VPN Client im gleichen Subnetz wie das Ziel VPN

[ThomasH]

Hallo,

ich (Quellnetz) selbst bin im Firmensubnetz 192.168.0.0/24 und baue eine VPN Verbindung zum Zielnetz 192.168.0.0/24 auf, was ja bekanntlich nicht funktionieren soll, aber auf einem meiner PCs eben doch.
Mein VPN Client bekommt die 192.168.0.128, die es in meinem Quellnetz sonst nicht gibt. Ich greife auch auf eine Zieladresse zu 192.168.0.2, die es in meinem Quellnetz nicht gibt. An andere Adressen muss ich nicht ran.
Quellroute 192.168.0.1 Zielrouter .254 (beides Fritzboxen im Originalzustand)
Auf dem Quell-PC, der sich mit dem Ziel VPN verbindet, läuft Shrew als VPN-Client.

Eines der Netze umzubennen geht nicht, da auf jeder Seite mehre Server/NAS .. stehen.
Es funktioniert natürlich auch, wenn man einen Notebook mit dem Gast-WLAN verbindet, aber ich will nicht von einem Notebook arbeiten, von dem ich dann auch wieder keinen Zugriff auf das lokale LAN habe ..

In der c't 2009 Heft 21 Seite 140 und 141 steht hier auch ein kurzer Abschnitt wie man es mittels
route add hinbekommt (leider alles unter linux). Ich verstehe das ganze leider nicht.

Falls jemand das Problem lösen kann, wäre es toll, einen Hinweis zu bekommen.

Die Befehle sind hoffentlich richtig abgetippt:


#Hostroute auf das lokale Gateway: Keine Ahnung ob das der eigen Router sein soll?!
route add -host 192.168.136.1 eth0

#leiten aller Pakete für das Heimnetz hinter dem eigenen VPN Router über das lokale Gateway
route add -host vpn.dyndns.org gw 192.168.136.1

route add -net 192.168.136.0/24 172.16.10.1
#alle Pakete für 192.168.136.0 er netz werden über den Tunnel zum entfernten Gateway (vpn.dyndns.org = 172.16.10.1) geleitet.

vpn.dyndns.org wäre dann vermutlich der FQN (Beispielname) des VPN-Routers am Zielnetz


Ich bekomme schon den ersten Befehl nicht in Windows gebacken, da ich nicht weiss, wie man eine Netzwerkschnittstelle in route add unterbringt und was eine Hostroute ist.

Den zweiten Befehl bekomme ich auch nicht hin, da ich nicht weiss, was mit "gw" gemeint ist.

Wäre toll, wenn jemand helfen könnte, der dass beruflich macht.

Danke im Voraus

 

[amdfreund]

Ohne deine Win version zu kennen könnte dir ja zwischendurch vielleicht auch der Befehl "route /?" helfen.
Ansonsten liest sich Windows: Statische TCP/IP-Route zu Routing-Table adden – so geht’s auch ganz gut.
Wobei das umleiten des gesamten Verkehrs auf den VPN wohl nicht ganz das gewünschte sein dürfte. Damit geht der lokale Zugriff (da selber IP Bereich) verloren.

VPN-Verbindung zur FRITZ!Box mit Shrew Soft VPN Client einrichten | AVM Deutschland

 

[l0n]

Ich hab die Befürchtung das das so nicht funktioniert...

Wenn du mit route add einen statische Route hinzufügst kannst du die zwar auf ein Interface binden (z.B. die VPN Verbindung) aber Windows kann nicht zwischen den Netzen unterscheiden.

192.168.0.0/24 bleibt 192.168.0.0/24, du könntest versuchen zu den einzelnen Hosts zu routen, damit sind die Adressen im lokalen Netz aber nicht mehr erreichbar.

Kannst du sicher kein Netz umbauen? Alles andere endet in Gefrickel und endlosem Troubleshooting wenn was nicht funktioniert.

 

[ThomasH]

Der diesbezügliche C't Artikel ist in Heft 21 Jahr 2009 S 141 1. Spalte. Dort wird dieses Szenario beschrieben. Die werden sicherhlich nicht etwas beschreiben, was nicht funktioniert.

Und es funktioniert bei mir sogar von 192.168.0.0/24 nach 192.168.0.0/24 ohne Routing auf einem Win10 Notebook mit Shrew!

 

[amdfreund]

Wobei warum willst du denn das ganze Netz (/24) umrouten wenn doch nur 2 Adressen erreicht werden sollen? Reichen dann nicht 2 Routen mit irgendwas umdie /30?
Oder wozu überhaupt Routen festlegen, wenn es doch jetzt schon mit der Software funktioniert.

 

[ThomasH]

ja, das würde mir auch reichen. Ich will im Ziel Netz eigentlich nur die eine Adresse 192.168.0.2 erreichen.
Selbst bekomme ich die 192.168.0.128

ich weiss nur nicht, was ich da im route add Befehl angeben soll, weil ich keine Ahnung von roting habe.

D.h., ich müsste hier nur eine Zeile schreiben, aber ich kanns nicht, weil ich nichts von Routing verstehe ..

 

[magicteddy]

Moin,

...Eines der Netze umzubennen geht nicht, da auf jeder Seite mehre Server/NAS .. stehen.

dafür hätte ich jetzt gerne eine Begründung
Mit einer vernünftigen lokalen Namensauflösung sollte das kaum ins Gewicht fallen.

Ich stand vor der selben Problematik und habe letztendlich entschieden das ich auf Frickellösungen keinen Bock hatte und habe meinen LAN Adressbereich geändert. somit läuft das Routing zu mehreren VPN Partnern stressfrei und ohne Klimmzüge.

-teddy

 

[ThomasH]

ich muss 2 mal im Jahr in das entfernte netz für eine h.
Das entfernte Netz kann ich nicht administrieren.

in meinem netz laufen ca. 10 geräte mit festen IPs (netzerkdrucker), diverse Domaincontroller, iOT Komponenten und u.a. 4 Hyper-V hosts mit anderen Netzen und entsprechend gesetzten Routen.
Wenn ich das alles ändere brauche ich Tage. Ich habe nicht mal die 2h Zeit, um mich mal damit zu beschäftigen, wie man eine Hostroute setzt. Bisher habe ich nur komplette Subnetze geroutet.

 

[dirk11]

Sorry, aber dann leb' damit. Wer nutzt denn 192.168.0.0/24!?

 

[ThomasH]

@dirk

Diese Problematik kann einen auch treffen, wenn man ein 192.168.7.0 nutzt und die Gegenstelle auch.

Hast Du übrigens gelesen, dass man diese Problematik im o.g. Artikel mit 3 route add Befehlen gelöst hat.
Das Absetzen dieser befehle dauert 20 Sek.

 

[amdfreund]

Auf dem Quell-PC, der sich mit dem Ziel VPN verbindet, läuft Shrew als VPN-Client.

Diese Software erzeugt doch schon die ganzen Routenumleitungen wie es scheint.

Vielleicht könnte dir ja route(8): show/change IP routing table - Linux man page etwas Befehlsklarheit bringen.

Dann versuch ich mich halt doch daran ohne es testen zu können.
Nr1. sagt dem PC: leite Anfragen auf die genannte ip auf deine Schnittstelle eth0 weiter. Die in Win natürlich anders angesprochen wird "route print" verrät es unter Schnittstellen. Ohne diese Info probiert Win es auf den aktiven einfach durch.
Nr.2 sagt die Internetadesse ab jetzt über den in 1. genannten Weg zu erreichen ist (gateway)
Nr.3 sagt dass der gesamte Netzwerkverkehr für 192.168.136.xxx über die 172er Adresse (entfernter Router / Dyndns dienst) geleitet wird
Die Befehle unterscheiden sich natürlich zwischen den Betreibssystemen.

Unter Win wäre das wohl mit: "route ADD Zielnetz/gerätIP MASK Netzmaske so eng wie möglich TunnelIP-Adesse (von der VPN Software?)" zu versuchen. Und falls es funtioniert dann ein -p vor dem ADD damits Rebootfest wird.

Natürlich sollte durch selbstbeeinflusste Methoden dafür gesorgt werden, daß die VPN-Zieladressen im lokalen Netzwerk nicht vergeben werden, ansonsten enstehen Unerreichbarkeiten...

 

[l0n]

ich muss 2 mal im Jahr in das entfernte netz für eine h.
Das entfernte Netz kann ich nicht administrieren.

in meinem netz laufen ca. 10 geräte mit festen IPs (netzerkdrucker), diverse Domaincontroller, iOT Komponenten und u.a. 4 Hyper-V hosts mit anderen Netzen und entsprechend gesetzten Routen.
Wenn ich das alles ändere brauche ich Tage. Ich habe nicht mal die 2h Zeit, um mich mal damit zu beschäftigen, wie man eine Hostroute setzt. Bisher habe ich nur komplette Subnetze geroutet.

Sorry aber wer so eine Umgebung betreut aber keine Zeit hat sich mit Routing auseinander zu setzen...

Ich bin da bei magicteddy, einmal vernünftig umgesetzt und das ganze ist für immer Stressfrei.

Was machst du denn wenn du plötzlich mehr als diese zwei Adressen im Remote-Netz ansprechen musst? Wieder eine Route bauen?
Da du aber die Fritten erwähnst, für die eine Stunde kannst du dein Endgerät ja auch ins Gastnetz der Fritte hauen, dann sinds getrennte Netze und die Thematik ist vom Tisch.

 

[Digi-Quick]

ja, das würde mir auch reichen. Ich will im Ziel Netz eigentlich nur die eine Adresse 192.168.0.2 erreichen.
Selbst bekomme ich die 192.168.0.2.

Finde den Fehler.....

 

[ThomasH]

Edit: .128

- - - Updated - - -

sorry habs gerade geänder: Selbst bekomme ich die .128

- - - Updated - - -

Sorry aber wer so eine Umgebung betreut aber keine Zeit hat sich mit Routing auseinander zu setzen...

Ich bin da bei magicteddy, einmal vernünftig umgesetzt und das ganze ist für immer Stressfrei.

Was machst du denn wenn du plötzlich mehr als diese zwei Adressen im Remote-Netz ansprechen musst? Wieder eine Route bauen?
Da du aber die Fritten erwähnst, für die eine Stunde kannst du dein Endgerät ja auch ins Gastnetz der Fritte hauen, dann sinds getrennte Netze und die Thematik ist vom Tisch.

Das ich in der Not das Gastnetz der Fritzbox nutzten kann, habe ich oben schon beschrieben. Dann habe ich aber keine Verbindung mehr zu meinem Netz.

Wenn ich plötzlich an zwei Adressen ran muss:

Das ist nicht der Fall, da ich in dem Netz nur an einem Server was machen muss, wo meine Software drauf liegt.
Ich komme aber über den Shrew Client auch an andere IPs in dem Netz ran, wenn die bei mir nicht gerade im eigenen Netz vergeben sind. Wundere mich aber gerade selber darüber das das geht. Sicherlich sollte man sich als Softwareentwickler auch mal mit dem Thema Routing auseinandersetzen.