LAN-LAN-Kopplung und DNS Namensauflösung 1621 1722

[Hagen2000]

Hallo zusammen,

leider habe ich über die Suche hier noch nicht das richtige gefunden.

Wir betreiben ein VPN zwischen zwei Firmenstandorten mit unterschiedlichen Subnetzen. Nun soll auch die gegenseitige Namensauflösung über DNS eingerichtet werden. Wir haben folgende Domains: firma1.local und firma2.local
Die beiden Router (ein 1621 und ein 1722) sind jeweils DNS-Server in ihrem eigenen Subnetz.
Wir haben jeweils DNS-Weiterleitungen eingerichtet (in der Form *.firma1.local GEGENSTELLE2 und umgekehrt), allerdings hat das noch nicht zum Erfolg geführt.
Was muss alles eingerichtet werden, um die gegenseitige Namensauflösung zu ermöglichen?
Was muss in der Firewall/VPN-Konfiguration eingeschaltet werden (bzw. darf nicht gefiltert werden), damit das funktioniert?
Vielen Dank im voraus für jeden Hinweis!

[backslash]

Hi Hagen2000,

Was muss alles eingerichtet werden, um die gegenseitige Namensauflösung zu ermöglichen?

kennt das LANCOM denn auch den in der Gegenstelle gültigen DNS-Server? Wenn die LAN-LAN-Kopplung per dynamic-VPN erfolgt ist, dann wird während der Verhandlung der DNS-Server übermittelt. Wenn aber kein dynmaic VPN genutzt wird, dann mußt du dem LANCOM die IP-Adresse des DNS-Servers mitteilen. Dazu erstellst du in der IP-Parameterliste (Kommunikation -> Protokolle -> IP-Parameter) einen Eintrag für die VPN-Verbindung und trägst dort den DNS-Server der Gegenstelle ein (also die Intranet-IP des entfernten LANCOMs)

Was muss in der Firewall/VPN-Konfiguration eingeschaltet werden (bzw. darf nicht gefiltert werden), damit das funktioniert?

Auf der VPN-Strecke darf DNS nicht gefiltert werden

Gruß
Backslash

[Hagen2000]

Hallo Backslash,

beide Router registrieren sich bei DynDNS und bauen dann über Ihren "offiziellen Namen" die Verbindung auf. Meinst Du das mit "dynamic-VPN" oder ist damit der spezielle LANCOM-dynamic-VPN-Mechanismus gemeint? Letzteren benutzen wir nicht.

kennt das LANCOM denn auch den in der Gegenstelle gültigen DNS-Server?

Ich dachte, dass ich das mit der erwähnten DNS-Weiterleitung bewerkstelligt hätte.

Muss ich die DNS-Weiterleitung zusätzlich zu den von Dir erwähnten IP-Parametern aufsetzen oder ist das überflüssig oder gar falsch?

[backslash]

Hi Hagen2000

beide Router registrieren sich bei DynDNS und bauen dann über Ihren "offiziellen Namen" die Verbindung auf. Meinst Du das mit "dynamic-VPN" oder ist damit der spezielle LANCOM-dynamic-VPN-Mechanismus gemeint? Letzteren benutzen wir nicht.

Letzterer war gemeint...

Ich dachte, dass ich das mit der erwähnten DNS-Weiterleitung bewerkstelligt hätte.

mit der DNS-Weiterleitung sagst du dem LANCOM erstmal nur, auf welche Gegenstelle es die Anfragen senden soll, das LANCOM muß aber wissen, welche IP-Adresse der DNS-Server der Gegenstelle hat - und die erfährt es entweder durch Übermittlung in einer DHCP-, PPP- bzw. dynamic-VPN-Verhandlung oder über den Eintrag in der IP-Parameterliste

Muss ich die DNS-Weiterleitung zusätzlich zu den von Dir erwähnten IP-Parametern aufsetzen oder ist das überflüssig oder gar falsch?

Du mußt beides eintragen - du könntest bei der Weiterleitung statt der Gegenstelle auch direkt die IP-Adresse des zuständigen DNS-Servers angeben, dann kannst du dir den Eintrag in der IP-Parameterliste sparen

Gruß
Backslash

[Hagen2000]

Hallo Backslash,

vielen Dank, das war es, jetzt funktioniert alles prima!
Ohne dieses Forum wäre das allerdings - trotz der umfangreichen Dokumentation zu LCOS - nicht möglich gewesen... Es bleiben einfach zu viele Details unerwähnt.

[Hagen2000]

Nachtrag wegen neuerer LCOS-Versionen für andere User, die ähnliche Probleme haben.

Das hier dokumentierte Verfahren funktioniert für LCOS-Versionen ab ca. 8.00 nicht mehr!
Der Eintrag in der IP-Parameterliste führt zum völligen Ausfall des DNS zwischen beiden Standorten.
Abhilfe schafft folgende Empfehlung der Firma Lancom:

Ist das entfernte Netz bspw.

Code: Alles auswählen

192.168.1.0/24

, so wird für das Reverse-DNS eine weitere DNS-Weiterleitung der Form

Code: Alles auswählen

*.1.168.192.in-addr.arpa

an die entsprechende Gegenstelle angelegt!
Dieses Verfahren ist allerdings etwas unelegant, wenn die Subnetzmasken nicht mit Byte-Grenzen übereinstimmen. Entweder erstellt man dann mehrere Regeln oder lebt damit, dass ggf. "zuviele" Anfragen an den gegenüberliegenden DNS-Server weitergeleitet werden (sofern sich das durch Netzüberschneidungen nicht verbietet). Das es sich bei der VPN-Kopplung ja normalerweise immer um private Netzwerkadressen handelt, läuft man zumindest nicht Gefahr, offizielle IP-Adressen zum falschen DNS-Server weiter zu leiten.