Site-to-Site VPN mit VLAN auf einer Seite - Veeam PN auf Ubuntu

porfavor
Goto Top
Hallo

ich weiß nicht, ob ich im richtigen Forum gepostet habe. Falls nicht, gerne verschieben.

Es geht um folgenden Sachverhalt: Ich habe mittels Veeam PN ein Site-to-Site VPN aufgesetzt. Veeam PN läuft auf Server- wie auf Gateway-Seite unter Ubuntu.
Dies ist leider erforderlich bei dieser Lösung. Ich kenne mich mit Ubuntu bzw. Linux im Allgemeinen jedoch so gut wie nicht aus. Einiges habe ich auch schon probiert, möchte ich jedoch ausblenden, da es mir darum geht, Schritt für Schritt richtig vorzugehen.

Die Situation ist so, dass ich von Standort B auf Standort A (Server-Seite) (also das ganze Heimnetz) zugreifen kann. Hier funktioniert das Routing also. Von Standort A kann ich nur den Host des VPN-Gateway an Standort B erreichen, jedoch nicht das LAN dahinter. Nun muss man dazu wissen, dass es sich hier um ein VLAN handelt. Leider weiß ich nicht wirklich, inwieweit dies hier eine Rolle spielt. MTR sagt mir, dass ich von Standort A das VPN-Gateway an Standort B erreiche (die 10... IP des VPN-Netzes). Danach geht es offenbar jedoch nicht weiter.

Ich würde annehmen, dass ich nun in Ubuntu am Standort B Routen setzen muss und/oder dieses überhaupt routingfähig machen muss. Bei ersterem habe ich aber ein Gedankenproblem, weil VPN-Server und Router ja ein und derselbe Host sind. Muss ich hier überhaupt routen? Wenn ja, wie soll denn da die Route aussehen?

Ist dieses Vorhaben überhaupt sinnvoll oder erheblich komplizierter, als wenn ich einen Dedicated Server mit Virtualisierung und einem anderen Host als Router hätte?

Ich habe hier leider ein paar Bretter vorm Kopf. Bitte nicht böse sein. Jeder muss mal lernen.

Ich würde gerne erst einmal grundlegend verstehen, wo ich hier ansetzen muss und was ich ggf. gar nicht tun muss.

Content-Key: 2710160169

Url: https://administrator.de/contentid/2710160169

Ausgedruckt am: 16.08.2022 um 07:08 Uhr

Mitglied: aqui
aqui 07.05.2022 aktualisiert um 12:00:18 Uhr
Goto Top
Falls nicht, gerne verschieben.
Aus guten Gründen kannst nur DU selber als Threadowner deinen Thread verschieben. Der "Bearbeiten" Knopf ist dann, wie immer, dein bester Freund. FAQs lesen hilft wirklich! face-wink
Zurück zum Thema...
ein Site-to-Site VPN aufgesetzt.
Ohne das du einmal das verwendete VPN Protokoll benennst ist eine zielführende Antwort so gut wie unmöglich ohne kristallkugeln zu müssen. Routing Setups sind ausschliesslich vom verwendeten VPN Protokoll abhängig zu dem du leider keinerlei Infos lieferst.
Also bitte ein paar mehr Detailangaben dazu WAS du an VPN wie umgesetzt hast bei dir.

Grundlegende Infos zu verschiedenen VPN Lösungen mit den Routing Setups findest du z.B. hier und auch den weiterführenden Links in den Tutorials:
WireGuard:
https://administrator.de/tutorial/merkzettel-vpn-installation-mit-wiregu ...
OpenVPN:
https://administrator.de/tutorial/merkzettel-vpn-installation-mit-openvp ...
IPsec:
https://administrator.de/tutorial/ipsec-vpn-praxis-mit-standort-vernetzu ...
https://administrator.de/tutorial/ikev2-vpn-server-fuer-windows-und-appl ...
Mitglied: Porfavor
Porfavor 07.05.2022 aktualisiert um 20:48:16 Uhr
Goto Top
Es handelt sich um Veeam PN, wie ich bereits sagte. Dieses nutzt Wireguard für Site to Site.

Dies wird grundsätzlich per Webinterface konfiguriert. Davon gibt es eben zwei, einen Server auf der einen Seite, ein Gateway auf der anderen Seite.

Welche Infos wären noch erforderlich?

Ich werde, sobald ich dazu komme, Mal ein Schaubild zum Netzwerk-Layout hochladen.
Mitglied: aqui
aqui 07.05.2022, aktualisiert am 08.05.2022 um 20:58:50 Uhr
Goto Top
wie ich bereits sagte. Dieses nutzt Wireguard für Site to Site.
Das hattest du leider in deinem Thread oben nicht erwähnt! face-sad

Wireguard nutzt generell das Prinzip des Crypto Key Routings: https://www.wireguard.com/#cryptokey-routing
Du bestimmst mit den Allowed IPs also automatisch was in die Routing Tabelle kommt und was nicht. Zusätzliche Routen sind bei WireGuard generell nicht erforderlich und sind auch nicht extern konfigurierbar.
Weitere Details zu der ganzen Thematik hat, wie immer, das hiesige WireGuard Tutorial.
Mal ein Schaubild zum Netzwerk-Layout hochladen.
Das wäre wirklich sehr hilfreich für alle hier!!
Mitglied: Pjordorf
Pjordorf 08.05.2022 um 00:51:05 Uhr
Goto Top
Hallo,

Zitat von @Porfavor:
Ich habe mittels Veeam PN ein Site-to-Site VPN aufgesetzt.
Hier steht alles was du wissen musst zu deinem Veeam PN https://helpcenter.veeam.com/docs/veeampn/userguide/overview.html?ver=21 Veeam PN = Veeam Powered Network face-smile

Ich kenne mich mit Ubuntu bzw. Linux im Allgemeinen jedoch so gut wie nicht aus. Einiges habe ich auch schon probiert,
Nur rumprobieren wiird dir nicht unbedingt helfen. Auch Linux kennt Routing, wie auch Windows muss es eingeschaltet werden (nennt sich dort IP Forwarding). https://linuxconfig.org/how-to-turn-on-off-ip-forwarding-in-linux
https://www.ducea.com/2006/08/01/how-to-enable-ip-forwarding-in-linux/
https://openvpn.net/faq/what-is-and-how-do-i-enable-ip-forwarding-on-lin ...
https://www.tecmint.com/setup-linux-as-router/
https://geek-university.com/ip-forwarding/

Nun muss man dazu wissen, dass es sich hier um ein VLAN handelt. Leider weiß ich nicht wirklich, inwieweit dies hier eine Rolle spielt. MTR sagt mir, dass ich von Standort A das VPN-Gateway an Standort B erreiche (die 10... IP des VPN-Netzes). Danach geht es offenbar jedoch nicht weiter.
Siehe oben. IP Forwarding usw. Auch ein Blick mittels Kabelhai hilft dir. https://www.wireshark.org/
https://www.varonis.com/blog/how-to-use-wireshark
https://www.lifewire.com/wireshark-tutorial-4143298
https://help.salesforce.com/s/articleView?id=000327816&type=1

https://wiki.ubuntuusers.de/MTR/
https://www.redhat.com/sysadmin/linux-mtr-command
https://www.thomas-krenn.com/de/wiki/Linux_Netzwerk_Analyse_mit_mtr
https://vitux.com/how-to-use-the-linux-mtr-command/

weil VPN-Server und Router ja ein und derselbe Host sind. Muss ich hier überhaupt routen? Wenn ja, wie soll denn da die Route aussehen?
Was soll das denn sein? Der Host ist gleichzeitig VPN Server und VPN Client? Deinen angekündigten Bildchen würden dir hier helfen dein umfangreiches und kompliziertes Konstrukt zu überblicken (wer macht was)

Ich habe hier leider ein paar Bretter vorm Kopf.
Könnte Helfen https://images.stockx.com/images/Supreme-Crowbar-Red.jpg?fit=fill&bg ...

Ich würde gerne erst einmal grundlegend verstehen, wo ich hier ansetzen muss und was ich ggf. gar nicht tun muss.
https://helpcenter.veeam.com/docs/veeampn/userguide/used_ports.html?ver= ...

An @aqui
Das hattest du leider in deinem Thread oben nicht erwähnt!
Doch, hat er und zwar Veeam PN face-smile

Gruß,
Peter
Mitglied: Porfavor
Porfavor 09.05.2022 um 19:29:45 Uhr
Goto Top
Ich habe gerade vom Entwickler erfahren, dass das Produkt nicht mehr weiterentwickelt wird. Warum es dann noch beworben wird...naja

Das führt mich jetzt dazu, doch eine andere Lösung zu suchen.
Kann mir jemand etwas möglichst "einfach konfigurierbares" empfehlen? Wahrscheinlich sollte ich hierfür ein neues Thema aufmachen?
Mitglied: aqui
aqui 09.05.2022 aktualisiert um 19:51:22 Uhr
Goto Top
Du hast die freie Auswahl:
Wenn Ubuntu, dann kannst du alles einfach mit Bordmitteln und Strongswan erledigen. Wäre ja in jedem Falle das Naheliegendste ohne zusätzliche Hardware.
https://administrator.de/tutorial/ikev2-vpn-server-fuer-windows-und-appl ...
Andere Alternativen...
FritzBox VPN
https://administrator.de/tutorial/ipsec-vpn-praxis-mit-standort-vernetzu ...
https://administrator.de/tutorial/merkzettel-vpn-installation-mit-wiregu ...
https://administrator.de/tutorial/merkzettel-vpn-installation-mit-openvp ...
https://administrator.de/tutorial/ipsec-ikev2-standort-vpn-vernetzung-mi ...
und und und...
Wahrscheinlich sollte ich hierfür ein neues Thema aufmachen?
Wäre sicher zielführender. Und dann die Netzwerk Skizze nicht vergessen. 😉
Mitglied: Porfavor
Porfavor 09.05.2022 um 20:03:11 Uhr
Goto Top
Vielen Dank. Ich bin nicht auf Ubuntu angewiesen. Das war nur wegen Veeam PN. Habe jetzt 'mal opnsense und dort Wireguard ins Auge gefasst. Aber ich mache demnächst ein neues Thema auf. Sollte ich bereits für die Auswahl die Skizze bereitstellen oder doch erst, wenn ich auf Probleme stoße und Hilfe benötige?
Mitglied: aqui
aqui 10.05.2022 um 10:20:29 Uhr
Goto Top
OK, perfekt. Dann deinen Thread hier bitte als erledigt markieren.
https://administrator.de/faq/32