Mit VPN Client durch HT486

[tpmjg]

Ich möchte mit einer auf meinem PC als VPN Client definierten Verbindung durch den ATA486 Router hindurch auf einen Remote VPN-Router zugreifen.

Dies klappt jedoch nur, wenn ich die IP des lokalen PC als DMZ Rechner in der ATA Konfiguration eintrage. Damit ist er dann aber schutzlos der Außenwelt ausgeliefert (abgesehen von einer personal Firewall), obwohl er eigentlich keine Funktion eines typischerweise in einer DMZ angesiedelten Servers übernehmen soll.

Da der für VPN Verbindungen benutze Eingangs-Port auf Client-Seite nicht fest vorgegeben ist, sondern aus einem Spektrum, das irgendwo zwischen 2000 und 2500 liegt, dynamisch vergeben wird, nützt auch die Möglichkeit des Forwardings einzelner Ports nichts.

Hat jemand noch eine bessere Idee, oder ist das auch mal wieder etwas viel verlangt von der kleinen Kiste?

Na ja, wenn nicht spätestens das nächste Firmware-Release die Probleme mit den korrupten Downloads löst, werde ich das Ding sowieso als Router abschreiben und auch nur noch hinter einem "richten" Router verwenden.

 

[otaku42]

Das ist ein NAT-Problem, wuerde ich sagen. Mit welchem Protokoll arbeitet euer VPN?

 

[tpmjg]

Es ist auf Client-Seite der ganz normale VPN-Tunnel, den man unter Windows konfigurieren kann (Auswahl "Verbindung mit einem privaten Netzwerk über das Internet herstellen"). Der Typ des VPN-Servers wird dabei automatisch ermittelt, wobei ich glaube, dass es in dem Falle ein Server mit PPTP ist.

Werden asugehende Verbindungen nicht auch bei Konfiguration meines Clients als DMZ-Rechner in der ATA-Router-Konfiguration immer noch geNATtet? Lediglich die von außen hereinkommenden Verbindungen werden dann ja direkt auf den entsprechenden Port und die IP des DMZ-Rechners durchgeroutet.

Vermutlich ist es für VPN-Verbindungen erforderlich, dass auch der Remote Server von sich aus TCP-Pakete in Richtung eines dafür aufgemachten Port meines Clients schicken kann.

Ich denke, dass es Router gibt, die entsprechend intelligent sind, um den beim Aufbau einer VPN-Verbindung ausgehandelten Port für eingehende Pakete für die Dauer der Verbindung durchzurouten. Das ICS (Internet Verbindungsfreigabe) von Windows 2000/XP kann dies z.B. auch und das ist ja auch eine Art von NAT Routing. Ein Rechner aus dem lokalen Netz, der über den als Router fungierenden ICS PC eine VPN-Verbindung zu einem entfernten VPN Server aufbaut, kann dies tun, ohne dass man an der ICS Konfiguration irgendetwas spezielles für den Client PC freischalten muss.

Diese "Intelligenz" vom HT486 zu erwarten, ist aber wohl nicht angebracht...