VPN IPSec mit Bintec Routern

Hallo Gladmin,
Ich kenne zwar das x1300II Modell nicht aber wahrscheinlich ist hier der X1200II gemeint ?
OK das soll ja aber nicht das Problem sein.

1. Also NAT brauchst du hier eigentlich überhaupt nicht > ausschalten (außer natürlich am WAN Interface aktiviert lassen)
2. Ich weis nicht wie groß das komplette Netzwerk ist aber ich hätte keine 24Bit Subnet gewählt sondern 25 oder 26 Bit. Da wären wir bei 25Bit bei einem nutzbaren Hostanteil von 126 und bei 26Bit bei 62. Nur ein Tipp denn man muss hier sonst event. schnell je nach Größe ein Class A Netz anstreben und solch eine Umstellung sollte man vorne weg beachten.
3. Du sagst du hast beide Subnetze ja schon über VPN IPSec verbunden, sollte der Ping in das Zielnetz schon funktionieren dann ist der Rest doch gar nicht schwer.

Unter diesen Vorraussetzung ist der Ablauf wie folgt.

Ich habe schon einige Bintec Router über VPN eingerichtet und erkläre es dir mal an einem kleinen Bsp. unserer Zentrale und einer Filiale.
Du hast ja ein neues VPN Peer nämlich das der Filiale im Router der Zentrale und umgekehrt eingerichtet. Bei uns ist es so das ich natürlich aus der Zentrale Zugriff auf die Shares der Filiale haben möchte so wie du auch nur umgekehrt darf das nicht sein.
In diesem Fall machst du am Router der Zentrale unter IP, NAT die NAT des Peers zur Filiale auf an. Das gleiche machst du auf dem Router der Filiale auch, aber bedenke sobald du die NAT aktivierst ist erst einmal jeglicher Zugang über SSH oder Telnet hinfällig.
Nur kurz erwähnt das du dich halt nicht aussperrst. Das bezieht sich aber nur auf das VPN Peer (Interface) über WAN kannst du ja trotzdem connecten sofern du hier ja auch durch die akive NAT entsprechende Regel für Incomming Verkehr zulassen musst. Ok du hast die NAT auf beiden Routern nun aktiviert und musst jetzt in diesem Punkt die entprechenden Ports für die Dienste die du nutzen willst freigeben. In deinem Bsp. wäre das da ja ein Netzwerk Browsing von der Zentrale zur Filiale erlaubt sein soll wie folgt:
In den NAT Einstellungen der Zentrale für das VPN Peer zur Filiale erstellt du eine neu "from incomming Regel" die besagt das du erst mal alles aus der Zentrale in Richtung Filiale darfst.
Eintrag wie folgt:

Service: user definiert
Protocol: any
Remote Port: any
External Mask: 255.255.255.255
External Port: any
Internal Port: any

Abspeichern und fertig für die Zentrale.

In der Filiale machst du es wie folgt für das VPN Peer zur Zentrale:

Regeln für "from outside"

Service: user definiert
Protocol: tcp
External Port: specify Port 137
Internal Mask: 255.255.255.255
Internal Port: specify Port 137

und save.


Regeln für "from outside"

Service: user definiert
Protocol: udp
External Port: specify Port 138
Internal Mask: 255.255.255.255
Internal Port: specify Port 138

und save.


Regeln für "from outside"

Service: user definiert
Protocol: tcp
External Port: specify Port 139
Internal Mask: 255.255.255.255
Internal Port: specify Port 139

und save.


Regeln für "from outside"

Service: user definiert
Protocol: tcp
External Port: specify Port 445
Internal Mask: 255.255.255.255
Internal Port: specify Port 445

und save.


Zum Netzwerkbrowsen benötigst du "NetBIOS over TCP/IP" und/oder das SMB Protokoll. Ist also dein Ziel PC ein Windows NT Rechner benötigst du "NetBIOS over TCP/IP" also Port 135/137 bis 139. Ab 2000/XP/2003 kann SMB direkt über TCP/IP ohne einen extra Layer über NetBIOS browsen also benötigt man nur Port 445/TCP. Es ist ja erst mal für das Grobtuning nicht so schlimm wenn du ein paar Port mehr offen hast als benötigt werden, da die Kopplung der Router ja eine Trusted Zone ist . Jedoch gibt es immer wieder Angestellte die meinen das sie zu Freaky sind und versuchen über offene Port irgend etwas zu tunneln. Darum ist es schon ratsam den restlichen Kram zu schließen wenn es läuft.
Das ganze war nur ein kleines Bsp. man könnte das auch alles über die intergrierte SPI (Firewall) lösen, aber ich kenne deinen Wissensstand nicht und die vorliegende Infrastruktur und es würde so ausarten das man es kaum in eine verstöändliche Schreibform bekommen würde.

Mfg