entfernt
Goto Top

Routing-Netzwerkkonfiguration in verschiedenen Netzen

Hallo zusammen,

ich habe Euch mal eine Übersicht eines Netzwerks gemacht:
22-03-_2023_14-27-30
Hier können sich alle Clients untereinander erreichen, aber was muss ich tun wenn ein Client umziehen soll, dieser aber seine IP-Adresse behalten soll.

Sprich, aus dem Netz 10.0.0.x soll ein Client physisch umziehen an den anderen Standort in das Netz 192.168.20.x
Der soll aber weiterhin mit seiner jetzigen IP-Adresse (zb.: 10.0.0.189) erreichbar sein.

Das ist natürlich nur ein Beispiel, tatsächlich handelt es sich dabei um einen VMWare Host mit x-virtuellen Maschinen.
Im Netz greifen unterschiedliche Geräte, Dienste & Scripte auf die eine oder andere dieser VM's zu und das anhand ihrer statischen IP-Adresse. Daher will ich unbedingt die Adressen behalten, damit ich nicht so viele Baustellen habe...
Aber ich weiß leider nicht, um zum Beispiel zurückzukommen, wie ich einen bestimmten Client/Router konfigurieren muss damit dieser dann seine Adresse behält bzw darunter erreichbar ist, wenn er von hinter FritzBox A zu hinter MikroTik B wandert...

Falls der Hinweis auftaucht, Nein die beiden FritzBoxen direkt per VPN miteinander zu verbinden ist nicht gewünscht.

Vielen Dank vorab schon mal für Eure Unterstützung und schöne Grüße

Content-ID: 6986448260

Url: https://administrator.de/contentid/6986448260

Ausgedruckt am: 19.10.2024 um 15:10 Uhr

SlainteMhath
SlainteMhath 02.05.2023 um 16:20:59 Uhr
Goto Top
Moin,

meiner Meinung nach so nicht realisierbar. Beiß in den sauren Apfel und ändere deine Clients - am besten stellst du die gleich so um, dass sie per fqdn auf den/die Server zugreifen, dann musst du beim nächsten Umzug nur ein einer Stelle eine Änderung machen.

lg,
Slainte
tgvoelker
tgvoelker 02.05.2023 um 16:55:47 Uhr
Goto Top
Funktioniert z.B. mit pfSense. Den packst Du ins Netz 10./8 und gibst eine feste IP im LAN (10.0.0.20 bspw.) Upstream-Gateway nach 192.168.178/24 stellst Du auf die 10.0.0.1 (hast Dich bestimmt verschrieben).

Dann erstellst Du eine virtuelle IP 10.0.0.189 und einen 1:1 Forward von allem Verkehr auf dieser IP an die Ziel-IP.
Vision2015
Vision2015 02.05.2023 um 17:52:32 Uhr
Goto Top
Moin...
Im Netz greifen unterschiedliche Geräte, Dienste & Scripte auf die eine oder andere dieser VM's zu und das anhand ihrer statischen IP-Adresse. Daher will ich unbedingt die Adressen behalten, damit ich nicht so viele Baustellen habe...
nun, du hast dir selber eine Baustelle bereitet :-=
mit fqdn wäre das einfach!

Frank
chiefteddy
chiefteddy 02.05.2023 um 17:59:08 Uhr
Goto Top
Hallo,
stimme @SlainteMhath zu.

Selbst wenn du irgendeine Lösung mit doppelten NAT usw. findest, bringt dir das später nur Ärger.

Die einzige Möglichkeit, die ich sehe, ist, dass du das VLAN der Server auf beiden Standorten implementierst und die VLANs durch den Tunnel leitest (also tagged).

Jürgen
tgvoelker
tgvoelker 02.05.2023 aktualisiert um 18:17:01 Uhr
Goto Top
Hallo Jürgen,

wie würdest Du in dem Setup mit 4 Routern ein VLAN tunneln? Kenne das nur von Ethernet-Kopplungen von Providern.

Thomas

Edit: sehe gerade, Mikrotik kann das. Egal, rate von soeiner Implementierung ab. Ich würde da im ersten Schuss NAT aufsetzen und dann die Altlasten bereinigen.
aqui
aqui 02.05.2023 aktualisiert um 18:33:09 Uhr
Goto Top
wie würdest Du in dem Setup mit 4 Routern ein VLAN tunneln?
Das macht man üblicherweise mit VxLAN was auch die Mikrotiks supporten und ein etablierter Standard ist. Das ist ein Layer 2 Tunneling was auch über das VPN übertragen werden kann.
https://help.mikrotik.com/docs/display/ROS/VXLAN
VLAN über Site2Site VPN

Andere Optionen wären noch Hostrouting mit einer /32er Maske, 1:1 NAT oder Mobile IP. Letzteres supportet aber die verbaute HW des TOs nicht und 1:1 NAT ist eine böse Frickelei von der auch eher abzuraten ist.
Vision2015
Vision2015 02.05.2023 um 18:37:28 Uhr
Goto Top
Moin...


Zitat von @tgvoelker:

Hallo Jürgen,

wie würdest Du in dem Setup mit 4 Routern ein VLAN tunneln? Kenne das nur von Ethernet-Kopplungen von Providern.
wiso 4 Router, oben sind nur 2?
oder meinst du die Router Kaskade, oder gar doch 4 Standorte?
was machen den die fritzboxen in deinem Netzwerk?

Thomas

Edit: sehe gerade, Mikrotik kann das. Egal, rate von soeiner Implementierung ab. Ich würde da im ersten Schuss NAT aufsetzen und dann die Altlasten bereinigen.
beschreibe uns doch mal dein ganzes Netzwerk, mit allen Standorten!
dann können wir dir besser helfen...

frank
aqui
aqui 02.05.2023 um 18:39:19 Uhr
Goto Top
was machen den die Fritzboxen in deinem Netzwerk?
Vermutlich wie immer: überflüssige Durchlauferhitzer! face-wink
tgvoelker
tgvoelker 02.05.2023 um 21:29:22 Uhr
Goto Top
@Vision2015:
Die Fritzboxen sind Router. Die Mikrotik-Dinger sind auch Router. Erkennste schon dadran, daß 4 unterschiedliche private Subnetze vorhanden sind, die den Geräten zugeordnet sind:
  • 10.0.0.0/8(?)
  • 192.168.88.0/24
  • 192.168.20.0/24
  • 192.168.178.0/24

Die Beschreibung ist oben. TE hat gefragt, wie er Netzverkehr von Standort 1 hinter Fritzbox A zum Host bringt, den er an Standort 2 hinter Mikrotik B verlagern mußte.

Die einzige technische Lösung die in diesem Setup sowas realisieren kann, ist NAT. Scripte und Systeme auf DNS anpassen sollte zwar trotzdem gemacht werden sofern möglich, nur wird das wahrscheinlich keine Sache von 5 Minuten sein, sonst hätte der TE das sicherlich gemacht.
Vision2015
Vision2015 02.05.2023 um 22:56:04 Uhr
Goto Top
Moin...
Zitat von @tgvoelker:

@Vision2015:
Die Fritzboxen sind Router. Die Mikrotik-Dinger sind auch Router. Erkennste schon dadran, daß 4 unterschiedliche private Subnetze vorhanden sind, die den Geräten zugeordnet sind:
  • 10.0.0.0/8(?)
  • 192.168.88.0/24
  • 192.168.20.0/24
  • 192.168.178.0/24

ja... da brauche ich aber keine 4 Router für, sondern nur 2, einen an jedem standort!
selbst der kleinste mikrotik kann das... also wo ist da der sinn, und was soll die fritte besser könne als das router os vom mikrotik?

Die Beschreibung ist oben. TE hat gefragt, wie er Netzverkehr von Standort 1 hinter Fritzbox A zum Host bringt, den er an Standort 2 hinter Mikrotik B verlagern mußte.
das habe ich schon verstanden... aber das design ist zu hinterfragen.

Die einzige technische Lösung die in diesem Setup sowas realisieren kann, ist NAT. Scripte und Systeme auf DNS anpassen sollte zwar trotzdem gemacht werden sofern möglich, nur wird das wahrscheinlich keine Sache von 5 Minuten sein, sonst hätte der TE das sicherlich gemacht.

Frank
tgvoelker
tgvoelker 02.05.2023 um 23:18:36 Uhr
Goto Top
"wo ist da der sinn"

mglw. vorgelagerte DMZ. Sowas kann Sinn machen (von der Fritzbox abgesehen). Denke aber eher daß das historisch gewachsen ist und einen Umfang hat, der mal nicht eben schnell umgebaut werden kann. Ab einer bestimmten Anzahl Geräte werden Subnetzänderungen aufwendig face-smile
Vision2015
Vision2015 03.05.2023 um 06:28:16 Uhr
Goto Top
moin...
Zitat von @tgvoelker:

"wo ist da der sinn"
hatte ich eigentlich den TO gefragt face-smile

mglw. vorgelagerte DMZ.
mglw. antwortet der TO ja drauf, dann wissen wir es!

Sowas kann Sinn machen (von der Fritzbox abgesehen). Denke aber eher daß das historisch gewachsen ist und einen Umfang hat, der mal nicht eben schnell umgebaut werden kann.
historisch ist da nur die Router Kaskade....
Ab einer bestimmten Anzahl Geräte werden Subnetzänderungen aufwendig face-smile
nun, bei 2 netzen pro standort, reden wir nicht mehr von aufwendig, das könnte der Mikrotik ohne probleme!

Frank
commodity
commodity 03.05.2023 um 08:48:29 Uhr
Goto Top
Mikrotik hat für diesen Zweck ein modifiziertes Protokoll:

https://help.mikrotik.com/docs/display/ROS/EoIP

Habe ich noch nicht eingesetzt, sollte aber das Anliegen des TO prinzipiell lösen.
Wenn ich das richtig verstehe, muss aber die Kommunikation noch abgesichert, d.h. EoIP (GRE) over IPsec eingesetzt werden. Wie auch immer das gehen mag. Insgesamt erscheint es mir deutlich einfacher, die IP-Adresse des Clients anzupassen - was ja dynamisch erfolgt, wenn DHCP verwendet wird.

Viele Grüße, commodity
aqui
aqui 03.05.2023 aktualisiert um 10:50:44 Uhr
Goto Top
Die Fritzboxen sind Router. Die Mikrotik-Dinger sind auch Router.
Und... laufen dann in einer Router Kaskade mit doppeltem NAT und doppeltem Firewalling??
Oder arbeiten sie mit PPPoE Passthrough und terminieren die Provider Zugänge auf dem MT?
Oder arbeiten die MTs als schlichte Router ohne NAT wie es hier für die kaskadierten Mikrotiks beschrieben ist?
3 mögliche Optionen das Design umzusetzen zu denen du keine Aussage machst um dein Design zu verstehen. face-sad
DAS war sicher die Intention der berechtigten Frage des Kollegen @Vision2015 und ist deshalb nicht ganz unwichtig um das Routing nachvollziehen zu können.
muss aber die Kommunikation noch abgesichert
Das ist, wie bereits oben gesagt, besser und einfacher mit VxLAN und einer IPsec Transport Verschlüsselung (Transport Mode) zu lösen. GRE ist keine Verschlüsselung!

Dein Vorhaben kann man mit deiner HW mit mehreren Optionen recht einfach umsetzen, du musst dich einfach nur mal entscheiden WIE und OB du es realisieren willst!
tgvoelker
tgvoelker 03.05.2023 um 11:07:52 Uhr
Goto Top
Lieber Aqui, ich etwas überrascht, daß zunehmend nicht mehr zwischen dem Threadersteller und Kommentatoren unterschieden wird und das Setup des TE auf einmal meins sein soll.
commodity
commodity 03.05.2023 um 11:55:41 Uhr
Goto Top
nicht mehr zwischen dem Threadersteller und Kommentatoren unterschieden wird
face-big-smile
Also immerhin ich habe die Unterscheidung verstanden. Der Absatz markiert diese. Und der Hase ist bekanntlich oftmals etwas flott. Sonst würde er das Pensum hier ja auch kaum bewältigen face-wink

Viele Grüße, commodity
entfernt
entfernt 03.05.2023 um 12:18:09 Uhr
Goto Top
So dann melde ich mich auch mal zu Wort =)

Erstmal vielen Dank für die rege Beteiligung!

Vielleicht erstmal was zu meinem Setup:
Wir reden hier nicht von einer geschäftlichen Umgebung, sondern von einer, privaten, halb produktiven & halben Testumgebung.
Standort A ist bei mir zu Hause, hier hängt an der FritzBox natürlich auch mein Festnetz, FritzRepeater etc. der normale private Kram halt.
Standort B ist bei einem Kollegen von mir. Hier habe ich das ein oder andere Gerät stehen, welches mit der Site2Site VPN-Verbindung dauerhaft zu mir verbunden ist.
Der Hintergrund dazu ist recht einfach, dort bezahle ich keinen Strom und er produziert seinen eigenen, daher juckt es ihn nicht :D
Außerdem mache ich sowas immer gerne um neue Sachen zu lernen, daher betreibe ich eine eigene Domäne mit einem Exchange Server, meine virtuelle Umgebung basiert auf VMWare, ich habe einen RDP Server (hinter einem Reverse Proxy mit RDP Gateway), ein NAS, ein Backup Konzept uvm.
Alles, wie gesagt, zum Teil wirklich von mir genutzt und zum Teil zum Testen und Spielen.

Meine Aussage das alle Geräte sich untereinander erreichen war allerdings nicht gaaaanz richtig. Die 192.168.178.x Seite (FritzBox meines Kumpels) ist nicht erreichbar und erreicht auch nichts aus meinen Netzen.
Einfachhalber habe ich das aber einfach mal so formuliert weil ich nicht denke, dass das jetzt einen großen Unterschied macht, den mit dem Netz gibt es ja keine Schwierigkeiten oder Anforderungen bei denen ich jetzt Unterstützung benötige.

Anfangs waren nur Testweise mal 2 Rechner/Server an dem anderem Standort um das Ganze zu testen und das überhaupt mal in Gang zu bringen mit der Site2Site Verbindung, Routing etc, jetzt klappt das aber bisher so gut, dass noch mehr rüber soll.

Wie ihr bereits merkt ist mein Verständnis für Netzwerke noch ausbaufähig, daher muss ich jetzt erstmal recherchieren welcher Aufwand hinter den, von Euch hier genannt Lösungen, steckt und ob es für mich fachlich überhaupt umsetzbar ist. Als ich die Frage gestellt hatte, hatte ich irgendwie auf so eine "Führe die 3 Schritte durch" Antwort gehofft und fertig face-smile

VG
commodity
commodity 03.05.2023 aktualisiert um 12:42:08 Uhr
Goto Top
hatte ich irgendwie auf so eine "Führe die 3 Schritte durch" Antwort gehofft
Nachdem sich das nicht realisiert hat, könntest Du (ggf. mit hiesiger Hilfe) vielleicht klären, warum im anderen Netz denn die IP aus Deinem Netz erforderlich sein könnte. Der Wechsel der IP ist ja in höchstens "3 Schritten" erledigt.

I.Ü. ist natürlich der Netzaufbau mindestens auf Deiner Seite fragwürdig. Die Fritzbox kann ja bleiben und Dienste bereitstellen, muss aber dazu kein weiteres Netz aufbauen.

@aqui, die VXLAN-Lösung klingt interessant. Wer war denn der kluge Kollege 4863114660 (Dein Link), der das seinerzeit ins Spiel gebracht hat? Der hatte i.Ü. allerdings auf auf EoIP verwiesen, falls 2x Mikrotik im Spiel ist face-smile

Viele Grüße, commodity
aqui
aqui 03.05.2023 aktualisiert um 12:50:12 Uhr
Goto Top
ich etwas überrascht
Ich Fehler gemacht, sorry ich beziehen auf TO nicht @tgvoelker!
aqui
Lösung aqui 03.05.2023 aktualisiert um 13:26:17 Uhr
Goto Top
ich etwas überrascht
Ich Fehler gemacht, sorry ich beziehen auf TO nicht @tgvoelker!
@entfernt
welches mit der Site2Site VPN-Verbindung dauerhaft zu mir verbunden ist.
Wer realisiert die denn?? Die Fritzbüchsen oder die MTs. Sing ja beides aktive VPN Router.
Die 192.168.178.x Seite (FritzBox meines Kumpels) ist nicht erreichbar
Das ist vermutlich gelogen, denn laut deiner o.a. Design Skizze läuft ja sämtlicher Traffic immer über beide privaten FritzBox Netze. Folglich sind die auch alle zu erreichen. Es sei denn du hast... 1. ein wasserdichtes Firewall Regelwerk in den MTs, 2. dein Kollege hat keinen Zugriff darauf und 3. er vertraut dir blind?! face-wink
So oder so aber egal, da es mit deiner Aufgabenstellung an sich nichts zu tun hat.
mit dem Netz gibt es ja keine Schwierigkeiten oder Anforderungen
Das ist letztlich auch richtig, denn aus Mikrotik Sicht bzw. aus diese Netzwerk Sicht beginnt das Internet am WAN Port des Mikrotik. In sofern also ein klassisches Standarddesign.

Da du Vmware betreibst wäre die VxLAN Lösung die ideale Lösung, denn VxLAN stammt ursprünglich von Vmware ist mittlerweile aber ein RFC Standard den fast alle Switch und Router Hersteller auch supporten. Eigentlich eine Steilvorlage für einen einfache Lösung.
Sofern du 2 ESXi Systeme an beiden Standorten hast musst du gar nichts machen, denn dann können die die ESXi den Layer 2 VxLAN Tunnel über die bestehende Verbindung realisieren und du hast dann automatisch dein Netz an beiden Standorten. Dazu musst du dann an der bestehenden Netzwerk Infrastruktur gar nicht zusätzlich einstellen.
https://docs.vmware.com/de/VMware-NSX-Data-Center-for-vSphere/6.4/com.vm ...
Alternativ kann man den ESXi Tunnel auch auf dem MT terminieren oder ihn zwischen den beiden MTs direkt etablieren. Dir stehen da alle Optionen offen.
"Führe die 3 Schritte durch"
Mmmhhh...wer so ein S2S Setup über 2 MTs zustandebringt mit all den Komponenten und Virtualisierung sollte solche Aussage eigentlich nicht machen bzw. ist sie schon höchst verwunderlich. Aber nundenn... 🤔
@commodity
Ich kann mich an den Namen leider nicht mehr erinnern. Habs aber damals mal auf dem MT konfiguriert und rennt fehlerlos.
entfernt
entfernt 04.05.2023 um 08:41:10 Uhr
Goto Top
Wer realisiert die denn?? Die Fritzbüchsen oder die MTs. Sing ja beides aktive VPN Router.
Die MT's machen das


Da du Vmware betreibst wäre die VxLAN Lösung die ideale Lösung, denn VxLAN stammt ursprünglich von Vmware ist mittlerweile aber ein RFC Standard den fast alle Switch und Router Hersteller auch supporten. Eigentlich eine Steilvorlage für einen einfache Lösung.
Guck ich mir mal an

Mmmhhh...wer so ein S2S Setup über 2 MTs zustandebringt mit all den Komponenten und Virtualisierung sollte solche Aussage eigentlich nicht machen bzw. ist sie schon höchst verwunderlich. Aber nundenn... 🤔
Du erinnerst Dich scheinbar nicht mehr an den Kampf als Du mir geholfen hast die VPN Verbindung aufzusetzen und die MT's zu konfigurieren xD
commodity
commodity 04.05.2023 um 10:59:28 Uhr
Goto Top
Du erinnerst Dich scheinbar nicht mehr an den Kampf
Wir wollen einen Link! face-big-smile

Viele Grüße, commodity
aqui
aqui 04.05.2023 aktualisiert um 11:27:19 Uhr
Goto Top
"Kampf" ist nicht dein Ernst, oder?? Bei mir ist ein IKEv2 VPN in max. 10 Minuten am Laufen auf einem MT! 😉
Mal im Ernst: Deine Anforderung ist mit ein paar Mausklicks im MT Setup GUI oder WinBox im Handumdrehen zu lösen.