Router aus anderem Firmennetz als Gateway nutzen?

An ein DSL-Modem lassen sich mehrere DSL-Router anschließen (kleiner Switch/Hub dazwischen). Dann hat jeder sein Netz. Firma "B" muß nur noch ihre eigene Flatrate bezahlen (sinnvoller Weise beim gleichen Provider wie Firma "A")

Grüße Chris

Die o.a. Option funktioniert nur sehr bedingt. So gut wie alle Provider lassen über einen physischen DSL Anschluss nur eine einzige PPPoE Verbindung zu, so das du diese Option schon fast sicher ausschliessen kannst.
Den PPPoE Link dann auch noch mit einen Switch oder Hub zu exponieren schliesst sich ebenfalls schon aus Sicherheitsgründen aus.

Welche Optionen hast du:

1.) Server mit 2 Netzwerkkarten ala:


Das funktioniert, allerdings in einem Routing Szenario wie im Tutorial beschrieben hast du eine gegenseitige Connectivity zwischen den IP Netzen also genau das was du nicht willst ! Der Server routet IP Pakete transparent !

2.) Du kannst dieses 2fach NIC Szenario mit ICS benutzen, also NAT machen auf einem der Server NICs.
Das bewirkt zwar das Firma A nicht auf das Netz der Firma B kommt aber leider nicht andersrum.
Firma B kann alle Komponenten der Firma A erreichen, da das durch die NAT Firewall nicht verhindert wird.
Ggf. kannst du das aber verhindern durch einen Access Liste in der lokalen Firewall am Server und lässt nur eine Kommunikation mit der Router IP der Firma A zu.
Das würde dann dein Problem bedingt lösen.
Das nennt man die DMZ des kleinen Mannes. Dafür benötigst du nicht einmal einen Server sondern das lässt sich auch ganz einfach mit einem preiswerten DSL Router bewerkstelligen wie hier genau beschrieben:

http://www.heise.de/netze/DMZ-selbst-gebaut--/artikel/78397

Mit einer zusatzlichen FW auf dem Router kannst du dann den Server besser allein und isoliert im Netz der Firma B betreiben (Sicherheit).

3.) Besser wäre es wenn Firma A einen VLAN fähigen Switch hätte, dann kannst du beide LANs in eine VLAN setzen und die LANs wären vollkommen getrennt. Das erfordert allerdings eine entsprechende HW.
Am allerbesten wäre es wenn der Switch ein L3 (Routing) Switch wäre, denn dann könnte man auch den Router A problemlos anbinden wenn dies ein Billigsystem sein sollte, was nicht VLAN fähig ist.

Technisch ist die Lösung 3 am besten, denn die Lösung 1 fällt weg da die Netze transparent sind.
Bei Lösung 2 hast du zwei NAT Prozesse zwischen Internet Router der Firma A und auch deinem Server oder Router zum Netz der Firma B.
VPNs über NAT zu bringen birgt erhebliche Gefahren wie du ja sicher selber weisst.
Vermutlich funktioniert das dann immer nur mit einem VPN Client zur Zeit wenn überhaupt und dann auch nur für ausgewählte VPN Protokolle sofern du die richtige Router Hardware hast.
Diese Varainte birgt also erhebliche Risiken und es ist möglich das sie gar nicht funktioniert.

Wenn du Möglichkeit 3 nicht gehen kannst aus Kostengründen wäre es unter Umständen besser du setzt für Firma B einen VPN Router ein der eine permanente VPN Kopplung mit dem Firmennetz der Firma B über den Router von Firma A realisiert und tunnelst den gesamten Verkehr inklusive dem Internet Verkehr zum Hauptsitz der Firma B. Alternativ kann das natürlich auch der Server sein der mit dem NIC Bein in Netz A eine permanente PPTP VPN Verbindung zum zentralen Netzwerk der Firma B hält.
Das sollte sicherer klappen.

Nachteil des gesamten Szenarios ist das du dir mit Firma B den Anschluss der Firma A teilen musst. Du hast vermutlich auch keine QoS- oder Prioritäten Steuerung für Applikationen an Router A bzw. es ist fraglich ob Firma A es dir erlaubt diese auf ihrem Router einzustellen sofern überhaupt möglich auf deren Router HW !
Es kann also sein das 2 Kollegen aus der Firma A die gesamte Bandbreite blockieren und die Kollegen der Firma B in die Röhre schauen... dieser Umstand deines Designs sollte dir immer bewusst sein !
Ebenso bei einem technischen Ausfall, wenn einer von A am Router fummelt oder der Provider ein Problem hat usw. also immer wenn Router A weg ist oder ausgelastet, steht auch das Netz von B.
Ggf. kann man das aber gut steuern wenn der Router von A nicht sowas wie ein Speedport oder andere Billigsthardware ist.
Wenn die Kollegen von B das so akzeptieren ist es ja ok....

Hallo Neo2k,

ungeachtet der bisherigen Beiträge, um DAS sicher zu gewährleisten:


müssen beide Firmen einen eigenen Router betreiben, es sei denn, sie haben den gleichen Admin und das gleiche Vertrauen in diesen Admin (würde ich aber als Admin beider Firmen nicht machen). Besser wäre ein Router für den Internet-Anschluß, welcher dann je ein Interface für Firma A und B bereitstellt. An diesem Interface werden die Firmen-Router betrieben, auf welchen die notwendige Firewall konfiguriert wird (jeweils im alleinigen Einflußbereich der betreffenden Firma).

Grüße, Steffen

Grüße, Steffen