Abweichendes IP-Netz für Lan B?

[eifel_wolf]

Hallo,

an der FB kann man ja für die verschiedenen Bereiche (Lan A, Lan B, USB und WLAN) verschiedene IP-Netze definieren.

Nun hängt bei mir an Lan B ein "Netzsegment", das lediglich die Internet-Verbindung mit benutzen soll, welches ich aber ansonsten aus meinem Netz ausblenden will.

Meine Idee war es nun für Lan B einen anderen IP-Bereich zu definieren. Allerdings sollen LAN A und WLAN weiterhin den gleichen Bereich behalten. Dies lässt aber die Definition nicht zu, da kommt immer die Fehlermeldung das die Bereich sich nicht überschneiden dürfen.

Kann mir hier jemand helfen und mir sagen wie ich es konfigurieren muß. Ich nehem auch gerne weitere Tipps und Anregungen zur Verbesserung der oben beschriebenen Trennung/Absicherung der beiden Netzbereiche entgegen ;-)

 

[frank_m24]

Hallo,

dein Problem lässt sich so nicht lösen, da die Box zwischen den verschiedenen Subnetzen routet, also können sich die Rechner an den verschiedenen LAN Ports gegenseitig trotzdem erreichen.

Willst du also einen Bereich deines LANs von den anderen abschotten, dann musst du dir was anderes einfallen lassen, mit Fritzbox Boardmitteln geht das nicht. Eine Möglichkeit ist es, per ds-mod iptables auf die Box zu bringen. Aber das ist nicht in allen Anwendungsfällen stabil. Ein weiterer NAT Router, hinter dem sich die Rechner befinden, auf die man nicht zugreifen darf, das wäre wohl die sicherste Lösung.

Viele Grüße

Frank

 

[eifel_wolf]

Hallo, Danke für die Einschätzung!

Das mit dem 2. Router hinter der Fritz.Box klingt gut und einfach. Allerdings könnte ich dann wohl nicht mehr das WLAN der FB nutzen und müsste es deaktivieren.

Wie siehts den aus wenn ich das Netzsegment an Lan B über einen eigenen Router laufen lasse? Bzw. hat es auch Nachteile für das "private" Hauptnetz, wenn es erst über einen Router hinter der FritzBox muß? Z.B. wird aus dem zu schützende Hauptnetz auch eine VPN-Verbindung für ein Homeoffice aufgebaut - könnte da ein Router mehr mit NAT Schaden anrichten?

 

[frank_m24]

Hallo,

Allerdings könnte ich dann wohl nicht mehr das WLAN der FB nutzen und müsste es deaktivieren.

Je nach dem. Vielleicht gibts ja auch WLAN-Rechner, die in die "Nur-Internet" Fraktion gehören. Die können dann natürlich über die Fritzbox laufen.

Bzw. hat es auch Nachteile für das "private" Hauptnetz, wenn es erst über einen Router hinter der FritzBox muß? Z.B. wird aus dem zu schützende Hauptnetz auch eine VPN-Verbindung für ein Homeoffice aufgebaut - könnte da ein Router mehr mit NAT Schaden anrichten?

Grundsätzlich birgt eine Doppel-NAT Konfiguration immer besondere Gefahren und Schwierigkeiten. Das betrifft z.B. das ganze Thema Portweiterleitungen, die ja plötzlich durch 2 Router durchgeleitet werden müssen.
Dennoch sollte es möglich sein, VPN z.B. auch hinter 2 NAT Routern zu verwenden, wenn Router mit ordentlicher VPN Passthrough Funktionalität verwendet werden. Je nach VPN Technologie macht das gar keine Schwierigkeiten (PPTP, OpenVPN) oder erfordert erheblichen Aufwand (IPsec, aber auch schon bei nur einem NAT Router). Vielleicht kannst du dir ja einen Router mit VPN Unterstützung zulegen? Der bringt dann seine Clients "on demand" per VPN ins Firmennetz.

Viele Grüße

Frank

 

[eifel_wolf]

Hallo, danke nochmals für die Einschätzung!

Das bringt mich jetzt aber zu einem Punkt mit meinem VPN-Zugang. Das Ganze läuft über Cisco und, so steht es zumindest im Cisco Client, über IPSec.

Generell funzt das Ganze, ich komme ins Firmennetzwerk und kann dort arbeiten (Remote Desktop). Aber regelmäßig-unregelmäßig bricht die VPN-Verbindung zusammen. Manchmal geht einfach für Minuten nix, und dann läufts normal weiter, ein anderes Mal kommt nach einer Minute Stillstand eine Meldund "VPN Timeout", und wieder ein anderes Mal kommt der Timeout ohne Vorankündigung.

Das ganze ist sehr unregelmäßig, manchmal bricht die Verbindung im 2-Minuten Takt ab, ein anderes Mal kann ich aber 5 Stunden ohne Unterbrechung arbeiten. Die Fritzbox an sich kann es wohl nicht sein, sie wurde schon 2x ausgetauscht (Defekte). Wlan scheidet auch aus, das Ganze passiert auch bei Lan-Anbindung an die FB. Clientrechner ist ebenfalls egal, bei zwei unterschiedlichen war es das gleiche Verhalten. An der Leitung hat die Telekom schon rumgedödelt und sie angeblich für mich verbessert, ohne spürbaren Erfolg.

Hat hier noch jemand eine Idee, bzw. kennt vielleicht jemand das Problem (und die Lösung)?

 

[frank_m24]

Hallo,

Das bringt mich jetzt aber zu einem Punkt mit meinem VPN-Zugang. Das Ganze läuft über Cisco und, so steht es zumindest im Cisco Client, über IPSec.

Cisco hat aber einige halb-proprietäre Erweiterungen, wie z.B. Tunneln von IPSec durch UDP oder TCP, welche die NAT Problematik entschärfen. Der Cisco VPN Client läuft hinter 2 NAT Routern, das kann ich dir versichern, das hab ich selbst schon probiert.

Hat hier noch jemand eine Idee, bzw. kennt vielleicht jemand das Problem (und die Lösung)?

All diese Probleme treten auch schon in der momentanen Konfiguration auf? Was passiert denn mit dem "normalen" Internetverkehr, wenn so eine VPN Unterbrechung auftritt? Kannst du noch im Internet surfen? Tauchen im Ereignis-Log der Fritzbox Verbindungsabbrüche auf? Hast du das Defaultgateway über die VPN Verbindung geleitet? Hast du die Konfiguration im Cisco Client mal von UDP auf TCP verändert? Arbeitet ihr mit Zertifikaten oder mit XAUTH?

Viele Grüße

Frank

 

[eifel_wolf]

Hallo,

ups, das waren viele Informationen und Fragen. Da ich nicht der VPN-Crack bin (noch nicht ...) und bei uns in der Firma nur User, kann ich wahrscheinlich gar nicht alle Adhoc beantworten.

Die Probleme bestehen seit ich den VPN-Zugang habe, und die Konfiguration ist FB als 1. und einzigen Router zwischen mir und dem DSL-Anschluß.

Also, die Internetverbindung ist stabil, zwar nicht der Renner (784 down/160 up, mehr geht nicht hier ...) aber ohne Unterbrechung. Ereignislog ist seit der Zwangstrennung um ca. 5 Uhr leer.

Der Client steht auf UDP, TCP habe ich gerade mal ausprobiert, aber funzt nicht, trotz Portforwarding in FB.

Wir arbeiten wohl über Zertifikate.

Das Defaultgateway: Wie leite ich das über die VPN-Verbindung? Und warum sollte das was ändern, den das Problem ist ja das Abbrechen der VPN-Verbindung.

Sorry wenn ich hier nicht ganz so ergiebig bin ... Ich wäre aber echt froh wenn ich da was biegen könnte, denn jetzt zum Beispiel nerven die Abbrüche echt massiv ...

 

[frank_m24]

Hallo,

Und warum sollte das was ändern, den das Problem ist ja das Abbrechen der VPN-Verbindung.

Das Abbrechen der Internetverbindung könnte die Ursache für das Abbrechen der VPN Verbindung sein. Deshalb die Frage. Deshalb auch die Frage nach dem Internetsurfen während der VPN Unterbrechungen. Geht das noch?

Viele Grüße

Frank

 

[eifel_wolf]

Upps, da haben wir aneinander vorbei geschrieben. Mein "Was sollte das Ändern" bezog sich nur auf die Umstellung des Default-Gateways!

Die Internetverbindung ist konstant da und gefühlt auch ohne "Hänger".