IP-Adress-Kollision zwischen festen IPs und VPN

[alexandi]

Lösch mal die VPN-Verbindungen und richte sie neu ein. Dann werden auch die IP's für VPN hinter dem DHCP-Bereich angeordnet

 

[Melodoi]

Das war der entscheidende Tip. DANKE!!!

Ich hatte AVM parallel angeschrieben. Die hatten mit nur die Reduzierung des DHCP-Bereiches auf ...200 empfohlen. Dem habe ich nun folgendes geantwortet:

Die Reduzierung des DHCP-Bereiches auf .60 bis .200 war notwendig. Allerdings hätte sich ohne das Löschen der VPN-Verbindung unter Internet - freigaben und VPN nichts getan. Das war zwingend notwendig. Sie sollten dies bei ähnlichen Anfrage mitgeben .

Ich frage mich trotzdem, warum für VPN der Bereich für feste IPs verwendet wird und nicht der für DHCP. Erschließt sich mir nicht.

 

[chrsto]

Weil es dann zu Konflikten kommen kann. Die IP innerhalb des DHCP Bereichs könnte dann sowohl für das VPN, also auch für einen Client im LAN vergeben werden.

 

[Melodoi]

Aber sollte das nicht genau ein DHCP-Server verhindern?

 

[chrsto]

Nein, da in dem Fall möglicherweise nicht nur der DHCP die IP Adressen vergibt, sondern auch der VPN Server. Und der weiß vermutlich gar nicht, dass die IP, die er gerade vergeben möchte, vor 5 Minuten schon vom DHCP vergeben wurde.

 

[Deleted member 465500]

Au contraire, die VPN-IP-Adressen werden schon bei der Einrichtung fest vergeben mit DCHP-Ende+1 beginnend.
Das stellt man fest, wenn man mal mit einem Portscanner sein Netzwerk scannt und - ohne bestehende VPN-Verbindungen - seltsame mehrfache MAC-Adressen bekommt. Schaltet man den DHCP-Server ab, weil man z.B. seinen eigenen verwenden will, beginnen die VPN-IPs bei .128. Zumindest war das so, als ich noch bewusst IKEv1 verwendet habe (vor der Pandemie).
Andere Router wie Drayteks Vigor3910 machen das etwas besser, indem die gleich einen IP Pool verlangen für die Einwahl-VPN-Verbindungen, was dann aber auch Mehrfacheinwahlen ermöglicht und eine tatsächlich funktionierende Namensauflösung.

 

[chrsto]

Bezieht sich deine Antwort auf meinen Beitrag? Dann verstehe ich sie nicht. Die Frage war, warum die IPs für VPN außerhalb des DHCP Bereichs liegen.
Ich schreibe dazu: "Die VPN IPs werden außerhalb des DHCP Bereichs gelegt, damit es nicht zu Konflikten kommt.".
Du schreibst: "Im Gegenteil, die VPN IP werden fest vergeben und zwar DHCP Ende+1.".

Wo ist da der Unterschied?

 

[NDiIPP]

Ich frage mich trotzdem, warum für VPN der Bereich für feste IPs verwendet wird und nicht der für DHCP.

Zum Glück! Würde mich nerven/stören, wenn für VPN-Verbindungen Adressen aus dem DHCP-Bereich verwendet werden würden. Bin froh, das dazu Adressen verwendet werden die eben gerade nicht im DHCP-Bereich liegen.

BTW:
Ich verwende für "feste" bzw. selbst vergebene IP-Adressen (auch wenn sie vom DHCP der Fritzbox vergeben werden) IP-Adressen die unterhalb des eingestellten DHCP-Bereich liegen (weshalb der DHCP-Bereich bei mir auch nicht bei .20 beginnt sondern bei >.100) und für VPN und u.a. auch VMs IP-Adressen die oberhalb des DHCP-Bereich liegen.

 

[Code-Guard]

Es ist bei der FRITZ!Box genau umgekehrt, wie hier im Thread geschrieben wird und deshalb klappt das auch bei niemanden. Die IP-Adressenvergabe für VPN-Verbindungen erfolgt nicht im DHCP-Bereich! Richtig ist, die FRITZ!Box vergibt für jede VPN-Verbindung eine feste IP-Adresse, die man nicht direkt einstellen kann. Diese IP-Adresse liegt aber außerhalb des DHCP-Bereiches. Hat man diesen zum Beispiel von 192.168.178.100 bis 192.168.178.255 eingestellt. So wird für die VPN-Verbindung die erste freie IP-Adresse von Beginn an, also zum Beispiel 192.168.178.2 vergeben. Dies kann zu IP-Adressen-Konflikten führen, wenn diese bereits fest vergeben ist, da die FRITZ!Box darauf keine Rücksicht nimmt. Um die Vergabe der IP-Adressen für VPN-Verbindungen zu steuern, bzw. diese an das Ende des IP-Bereiches z.B. ab 192.168.178.241 zu legen. richtet man zunächst alle gewünschten VPN-Verbindungen ein. Danach stellt man den DHCP-Bereich von 192.168.178.2 bis 192.168.179.240 ein, da 192.168.178.1 in der Regel von der FRITZ!Box belegt ist. Nun ändert die FRITZ!Box direkt die IP-Adressen für die eingerichteten VPN-Verbindungen auf 192.168.178.241 und fortfolgende. Danach kann man den DHCP-Bereich wieder nach Belieben anpassen, zum Beispiel von 192.168.178.100 bis 192.168.178.240. Wichtig ist nur, dass der DHCP-Bereich auch zuknüftig nicht den Bereich ab 192.168.178.241 umfasst, da sonst wieder die IP-Adressen für die VPN-Verbindungen auf die IP-Adressen vor dem DCHP-Bereich verlagert werden.

 

[chrsto]

Ich kann hier niemanden finden, der behauptet, dass die IP Adressen des VPNs aus dem Pool des DHCP vergeben werden.

 

[Code-Guard]

Nein, da in dem Fall möglicherweise nicht nur der DHCP die IP Adressen vergibt, sondern auch der VPN Server. Und der weiß vermutlich gar nicht, dass die IP, die er gerade vergeben möchte, vor 5 Minuten schon vom DHCP vergeben wurde.

?

 

[chrsto]

Wenn du den Verlauf noch einmal sorgfältig liest, wirst du feststellen, dass das eine Erklärung dafür gewesen ist, warum eben nicht der DHCP Bereich verwendet wird.

 

[Theo Tintensich]

Es ist bei der FRITZ!Box genau umgekehrt, wie hier im Thread geschrieben wird und deshalb klappt das auch bei niemanden.

Die IP-Vergabe bei Wireguard erfolgt anders als bei der alten VPN-Lösung mittels IPsec, IPsec nutze die IPs oberhalb des DHCP Bereichs, Wireguard nimmt freie IPs, für welche bei der F!B keine anderen Geräte bekannt sind.
Was, wenn man die IP-Adress-Vergabe nicht über die F!B macht, dann auch zu Doppelungen führen kann.

 

[Erforderlich]

Hier habe ich meine Wireguard-VPNs alle hübsch und fest auf den Adressen oberhalb vom Adressbereich des DHCPv4-Servers, also .201 ... 206.

 

[Theo Tintensich]

Hier habe ich meine Wireguard-VPNs alle hübsch und fest auf den Adressen oberhalb vom Adressbereich des DHCPv4-Servers

Da bei mir nur bekannte Geräte ins Netz kommen, wäre eine IP-Vergabe der eingewählten Geräte per DHCP sehr schön.
Doch das funktioniert nicht, DHCP macht bei mir nicht die F!B, und beim Wireguard wurde dem (bisher einzigen) mobilen Client eine IP zugewiesen, die eben nicht dieser gelegentlich mobile Client in meinem lokalen Netz hat.
Irgendwie war OpenVPN und VPN-IPs aus einem anderen Netz, einfacher.