Grundsätzliche Frage zum VPN

[robotroonie]

Bin erst neu in der Thematik.
Habe 3 Standorte mit jeweils DSL6000 und lancom 1721VPN(dyndns)
Externer Zugriff läuft; 2 Standorte bisher gekoppelt (die anderen 2 Kopplungen hapern noch irgendwo).

> Muss ich für jeden externen (gleichzeitigen) Zugriff einen separaten Zugang (Nutzer) anlegen? Oder kann ich mich mit dem gleichen Nutzer zum selben Zeitpunkt mehrfach auf den gleichen Router verbinden (von verschiedenen externen Standorten/IPs)?
> Wie ist das mit der "internen IP" (IP des Zielnetzes), die man in manchen Konfigurationsschritten angeben muss. Die sollte doch sicher unique sein (nicht 2 Einwähler mit gleicher IP). An welchen Stellen in der Konfiguration wäre das überall zu ändern?

[backslash]

Hi robotroonie

> Muss ich für jeden externen (gleichzeitigen) Zugriff einen separaten Zugang (Nutzer) anlegen?

ja,

Oder kann ich mich mit dem gleichen Nutzer zum selben Zeitpunkt mehrfach auf den gleichen Router verbinden (von verschiedenen externen Standorten/IPs)?

nein - du kannst dir nur die Arbeit erleichtern, indem du mit Zertifikaten arbeitest und die "Vereinfachte Einwahl mit Zertifikaten" aktivierst. Das ändert aber nichts daran, daß jeder User sein eigenes Zertifikat braucht und sich auch nur einmal einwählen kann.

> Wie ist das mit der "internen IP" (IP des Zielnetzes), die man in manchen Konfigurationsschritten angeben muss. Die sollte doch sicher unique sein (nicht 2 Einwähler mit gleicher IP).

genau - aber das kannst du eh nicht konfigurieren (da ein neuer Eintrage den alten überschreiben würde...).

An welchen Stellen in der Konfiguration wäre das überall zu ändern?

Das änderst du in der IP-Routing-Tabelle (und im Client). Sinnvoller ist es allerdings mit dem WAN-Adreßpool zu arbeiten (was bei der "vereinfachten Einwal" eh der Fall ist).

Das einzige Problem bei der vereinfachten Einwahl ist, daß diese Clients nur das lokale Netz sehen, aber keine weiteren Netze. Wenn sie weitere Netze sehen sollen, dann mußt du alles von Hand konfigurieren. Lies dir dazu am besten mal das Referenzhandbuch durch...

Gruß
Backslash

[robotroonie]

Vielen Dank für die schnelle Antwort.

Also kann man keinen generellen VPN-User (für alle) einrichten, sondern muss jede tatsächliche Person sowohl auf dem Router als auch auf jedem genutzten externen Client eintragen.
Gibt es vielleicht eine Möglichkeit, die Kfg des Clients auf einem Stick abzulegen, so dass auf dem jeweiligen AP nur die Grundinstallation des Clients (inkl. Nw-Treiber) erfolgen muss und für die Daten der Verbindung dann auf den Stick zugegriffen wird?

Habe nun erst mal ein anderes Prob:
War vorhin per VPN in Berlin (300km von hier) und am Router konfigurieren. Vor Ort ging das Inet nicht und so wurde der Router hart netzresettet. Ich hoffe, dass das nicht gerade während des Schreibens der config war. Inet geht nun trotzdem nicht dort. Ich habe die neue IP nicht und komme nicht drauf. .-(
Mal schauen

[ittk]

klar kannst du ein x509 zertifikat auf einem stick ablegen aber ich würde einen etoken empfehlen.

hast du die möglichkeit dich auf dem router per isdn einzuwählen?

[eddia]

Hallo ittk,

klar kannst du ein x509 zertifikat auf einem stick ablegen aber ich würde einen etoken empfehlen.

für ein Zertifikat? Oder meintest Du eher den privaten Schlüssel, der mit dem öffentlichen Schlüssel des Zertifikatsinhabers einhergeht?

Gruß

Mario

[robotroonie]

Das Berlin-Problem konnte ich lösen (per Telefon Anweisungen zum Einspielen alter Kfg-Sicherung angewiesen).
Die Ursache des Problems bestand darin, dass der Router nur sporadisch erreichbar war (50-100% packet loss). Warum das aber mit der vorherigen Kfg wieder geht? kA
Kaum war das gelöst, DSL-Ausfall am Hauptstandort (über den die Mails für alle laufen). War aber ein reines Telekom-Problem und ist nun gelöst.
Kann mich somit von extern auf alle 3 Netze per VPN verbinden.