[Frage] Routing über VPN-Tunnel

[ottohahn]

Fehler (kleines p)
Ergebnis:
fritz@fritz-desktop:~$ sudo nmap -sS <dyndns-...> -p80

Starting Nmap 5.00 ( http://nmap.org ) at 2012-01-19 20:29 CET
Interesting ports on xdsl-188-118-130-151.dip.osnanet.de (188.118.130.151):
PORT STATE SERVICE
80/tcp filtered http

Nmap done: 1 IP address (1 host up) scanned in 0.90 seconds

 

[sf3978]

PORT STATE SERVICE
80/tcp filtered http

OK, ist aber kein 100%-iger externer scan. Was wird angezeigt, wenn Du von deinem Linux-PC den scan an die interne IP-Adresse des Webservers machst?

 

[ottohahn]

Ergebnis:

----
fritz@fritz-desktop:~$ sudo nmap -sS 192.168.12.205 -p80

Starting Nmap 5.00 ( http://nmap.org ) at 2012-01-19 20:39 CET
Interesting ports on 192.168.12.205:
PORT STATE SERVICE
80/tcp filtered http

Nmap done: 1 IP address (1 host up) scanned in 1.95 seconds
----

 

[sf3978]

Interesting ports on 192.168.12.205:
PORT STATE SERVICE
80/tcp filtered http

D. h., deine Aussage wonach intern der Zugriff funktioniert, war nicht richtig. Oder warum erreichst Du jetzt, intern den Server nicht? Wie hast Du auf der BoxA die Portweiterleitung gemacht? Auf welchem Port der BoxA, lauscht jetzt der AVM-WEB-IF-Server?

EDIT:

Im 1. Beitrag steht "WEB-Server: 192.168.12.20". Warum jetzt die IP-Adresse 192.168.12.205??

 

[ottohahn]

Ich befinde mich im Netz BoxA und rufe einfach per Browser den WEB-Server über http://192.168.12.205 auf und es funktioniert.
Dann habe ich ein auf BoxA eine Port Forwarding Regel hinzugefügt (tcp 0.0.0.0:80 192.168.12.205:80).

So habe ich das immer gemacht, wenn der WEB-Server im Netz der BOXA war.

Otto

 

[sf3978]

So habe ich das immer gemacht, wenn der WEB-Server im Netz der BOXA war.

Ich habe dich so verstanden, dass es um den Webserver an der BoxB geht. Oder ist dieser z. Zt. down?

 

[ottohahn]

Das ist Richtig! Der Server ist Up und läuft.

Ich befinde mich im Netztwerk BoxA (meine Rechner IP:192.168.0.21) und komme jetzt per per Browser den WEB-Server im Netzwerk BoxB (http://192.168.12.205) ohne Problem.
Meine Idee war, damit ich auch aus dem Internet auf dem WEB-Server komme einfach eine Port Forwarding Regel auf BOXA hinzugefügt (tcp 0.0.0.0:80 192.168.12.205:80). Aber das funktioniert nicht!

Otto

---
"Im 1. Beitrag steht "WEB-Server: 192.168.12.20". Warum jetzt die IP-Adresse 192.168.12.205?? "
Sorry Copy-Past-Fehler; der WEB-Server hat die IP-Adresse 192.168.12.205

 

[sf3978]

Ich befinde mich im Netztwerk BoxA (meine Rechner IP:192.168.0.21) und komme jetzt per per Browser den WEB-Server im Netzwerk BoxB (http://192.168.12.205) ohne Problem.

D. h. mit dem Browser funktioniert es, aber mit nmap wird der Port 80 der IP-Adresse 192.168.12.205, nicht als open gescannt? Warum hat in deinem 1. Beitrag, der Webser an der BoxB, eine andere interne IP-Adresse als jetzt?

 

[ottohahn]

Copy-Past-Fehler! Der WEB-Server hat die IP-Adresse 192.168.12.205

Otto

 

[sf3978]

Mit dem Browser funktioniert es, aber mit nmap wird der Port 80 der IP-Adresse 192.168.12.205, nicht als open gescannt. Warum?

 

[ottohahn]

Mein Linux-System läuft als VM auf einem Rechner im Netzwerk BoxA. Vieleicht liegt das daran?
Ich habe mal auf dem Host-System ein Traceroute auf den WEB-Server gemacht.

U:\>tracert 192.168.12.205

Tracing route to 192.168.12.205 over a maximum of 30 hops

1 4 ms 2 ms 2 ms fritz.box [192.168.0.1]
2 552 ms 570 ms 559 ms 192.168.200.3
3 625 ms 594 ms 592 ms 192.168.12.205

Trace complete.

 

[sf3978]

1 4 ms 2 ms 2 ms fritz.box [192.168.0.1]
2 552 ms 570 ms 559 ms 192.168.200.3
3 625 ms 594 ms 592 ms 192.168.12.205

Was ist 192.168.200.0/24 für ein Netz?

 

[ottohahn]

Das sind die IP-Adressen des OpenVPN-Tunnels (http://freetz.org/wiki/packages/openvpn).
BoxA: 192.168.200.1
BoxB: 192.168.200.3

Hier das Ruting-Table der BoxA
---
Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
188.118.130.150 * 255.255.255.255 UH 2 0 0 dsl
192.168.180.1 * 255.255.255.255 UH 2 0 0 dsl
192.168.180.2 * 255.255.255.255 UH 2 0 0 dsl
192.168.0.50 * 255.255.255.255 UH 2 0 0 dsl
192.168.179.0 * 255.255.255.0 U 0 0 0 guest
192.168.0.0 * 255.255.255.0 U 0 0 0 lan
192.168.200.0 * 255.255.255.0 U 0 0 0 tun0
192.168.12.0 192.168.200.3 255.255.255.0 UG 0 0 0 tun0
192.168.10.0 192.168.200.2 255.255.255.0 UG 0 0 0 tun0
169.254.0.0 * 255.255.0.0 U 0 0 0 lan
default * 0.0.0.0 U 2 0 0 dsl

 

[DualIP]

Ich befinde mich im Netz BoxA und rufe einfach per Browser den WEB-Server über http://192.168.12.205 auf und es funktioniert.
Dann habe ich ein auf BoxA eine Port Forwarding Regel hinzugefügt (tcp 0.0.0.0:80 192.168.12.205:80).
So habe ich das immer gemacht, wenn der WEB-Server im Netz der BOXA war.

That won't work!
Packets going from internet->BoxA->portmapping->Tunnel->BoxB->Webserver will work OK
However, return packets will use default route on BoxB and flow like: Webserver->BoxB->Internet

 

[ottohahn]

That won't work!
...return packets will use default route on BoxB and flow like: Webserver->BoxB->Internet

@DualIP
And the solution for that?
I understood from different articles here in the forum, with iptables will be solve this routing problem. But I am not a specialist for iptables, therefore i ask and need support.

Otto

 

[DualIP]

You could try iptables rule like this on BoxA

iptables -t nat -A POSTROUTING -s ! 192.168.0.0/24 -o tun1 -j SNAT --to-source 192.168.0.123

This replaces source IP address on packets leaving tun1 , but only if source address isn't from local LanA.
Source address is replaced with some reserverd IP address on LanA range, so return packets will get back from B to A over the tunnel

 

[ottohahn]

@DualIP
I just tried to add the rule on the BOXA (7390), but I got following error message:

root@FritzBox_7390:/# iptables -t nat -A POSTROUTING -s ! 192.168.0.0/24 -o tun1 -j SNAT --to-source 192.168.0.123
Using intrapositioned negation (`--option ! this`) is deprecated in favor of extrapositioned (`! --option this`).
iptables v1.4.11.1: can't initialize iptables table `nat': Table does not exist (do you need to insmod?)
Perhaps iptables or your kernel needs to be upgraded.

Otto

 

[sf3978]

iptables v1.4.11.1: can't initialize iptables table `nat': Table does not exist (do you need to insmod?)
Perhaps iptables or your kernel needs to be upgraded.

Schau dir mal fürs Erste, die Ausgaben von:

lsmod | grep nat

und von

find / -iname '*nat*.ko'

auf deiner Box an.

 

[ottohahn]

@sf3978

Das Ergebnis:
---
root@FritzBox_7390:/# lsmod | grep nat
root@FritzBox_7390:/# find / -iname '*nat*.ko'
root@FritzBox_7390:/#
---
Wenn ich das Ergebnis richtig interpretiere fehlt NAT, aber ich habe "[X] iptable_nat.ko " im image angewählt? HAt das was mit der 7390 zu tun?
Otto

 

[sf3978]

HAt das was mit der 7390 zu tun?

Könnte so sein. Ich habe keine 7390. Evtl. kann dir jemand, der die 7390+iptables kennt, helfen.