über die DSL-Leitung des VPN-Partners ins Internet

[Bib]

Hallo,
ich habe hier 2 Standorte mit jeweils einer Fritzbox 7490 und einem Telekom-DSL-Anschluss.
Zwischen den beiden Fritzboxen läuft ein VPN, ich komme von beiden Boxen ins jeweilige andere Netz. Die Clients bekommen die jeweiligen IPs per DHCP zugeordnet.

Jetzt möchte ich aber, dass ein Computer bei Fritzbox 1 über die DSL-Leitung von Fritzbox 2 ins Internet geht.

also wenn ich bei Computer 1 die externe IP abfrage (wieistmeineip.de) dann soll die Telekom-IP von Fritzbox 2 angezeigt werden.

Wie geht das? Welche manuellen Einstellungen muss ich vornehmen? Einfach die IP-Einstellungen in Computer 1 so vornehmen, wie wenn ich ihn manuell ins Fritzbox 2 Netz einbinden würde?


Fritzbox 1:
192.168.51.1

Fritzbox 2:
192.168.52.1

Dann für den Computer 1 folgendes eintragen?
lokale IP: 192.168.52.10
Gateway: 192.168.52.1
Netmask: 255.255.255.0

Oder lokale IP aus dem Bereich Fritzbox 1 vergeben und nur das Gateway von Fritzbox 2 eintragen?

Oder muss noch irgendwo ein Routing oder so angelegt werden?

 

[PeterPawn]

Mein Vorschlag wäre hier Lukas 11/9 - der erste Teil (der mit dem "wird gegeben") ist mit einer Antwort ja bereits "erledigt" (auch wenn von einer expliziten Bitte jetzt nichts zu lesen war) und um den zweiten kann man sich ja selbst kümmern. Ob und wo das mit dem Anklopfen im dritten Teil dann noch erfolgt oder vonnöten ist, könnte man ja im Anschluß ausdiskutieren.

Ich bin mir jedenfalls einigermaßen sicher, daß dieses Thema schon (mehrfach und das meint eigentlich keine einstellige Zahl an Wiederholungen) ventiliert wurde ... sind da irgendwelche vollkommen neuen Erkenntnisse zu erwarten?

AVM hat zwar vermutlich auch an der VPN-Implementierung einiges in der aktuellen Labor-Reihe geändert (die Speicherung der VPN-Verbindungen in der "/var/flash/vpn.cfg" deutet zumindest darauf hin), aber das geht m.W. nicht so weit, daß die "Prinzipien" von früher nicht mehr gelten und außerdem steht hier ja auch gar nichts von der neuen Labor-Reihe in #1 (auch nicht in der Signatur).

 

[Micha0815]

Das Zauberwort sind die accesslist-Einstellungen in den vpn-configs. Über "permit IP" und "deny" lässt sich dergleichen bei einer LAN2LAN-Verbindung feingrannuliert einstellen, falls ein Client die andere IPv4 des entfernten Anschlusses nutzen soll.
LG

 

[Bib]

Ich hab schon viel gelesen, aber meistens steht da immer nur was von einem einzlenen PC im Hotel, aber nie von 2 Fritzboxen mit LAN-LAN-Kopplung. Vielleicht hab ich aber auch einfach nur die falschen Suchbegriffe genutzt...


Die Accesslist regelt doch nur den Zugriff auf Geräte im lokalen Netz? Also wenn ich in meiner lokalen Fritzbox mit 192.168.51.1 die accesslist "permit ip any 192.168.51.0 ..." einsetze, dann darf jedes Gerät aus dem Fremden .52. er Netz auf alle Geräte im lokalen .51.er Netz zugreifen.

Das ist ja nicht das Problem, da funktioniert doch schon. Ich kann von meinem lokalen Netz aus auf die Fritzbox-Oberfläche oder die Synology-NAs Oberfläche des entfernten .52er Netzes zugreifen und auch umgekehrt.

Hat diese accesslist dann auch etwas mit meinem Problem zu tun?

 

[Micha0815]

Hat diese accesslist dann auch etwas mit meinem Problem zu tun?

Mutmasslich Das hier Erläuterte sollte bis dato Gültigkeit haben.
LG

 

[PeterPawn]

Das Ding heißt zwar "accesslist", ist aber immer noch eher ein "Selektor" für den zu verschlüsselnden Traffic, wie an mehreren Stellen im IPPF erläutert wird.

Vermutlich würde es also schon helfen, wenn man einfach allen Traffic von dem zu verschleiernden Host in den Tunnel zu LAN 2 stecken läßt ... für den Rückweg reicht dann der "normale" Selektor (nennen wir die "accesslist" auf der anderen Seite besser auch so) in LAN 2 aus, weil die Pakete ja den Absender aus dem LAN 1 behalten (im VPN findet kein NAT statt).

Wenn man schon viel gelesen hat, ist es manchmal ganz hilfreich, wenn man sich auch die Arbeit macht, diese Quellen einfach einmal aufzuzählen ... das erspart dann einem "Antwortwilligen" wiederum den Verweis auf solche - bereits bekannten - Fundstellen.

Denn eines ist die "accesslist" in einer VPN-Konfiguration eben gerade nicht (deshalb ist der zweite Absatz in #4 auch absolut falsch) ... und zwar eine "Liste der zugelassenen Zugriffe". Wie auch schon mehrmals erläutert, kann man beim AVM-VPN keinen eingehenden Datenverkehr aus dem Tunnel blocken (deshalb muß man dem VPN-Peer schon vertrauen können) ... wenn TCP-Verbindungen dank solcher "accesslist"-Einträge nicht funktionieren, liegt das nur daran, daß damit der ausgehende Traffic dann blockiert wird (oder eben auch nicht, je nachdem, was da in der Einstellung steht) und damit der 3-way-handshake für TCP scheitert. Das Absenden von UDP-Paketen (auch mit der Absicht, dem Empfänger zu schaden) ist vom Peer so eines VPN-Tunnels jederzeit weiterhin möglich (und auch anderer IP-Traffic - nur eben nichts, was eine Antwort erwartet).

 

[Bib]

Danke für die Hinweise!

Also muss ich bei der IP-Config im Gastnetz überhaupt nichts besonderes beachten. Ich gebe dem Client-PC im .52er Netz einfach eine lokale 52er IP und fertig.

Den Rest dann komplett über die VPN-Config.

_________________

In meiner 51er Box (Haupt-Fritzbox) habe ich drinstehen:

accesslist = "permit ip any 192.168.52.0 255.255.255.0";

Aktuell steht in der 52er Box:

accesslist = "permit ip any 192.168.51.0 255.255.255.0";

Das heisst doch, dass ich von der 52er Box aus alles zulasse, was ins 51er Netz will, oder? Aber trotzdem gehen die Clients im 52er Netz ganz normal über die lokale DSL-Leitung ins Internet. Also muss ich irgendwo noch was konfigurieren, dass das eben über die Haupt-Fritzbox im 51er Netz passieren soll und nicht über die lokale 52er.

 

[PeterPawn]

Ich gebe dem Client-PC im .52er Netz einfach eine lokale 52er IP und fertig.

Nach #1 steht dieser PC doch aber im LAN von FRITZ!Box 1 ... warum sollte der jetzt eine IP-Adresse auf dem LAN von FRITZ!Box 2 kriegen?

Vielleicht sortierst Du das ja doch noch einmal und beschreibst das so, daß man es nachvollziehen kann (notfalls geht auch ein kleines Diagramm, da gibt es ganz wunderbar geeignete Software auch als OpenSource oder wenigstens kostenlos). Warum das jetzt "der Client-PC im .52er Netz" sein soll, verstehe ich jedenfalls nicht ... vielleicht ja ein anderer.

Auch ist das "Raten" Deinerseits, was in Deiner VPN-Konfiguration nun was heißen könnte, nicht sehr produktiv (schließlich ist es ja beschrieben) ... ich habe oben schon darauf hingewiesen, daß es hier gar nicht um "zulassen" oder "nicht zulassen" geht und das in anderen Threads ausreichend erklärt wurde ... vielleicht gelingt Dir ja doch noch die Angabe, was genau Du denn nun gesucht, gefunden und gelesen hast?

Nach der ursprünglichen Beschreibung in #1 soll ein Client im LAN der ersten FRITZ!Box jeden Internetzugriff über die VPN-Verbindung und den DSL-Anschluß der zweiten FRITZ!Box ausführen:

Jetzt möchte ich aber, dass ein Computer bei Fritzbox 1 über die DSL-Leitung von Fritzbox 2 ins Internet geht.

Was hat also die Feststellung

Aber trotzdem gehen die Clients im 52er Netz ganz normal über die lokale DSL-Leitung ins Internet.

damit zu tun?

Genau ... gar nichts. Da die gezeigte "accesslist" in der zweiten FRITZ!Box eben nur den Traffic von irgendeiner beliebigen Adresse (dafür steht das "any" nun mal) an eine Adresse aus 192.168.51.0/24 für den Transport über den VPN-Tunnel AUSWÄHLT, ist es alles andere als überraschend, wenn der gesamte Traffic aus LAN 2, der nicht an eine Adresse aus 192.168.51.0/24 gehen soll, ganz normal über das Internet geroutet wird. Wo ist das Problem bzw. wo ist das anders (und damit dann offensichtlich falsch) beschrieben, daß Du zu solchen wilden "Vermutungen" gelangst?

Wenn ich das wirklich mit dem "Anliegen" falsch interpretiere und jetzt ein Client aus LAN2 über LAN1 ins Internet soll, müßtest Du vielleicht noch einmal prüfen, was Du selbst in #1 versucht hast zu beschreiben.

 

[Bib]

Sorry, Asche auf mein Haupt... Du hast natürlich recht, ich habs in Post #1 genau andersherum geschrieben. Also PC bekommt eine ganz normale IP von seiner ihm zugeordneten Fritzbox.

Also es ist folgendermaßen:

......Internet....................................................Internet
......... |................................................................|
Hauptfritzbox .51.1 -------- VPN ---------- Zweit-Fritzbox .52.1
...........................................................................|
.......................................................................PC .52.10


Und nun soll der PC an der Zweitfritzbox über die DSL-Leitung der Hauptffitzbox raus ins Internet gehen. Also alles über den VPN-Tunnel und dann am Hauptstandort erst ins öffentliche Netz. Das soll aber nur für den einen PC gelten, alle anderen Geräte an der Zweitfritzbox sollen ganz normal ohne VPN ins Internet.


Deiner Antwort zufolge muss ich als das "any" gegen die IP des PCs austauschen und dafür die bereits in der Accesslist stehende IP/24 zu any austauschen.

 

[PeterPawn]

Deiner Antwort zufolge muss ich als das "any" gegen die IP des PCs austauschen und dafür die bereits in der Accesslist stehende IP/24 zu any austauschen.

Exakt.

Wobei diese Regel zusätzlich zur bereits vorhandenen erforderlich ist.

 

[Bib]

Und wenn ich einfach "any any" einsetze, dann geht alles übers VPN. Über die normale (unverschlüsselte) Internetleitung dürfte dann überhaupt nichts mehr rausgehen?

 

[PeterPawn]

Frag' doch nicht so viel ... probier's einfach oder lies die bisher geschriebenen Beiträge zu diesem Thema (den gesamten Verkehr eines Standorts über einen anderen routen per AVM-VPN).

Vorher solltest Du Dir aber noch überlegen, wie dann wohl der Tunnel aufgebaut werden soll oder kann, wenn schon die DNS-Abfragen für die zu verwendende Gegenstelle dem "Selektor" nach über eine noch gar nicht aufgebaute VPN-Verbindung gehen sollen.

Das ist ein VPN, kein Baron Münchhausen ...