimmt ja dann dein ganzes VPN Umfeld.
Wenn du also damit überfordert bist das richtig zu konfigurieren, dann hast du nur 2 Optionen das zu lösen:
Mit einem eigenen DNS Server geht es natürlich auch. Das ist aber etwas Aufwand und die statische Host Definition in der hosts oder lmhosts Datei im Client ist dann erstmal der einfachere Weg.
Member: vafk18
vafk18 Nov 22, 2020 updated at 11:56:55 (UTC)
Goto Top
@aqui
Vielen Dank für Deine super-Erklärung!!!

Betreffend des Problems "Schnüffel VPN Provider" habe ich diesen Vergleich der sicheren VPN-Provider gefunden

https://www.privacytools.io/providers/vpn/

und wenn das tatsächlich wahr ist, benutze ich einen der 3 Provider und wäre somit vorerst auf der sicheren Seite face-smile
Member: falscher-sperrstatus
falscher-sperrstatus Nov 22, 2020 at 12:02:35 (UTC)
Goto Top
und wer sagt dir, wie viel die von den dreien dafür kassieren?

Vergleichsseiten müssen mittlerweile nicht mehr viel bedeuten.
Member: vafk18
vafk18 Nov 22, 2020 updated at 12:26:12 (UTC)
Goto Top
Ich habe zuerst bei Wikipedia gelesen

https://en.wikipedia.org/wiki/Mullvad#cite_note-21

wo ich auf zwei non profit Organizationen aufmerksam geworden bin, u.a. auf den Bericht privacytools.io

Natürlich kann man unterstellen, daß alle zu einem gewisen Maß korrupt sind, aber das wäre genauso paranoid, als würde man jedem Admin unterstellen, daß er seinen Auftraggeber ausspioniert. Er kann es und dennoch tut er es die meisten nicht, oder doch?
Member: vafk18
vafk18 Nov 22, 2020 updated at 15:36:59 (UTC)
Goto Top
Zitat von @falscher-sperrstatus:

und wer sagt dir, wie viel die von den dreien dafür kassieren?

Ich habe über Deine Skepsis nachgedacht und daß man durchaus diesen Gedankenweg durchspielen sollte...

Angenommen, jemand (bitte Beispiele wer und aus welchem Interesse) spricht diesen VPN-Provider an. Wieviel müßte derjenige bezahlen, damit das daraus folgende Risiko des Auffliegens des Spionageaktes sowohl für den VPN-Provider als auch für den "Dritten" abgedeckt wird?

Der VPN-Provider wäre mit einem Schritt pleite und die Verantworlichen mit straf- und zivilrechtlichen Konsequenzen rechnen müßten. Denn angenommen ein schwedischer Anbieter sichert seinen Kunden per Vertrag Anonymität zu, die zugegeben mal nicht funktioniert, aber diesmal vorsätzlich und gegen Bezahlung verletzt würde. Von diesem Vertragsbruch würde er sich niemals erholen.

Denkbar wäre auch, daß sich die VPN-Konkurrenz A für einen Betrag X von VPN-Provider B Daten von Dir und mir besorgt, das ganze dokumentiert und dann uns den Geschädigten als Beweismittel zuspielt, damit wir B verklagen. Dann wäre dieser VPN-Provider pleite und A ohne Konkurrenz.

Weitere Möglichkeit ist, daß staatliche Stellen an diese Provider herantreten und ihnen "gut zureden". In diesem Fall hätten aber nur Staatsfeinde #1 und nicht Du oder ich was zu befürchten, denn wir verbringen unseren Sonntag mit allerlei aber nicht mit staatsgefährdenden Ideen (hoffentlich).

Also woher kommt diese allgemeinde Skepsis gegenüber den VPN-Anbietern? Vielleicht ist es deshalb, weil Firmen irgendwelche Copyright-Protected-Inhalte im Internet verteilen in der Hoffnung, daß sie jemand aufhebt und die Anwälte dann nach dem Motto "Ihr bringt damit die Filmindustrie in die Pleite" versuchen, mit überteuerten "Filmtickets" Hollywood & Co zu retten.

Habe ich noch etwas vergessen?
Member: aqui
aqui Nov 23, 2020 updated at 10:55:39 (UTC)
Goto Top
Deine Annahmen wie solche VPN Anbieter arbeiten sind recht naiv und zeugen von wenig bis keiner Kenntniss der Praxis. Vor allem der legalen Praxis. Aber egal...das hat mit dem Thema dieses Threads ja rein gar nichts zu tun und gehört in eine andere Rubrik !
Member: vafk18
vafk18 Nov 23, 2020, updated at Nov 26, 2020 at 07:54:22 (UTC)
Goto Top
Natürlich ist das naiv face-smile mangels - wie Du richtig bemerkst - mangels Kenntnis der Praxis.

Wo werden echte Praxiserfahrungen (und keine Panikmache) zu diesem Thema zuverlässig diskutiert?

*** edit - Ich glaube, dieses Thema wird wahrscheinlich nirgendwo so diskutiert, daß es dem Ziel gerecht wird, eine 100% sichere Lösung zu finden. Ich habe mich etwas mehr in die Materie vertieft und denke, daß der erste Schritt ist, sich ein Wallet zu erstellen, zweitens einige Bitcoins zu kaufen (interessant, wie sie in die Höhe steigen, 70% innerhalb von 3 Monaten und ich höre nur, Corona, Corona, Lockdown, Novemberhilfen), und drittens, na ja, jeder weiß, was was ich meine face-smile))