Inetverkehr durch VPN-Tunnel routen

capricorn72 · Beitrag von **capricorn72** » 20 Nov 2006, 22:20

Hallo zusammen!

Mal ein sehr untypisches Vorhaben:
2 Sites
Site A: Netz 192.168.2.0 /24 mit Lancom 8011 an 4 MBit SHDSL
Site B: Netz 192.168.1.0 /24 mit Lancom 1811 an 2 MBit SDSL
beide per IPSec VPN verbunden

Nun soll der gesamte Internetverkehr von Site B: über die VPN-Verbindung nach Site B geroutet werden und dort ins Internet gelange. Hintergrund ist, dass die IP-Adresse von Site B nicht bei Webshops auftauchen darf sondern nur die IP-Adresse von Site A. Daher ist auch der Inetverkehr bei Site B gesperrt und nur Traffic durch den VPN-Tunnel erlaubt.
Wie kann ich nun per getaggter Route festlegen dass der gesamte Inetverkehr von Site B über Site A ins Internet geleitet wird?
Und vor allem wie sieht es mit dem generellen Routen aus? Rückroute erforderlich? Oder ist das überhaupt nicht realisierbar?
Wer kann helfen? Danke im Voraus!

Grüße

Capricorn72

eddia · Beitrag von **eddia** » 21 Nov 2006, 18:56

Hallo Capricorn72,

Nun soll der gesamte Internetverkehr von Site B: über die VPN-Verbindung nach Site B geroutet werden und dort ins Internet gelange.

falls Du 'von Site B: über die VPN-Verbindung nach Site A' meinst, muss folgendes gemacht werden:

Zuerst muss die VPN-Regel in Site A erweitert werden, damit Site B überhaupt weitere Netze (also alle Netze im Internet) kontaktieren darf. Dazu eine neue Firewall-Regel anlegen, "Diese Regel ist für die Firewall aktiv" deaktivieren und "wird zur Erzeugung von VPN-Regeln herangezogen" aktivieren. Aktion natürlich übertragen. Bei Stationen: Quelle alle Stationen, Ziel Site B. Dienste: alle Protokolle.

Dann muss Site B gesagt werden, dass er alles über Site A routet. Dazu im IP-Router die default route (255.255.255.255 0.0.0.0) von Deinem SDSL-Provider auf die Gegenstelle Site A ändern und die IP-Maskierung abschalten.

Zuletzt noch DNS in Site B anpassen. Falls der Lancom in Site B DNS-Server für das Internet spielt, dort unter DNS -> Weiterleitungen einen neuen Eintrag erzeugen: Domäne * und als Gegenstelle die IP-Adresse (nicht den Gegenstellennamen!) eines DNS-Servers in Site A angeben, welcher dort die Namensauflösung fürs Internet übernimmt - also wahrscheinlich der Lancom in Site A.

Gruß

Mario

backslash · Beitrag von **backslash** » 21 Nov 2006, 19:33

Hi eddia,

ganz so funktioniert's nicht...

in Site B muß eine Route zur öffentlichen Adresse des LANCOMs A eingetragen werden, die auf den SDSL-Provider zeigt.

Hat LANCOM A eine dyndns-Adresse, dann muß eine getaggte Default-Router her (da LANCOM A je jede beliebige Adresse haben kann):

Code: Alles auswählen

IP-Addresse:   255.255.255.255
Netzmaske:     0.0.0.0
Routing-Tag:   1
Router:        INTERNET (oder wie auch immer die SDSL-gegenstelle heißt)
IP-Maskierung: Intranet und DMZ maskieren

und ein DNS-Forwarding-Eintrag für den dyndns-Namen zum SDSL-Provider (sonst gibt es ein "Henne und Ei" Problem):

Code: Alles auswählen

Domäne:        lancoma.dyndns.org
Gegenstelle:   INTERNET (oder wie auch immer die SDSL-Gegenstelle heißt)

Das Tag der getaggten Route trägst du dann noch bei der VPN-Verbindung als ein:

Code: Alles auswählen

Name der Verbindung:  VPN-A
Haltezeit:            nach belieben
Dead Peer Detection:  30
Extranet-Adresse:     0.0.0.0
Entferntes Gateway:   lancoma.dyndns.org

(...)

Routing-Tag:          1

Damit sollte es funktionieren

Gruß
Guido

eddia · Beitrag von **eddia** » 21 Nov 2006, 19:55

Hallo Guido,

ganz so funktioniert's nicht...

falls ich den OP richtig verstanden habe, soll sämtlicher Zugriff ins Internet von Site B über die VPN-Verbindung zu Site A abgewickelt werden. Und mit meiner Beschreibung funktioniert das auch genauso.

Warum Du hier eine Route auf das öffentliche Interface von Site A setzen willst, um warum Du überhaupt DynDNS erwähnst, ist mir nicht erklärbar.

Gruß

Mario

Jirka · Beitrag von **Jirka** » 22 Nov 2006, 01:09

Hallo,

ich habe das auch mal so gemacht, wie Mario das beschrieben hat.
Ich hatte mich dabei sinngemäß an diese Anleitung gehalten: http://www2.lancom.de/kb.nsf/a5ddf48173 ... vpn,German

So untypisch finde ich das Vorhaben gar nicht ...

Viele Grüße,
Jirka

backslash · Beitrag von **backslash** » 22 Nov 2006, 14:15

Hi eddia,

Und mit meiner Beschreibung funktioniert das auch genauso.

nein, das kann so nicht funktionieren, weil in deiner Beschreibung die Route zur öffentlichen Adresse von A fehlt.

Warum Du hier eine Route auf das öffentliche Interface von Site A setzen willst

Ohne müßte der Tunnel zu A über den noch nicht bestehenden Tunnel zu A ausgehandelt werden - du siehst das Problem?

um warum Du überhaupt DynDNS erwähnst, ist mir nicht erklärbar.

Weil capricorn72 nicht gesagt hat, ob er feste oder dynamische Adressen hat - obwohl bei SDSL sind feste Adressen eigentlich üblich...

Gruß
Backslash

eddia · Beitrag von **eddia** » 22 Nov 2006, 20:47

Hallo Backslash,

Ohne müßte der Tunnel zu A über den noch nicht bestehenden Tunnel zu A ausgehandelt werden - du siehst das Problem?

da hast Du natürlich recht. An die Aushandlung des Tunnels hatte ich nicht gedacht. Komisch ist nur, dass bei bestehender VPN-Verbindung diese Route nicht notwendig ist. Aber auch da sollte doch eigentlich die öffentliche IP von Site A über die Internetverbindung erreichbar sein müssen?

Gruß

Mario

capricorn72 · Beitrag von **capricorn72** » 23 Nov 2006, 08:39

Hallo Leute!

Bitte nicht verwirren lassen. Es handelt sich hier nicht nur um den Verkehr ins andere LAN sondern um den kompletten Verkehr (LAN und Internet). Und wie Backslash schon richtig erkannt hat, SDSL hat wie üblich feste IP-Adressen. Ich kenne auch keinen Provider der dies nicht anbietet.
Also was ich gerade noch gesehen habe ist dass ich einen Schreibfehler drin habe. Nicht von Site B nach Site B soll geroutet werden sondern von B nach Site A, logisch!

Gruß

Capricorn72

eddia · Beitrag von **eddia** » 23 Nov 2006, 19:31

Hallo,

bitte auf keinen Fall den obigen Vorschlag umsetzen! Sobald man die default route auf die VPN-Verbindung umbiegt, reagiert der Lancom mit einem os_panic, der unmittelbar nach dem Booten in einer Endlosschleife immer wieder auftritt. Die Wiederherstellung der Funktion des Lancoms ist zwar möglich - aber das muss man sich ja nicht antun.

Gruß

Mario

backslash · Beitrag von **backslash** » 23 Nov 2006, 19:38

Hi eddia,

Sobald man die default route auf die VPN-Verbindung umbiegt, reagiert der Lancom mit einem os_panic,

ja, aber nur wenn man die Route zur öffentlichen IP des anderen LANCOMs vergißt (Henne und Ei...)

Gruß
Backslash

eddia · Beitrag von **eddia** » 23 Nov 2006, 19:54

Hallo Backslash,

ja, aber nur wenn man die Route zur öffentlichen IP des anderen LANCOMs vergißt (Henne und Ei...)

als gebranntes Kind habe ich natürlich Deinen Hinweis berücksichtigt und auch diese Route vorher eingestellt. Das Ergebnis ist das selbe (an zwei unterschiedlichen Lancoms - probier es aus.

Gruß

Mario

ittk · Beitrag von **ittk** » 24 Nov 2006, 15:23

Hallo capricorn72 ,

es ist doch nichts anderes als ein All-Tunneling, was auf VPN-Client Seite ohne Probleme moeglich ist.

Die Idee kam mir auch schon desoeferen einfach die Default-Route des LANCOm (als Router) vom Eintrag auf den ISP auf die VPN-Gegenstelle abzuaendern, um auch bei einer LAN-LAN Koppelung ein All-Tunneling zu erzielen, das capricorn72 einrichten moechte. Sprich er moechte, dass saemtliche Pakete ueber den Tunnel geroutet werden.

@eddia welche Default-Routen hast du den bei dir eingetragen?

eddia · Beitrag von **eddia** » 24 Nov 2006, 18:51

Hallo Backslash,

a, aber nur wenn man die Route zur öffentlichen IP des anderen LANCOMs vergißt (Henne und Ei...)

hab das heute noch mal ausprobiert und Du hast wieder Recht. Mit dieser Route gibt es keine Probleme. Ich frag mich nur, warum das gestern nicht funktioniert hat.

Sorry für die Panikmache.

So wie es aussieht, ist Dir das Problem mit dem os_panic bei fehlender hostroute aber bekannt(?)

Gruß

Mario

Beitrag von **LoUiS** » 24 Nov 2006, 21:11

So wie es aussieht, ist Dir das Problem mit dem os_panic bei fehlender hostroute aber bekannt(?)

Ja, ich habs ja schon mit den os_panics als Bug eingetragen.

Ciao
LoUiS

komlet · Beitrag von **komlet** » 28 Nov 2006, 01:40

backslash hat geschrieben:Hi eddia,

ganz so funktioniert's nicht...

in Site B muß eine Route zur öffentlichen Adresse des LANCOMs A eingetragen werden, die auf den SDSL-Provider zeigt.

Hat LANCOM A eine dyndns-Adresse, dann muß eine getaggte Default-Router her (da LANCOM A je jede beliebige Adresse haben kann):
Code: Alles auswählen
IP-Addresse:   255.255.255.255
Netzmaske:     0.0.0.0
Routing-Tag:   1
Router:        INTERNET (oder wie auch immer die SDSL-gegenstelle heißt)
IP-Maskierung: Intranet und DMZ maskieren
und ein DNS-Forwarding-Eintrag für den dyndns-Namen zum SDSL-Provider (sonst gibt es ein "Henne und Ei" Problem):
Code: Alles auswählen
Domäne:        lancoma.dyndns.org
Gegenstelle:   INTERNET (oder wie auch immer die SDSL-Gegenstelle heißt)
Das Tag der getaggten Route trägst du dann noch bei der VPN-Verbindung als ein:
Code: Alles auswählen
Name der Verbindung:  VPN-A
Haltezeit:            nach belieben
Dead Peer Detection:  30
Extranet-Adresse:     0.0.0.0
Entferntes Gateway:   lancoma.dyndns.org

(...)

Routing-Tag:          1
Damit sollte es funktionieren

Gruß
Guido

danke, das hat mir echt weitergeholfen