Verbindung zu entferntem Netz über VPN über Mikrotik RB2011 - Fritzbox1 - VPN - Fritzbox2
Hallo zusammen!
Das ist meine erste Frage hier. Seit einiger Zeit lese ich schon eifrig die Beiträge und konnte mit eurer Hilfe mit einem Mikrotik RB2011 mein Netz in mehrere VLANs separieren. Doch nun stoße ich an die Grenzen meines selbst erlernten und doch eher leihenhaften Wissens. Ich habe lange mit meinem inneren Schweinehund gerungen hier zu schreiben, weil es nicht ganz einfach ist zu erklären, aber ich hoffe ihr versteht es dennoch:
Die FritzBox 7490 baut die DSL Verindung auf. Am FB Netz (an Port1) hängt ein Netgear Switch GS724T (Ich weiss, nicht gerade toll, aber ich habs mit VLAN zum laufen bekommen), dieser ist aufgeteilt in verschiedene VLANs. Das RB2011 verwaltet die VLANs, übernimmt das DHCP und Routing zwischen den VLANS (soweit erlaubt). Gateway ins www ist die IP der FritzBox im VLAN70. Soweit alles prima, es funktioniert auch bisher wie es soll.
Doch jetzt habe ich festgestellt, dass ich nicht mehr auf die Systeme im entfernten Netzt über den VPN-Tunnel der FB zugreifen kann. Also konkret: Meine FB ist per VPN mit einer anderen FB verbunden.
In der FB Oberfläche sehe ich, dass nach einem Verbindungsversuch ins entfernte Netz der VPN Tunnel aufgebaut wurde, ich kann aber weder auf entfernte Systeme noch auf die am anderen Ende des VPN-Tunnels angeschlossene FB zugreifen.
Verbinde ich mein Notebook per WLAN oder Kabel mit dem FB-Netz - VLAN70 (egal ob an FB direkt, am Netgear, oder RB2011) funktioniert der Zugriff wieder. Tracert vom FB-Netz (VLAN70) findet das Ziel problemlos. Tracert von einem anderen VLAN aus findet den Weg bis zur lokalen FB und dann kommt der timeout.
Die IP Adresslisten der Netze lauten alle auf die IP 10.9.7x.1 bis auf das VLAN70 das hat die 10.9.70.2 weil die FB ja schon die 10.9.70.1 hat. DHCP sind alle mit einem Pool von .20-.99 eingestellt mit Ausnahme des VLAN70 an dem auch die FB hängt, das hat nen Pool von .150 bis .200 (Hier wollte ich vermeiden, dass es aus der bisher von der FB vergebenen Adressen und teilweise noch fest vergebenen Adressen, Überschneidungen gibt) DHCP in der FB ist aber abgeschaltet.
In allen Netzen ist als DNS die IP der FB, also 10.9.70.1 eingestellt. Auch die Routen sind für alle internen IP Bereiche vorhanden und alles was dort nicht gefunden wird, wird über den Eintrag 0.0.0.0/0 auf das Gateway 10.9.70.1 der FB geleitet.
Habe ich irgendwo nen Denkfehler? Ich hoffe ihr habt eine Idee. Zur Verdeutlichung hilft vielleicht meine handgemalte Skizze.
Danke
Das ist meine erste Frage hier. Seit einiger Zeit lese ich schon eifrig die Beiträge und konnte mit eurer Hilfe mit einem Mikrotik RB2011 mein Netz in mehrere VLANs separieren. Doch nun stoße ich an die Grenzen meines selbst erlernten und doch eher leihenhaften Wissens. Ich habe lange mit meinem inneren Schweinehund gerungen hier zu schreiben, weil es nicht ganz einfach ist zu erklären, aber ich hoffe ihr versteht es dennoch:
Die FritzBox 7490 baut die DSL Verindung auf. Am FB Netz (an Port1) hängt ein Netgear Switch GS724T (Ich weiss, nicht gerade toll, aber ich habs mit VLAN zum laufen bekommen), dieser ist aufgeteilt in verschiedene VLANs. Das RB2011 verwaltet die VLANs, übernimmt das DHCP und Routing zwischen den VLANS (soweit erlaubt). Gateway ins www ist die IP der FritzBox im VLAN70. Soweit alles prima, es funktioniert auch bisher wie es soll.
Doch jetzt habe ich festgestellt, dass ich nicht mehr auf die Systeme im entfernten Netzt über den VPN-Tunnel der FB zugreifen kann. Also konkret: Meine FB ist per VPN mit einer anderen FB verbunden.
In der FB Oberfläche sehe ich, dass nach einem Verbindungsversuch ins entfernte Netz der VPN Tunnel aufgebaut wurde, ich kann aber weder auf entfernte Systeme noch auf die am anderen Ende des VPN-Tunnels angeschlossene FB zugreifen.
Verbinde ich mein Notebook per WLAN oder Kabel mit dem FB-Netz - VLAN70 (egal ob an FB direkt, am Netgear, oder RB2011) funktioniert der Zugriff wieder. Tracert vom FB-Netz (VLAN70) findet das Ziel problemlos. Tracert von einem anderen VLAN aus findet den Weg bis zur lokalen FB und dann kommt der timeout.
Die IP Adresslisten der Netze lauten alle auf die IP 10.9.7x.1 bis auf das VLAN70 das hat die 10.9.70.2 weil die FB ja schon die 10.9.70.1 hat. DHCP sind alle mit einem Pool von .20-.99 eingestellt mit Ausnahme des VLAN70 an dem auch die FB hängt, das hat nen Pool von .150 bis .200 (Hier wollte ich vermeiden, dass es aus der bisher von der FB vergebenen Adressen und teilweise noch fest vergebenen Adressen, Überschneidungen gibt) DHCP in der FB ist aber abgeschaltet.
In allen Netzen ist als DNS die IP der FB, also 10.9.70.1 eingestellt. Auch die Routen sind für alle internen IP Bereiche vorhanden und alles was dort nicht gefunden wird, wird über den Eintrag 0.0.0.0/0 auf das Gateway 10.9.70.1 der FB geleitet.
Habe ich irgendwo nen Denkfehler? Ich hoffe ihr habt eine Idee. Zur Verdeutlichung hilft vielleicht meine handgemalte Skizze.
Danke
Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 335349
Url: https://administrator.de/forum/verbindung-zu-entferntem-netz-ueber-vpn-ueber-mikrotik-rb2011-fritzbox1-vpn-fritzbox2-335349.html
Ausgedruckt am: 06.04.2025 um 05:04 Uhr
12 Kommentare
Neuester Kommentar
Hallo,
wenn Du auf dem RB2011 NAT konfiguriert hast, ist dass der Grund warum Du keine Antwort aus dem Netz auf der anderen Seite erhältst. Wenn ich es richtig verstanden habe, läuft Dein VLAN70 "zwischen" der Fritzbox und dem MikroTik. Deshalb funktioniert hier auch der Ping.
Wenn alles so bleiben soll, musst Du eine Portweiterleitung im RB2011 definieren, wenn z.B. der PC (10.111.222.20) auf den Drucker zugreifen soll.
Der bessere Weg aus meiner Sicht wäre jedoch den Tunnel zwischen entfernter Fritzbox und MikroTik aufzubauen (habe ich selbst aber noch nicht konfiguriert). Unabhängig davon, würde ich wenn Du das WLAN der Fritzbox nicht unbedigt nutzen willst, das VLAN70 auch "hinter" den RB2011 hängen.
Viele Grüße
wenn Du auf dem RB2011 NAT konfiguriert hast, ist dass der Grund warum Du keine Antwort aus dem Netz auf der anderen Seite erhältst. Wenn ich es richtig verstanden habe, läuft Dein VLAN70 "zwischen" der Fritzbox und dem MikroTik. Deshalb funktioniert hier auch der Ping.
Wenn alles so bleiben soll, musst Du eine Portweiterleitung im RB2011 definieren, wenn z.B. der PC (10.111.222.20) auf den Drucker zugreifen soll.
Der bessere Weg aus meiner Sicht wäre jedoch den Tunnel zwischen entfernter Fritzbox und MikroTik aufzubauen (habe ich selbst aber noch nicht konfiguriert). Unabhängig davon, würde ich wenn Du das WLAN der Fritzbox nicht unbedigt nutzen willst, das VLAN70 auch "hinter" den RB2011 hängen.
Viele Grüße
Ein paar Grundlagen zu der Thematik erklärt das VPN Praxis Tutorial:
IPsec VPN Praxis mit Standort Vernetzung Cisco, Mikrotik, pfSense, FritzBox u.a
IPsec VPN Praxis mit Standort Vernetzung Cisco, Mikrotik, pfSense, FritzBox u.a
Ich bin mir relativ sicher, dass wenn Du auf dem MikroTik ein NAT einrichtest, wird es funktionieren. Der MikroTik übersetzt dann die Adresse des jeweiligen VLAN's in die des VLAN's 70 und dann verschwindet sie im Tunnel. Ein Reboot sollte nicht erforderlich sein - bei mir übernimmt der MikroTik alles sofort!
Viel Erfolg!
Viel Erfolg!
Ja das muss man der Fritzbox natürlich mitgeben ansonsten weiss sie ja nicht das dieser Traffic auch in den Tunnel geroutet werden muss Siehe hier:
https://avm.de/service/fritzbox/fritzbox-7490/wissensdatenbank/publicati ...
https://avm.de/service/fritzbox/fritzbox-7490/wissensdatenbank/publicati ...
IP Routing Grundlagen, 1 Klasse 
Gut wenns nun rennt wie es soll.
Bitte dann auch
Wie kann ich einen Beitrag als gelöst markieren?
nicht vergessen !
Gut wenns nun rennt wie es soll.
Bitte dann auch
Wie kann ich einen Beitrag als gelöst markieren?
nicht vergessen !