2 lancom office DSL/I-1611 über die WAN Seite verbinden

[Franky]

Hallo,

Habe folgendes problem:
2 lancom - LC_08 auf der lanseite 192.168.8.0/24
LC_97 192.168.7.0/24 auf der lanseite

ich möchte lediglich das sich die rechner im einem lan zum anderen lan verbinden können.

habs schon mit dem tollen assistenten versucht der beim lantool dabei ist
(zwei lokale netzwerke miteinander verbinden), der ist aber anscheinend nur für die verbindung über die isdn schnittstelle?!?

Habs dann auch händisch versucht einzutragen - aber auch keinen erfolg gehabtjavascript:emoticon(':(')
Sad

Hat jemand eine beispielkonfiguration für mich oder kann mir jemand tips geben?

lf franz

[LoUiS]

Hallo Franz,

Wenn Du zwei lokale Netze ueber das Internet verbinden moechtest, dann musst Du dies ueber VPN tun. Ein paar mehr Details zu Deinen Geraeten welche Firmware Version darin arbeitet, waeren recht nuetzlich um Dir zu helfen.


Ciao
LoUiS

[Franky]

hallo

habe die firmware ver 4.00.0067
es müsste ja eigentlich auch funktionieren das man die bei den router über die lan seite irgendwie verbindet (könnte ich mir vorstellen,wäre dann auch schneller).
diese beiden router sollen in unserer firma stehen und lediglich ein transvernetz zum einbinden von laptops schaffen, damit sie nicht direkt
auf unser firmennetz zugreifen.

vorgestellt habe ich mir das ungefär so:
netz der laptops : 192.168.7.0 routeradresse lanseite:192.168.7.39
firmennetz ist 192.168.8.0 dort ist der zweite lancom drin mit 192.168.8.39
ich müsste den beiden router nur klar machen das wenn eine anfrage auf das jeweils andere netz kommt das er sie auch dort hin schickt.

ich habs so probiert:
beim 8.0er netz:
kommunikationslayer:name lc_07 (Encabsulation ETH /layer3:transp./L2: Transp./option:keine/layer1: ETH
ip-Parameter:
gegenstelle lc_07 / ipadresse 192.168.8.39/24 /Gateway 192.168.8.39
routing tabelle:ip Adresse : 192.168.7.0/24 Router: lc_07 Dist. 2

hoffe ich habe mich irgendwie verständlich ausgedrückt

lg franz

[eddia]

Hallo Franz,

hoffe ich habe mich irgendwie verständlich ausgedrückt

Absolut nicht! Mach mal eine Skizze, wie Dein Netz aussieht.

Gruß

Mario

[hexa]

Hiho;

Wenn ich das nun richtig verstanden habe .....

Du hast 2 Netze und möchtest diese Per VPN koppeln.
Das eine Netz hat den IP-Bereich 192.168.8.0/24 (ZENTRALE)
Das andere Netz het den IP-Bereich 192.168.7.0/24 (CLIENT)

Beide Router sind (so setze ich einfach mal voraus) mit DSL ans Internet angebunden, mit aktueller Firmware ausgestattet, und die Geräte können VPN (1811, DSL/I-1611, etc).

Ich würde folgendermaßen vorgehen:
Ich baue mit einen (eventuell auch 2) Accounts bei DynDNS für die beiden Rotuer. Nennen wie die beiden mal XY1.DynDNS.org (für das 7er Netz) und XY2.DynDNS.org (für das 8er Netz).

Im LANconfig dann:
Für das 8er Netz (da, wo der andere Router hinverbinden soll - Firmennetz):
Rechte Maustaste auf den Router -> Setup-Assistent
-> zwei Lokale Netze verbinden (auch VPN)
-> VPN über eine Internet-Verbindung
-> Über ISDN-Verbindung (irrelevant, wenn du den anderen Punkt nutzt)
-> "Ich verfüge über eine feste IP oder einen DNS-auflösbaren Namen" und "Die Gegenseite hat eine dynamische IP-Adresse"
-> Eigener Bezeicher: XY2
-> Name der Gegenstelle: XY1 (Rufnummer und Ankommende Nummer frei jeweils '0' oder aber eine echte Rufnummer der Gegenstelle)
-> PPP-Passwort: XY1-ganz-geheim - Shared-Secret: auch-ganz-geheim
-> Optimierter Verbindungsaufbau
-> VPN-Haltezeit: 9999
-> Netz der Gegenstelle: 192.168.7.0 / Mask: 255.255.255.0 / Weiterleitung: *.
-> Maskierung: nein
-> NetBIOS over TCP: (Ja oder Nein - musst du wissen)
-> Für welche Arbeitsgruppe: <leer lassen> (Wird gefragt, wenn du NetBIOS aktiviert hast)
-> FERTIGSTELLEN

Das war die ZENTRALE.

Dann zum Client, der verbinden soll (das 7er Netz):
Rechte Maustaste auf den Router -> Setup-Assistent
-> zwei Lokale Netze verbinden (auch VPN)
-> VPN über eine Internet-Verbindung
-> Über ISDN-Verbindung (irrelevant, wenn du den anderen Punkt nutzt)
-> "Mir wird eine dyn. IP-Adresse zugewiesen" und "Die Gegenseite hat eine Feste IP-Adresse oder einen DNS-auflösbaren Namen"
-> Eigener Bezeichner: XY1
-> Name der Gegenstelle: XY2
-> PPP-Passwort: XY1-ganz-geheim - Shared-Secret: auch-ganz-geheim
-> Optimierter Verbindungsaufbau
-> VPN-Haltezeit: 9999
-> Gateway: XY2.DynDNS.org - Netz der Gegenstelle: 192.168.8.0 - Mask: 255.255.255.0 - Weiterleitung: *.
-> Maskierung: nein
-> NetBIOS oder TCP: (Ja oder Nein - musst du wissen)
-> Für welche Arbeitsgruppe: <leer lassen> (Wird gefragt, wenn du NetBIOS aktiviert hast)
-> FERTIGSTELLEN

Das war ver CLIENT.

Dann gehts du hin und konfigurierst für die ZENTRALE (der Router vom 8er Netz) einen DynDNS-Account (www.dyndns.org).
Der Name was nur beispielhaft und sollte angepasst werden

Um diese ganze Layer-Zeug musst du dich eigentlich garnicht mehr kümmern. Das tut der Assistent schon ganz gut.

Das, was du hier gerade gelesen hast, war der Setup-Assistent. Ich setzte mal vorraus, dass die beiden Router bereits Online sind. Anders wäre es nicht wirklich möglich.

Tja .. und dann sollte schon gehn. So gehts zumindest bei mir wunderbar. Ich hab noch keinen VPN-Channel anders eingerichtet. Und bislang rennen se alle ganz gut ....

Gruß,
Chris

P.S.: Ich hab glaub ich noch nie nen Assistenten zitiert. Und ich glaube, dass man das alles mit ein wenig Handbuch lesen (Reference-Manual und VPN-Option Guide) selber hinbekommen würde.

[LoUiS]

Hi Mario,

Absolut nicht! Mach mal eine Skizze, wie Dein Netz aussieht.

... und ich dachte schon ich haette es alleine nicht kapiert. *g*

Chris,

Du hast 2 Netze und möchtest diese Per VPN koppeln.

ich glaube Franz will eine LAN-LAN Kopplung im LAN machen??? Also das eine LAN Segment der Laptops 192.168.7.0 ueber den Router vom anderen LAN Segement 192.168.8.0 der Firma abtrennen. Oder lieg ich da auch daneben?


Ciao
LoUiS

[hexa]

Hiho;

Das kann ich dir auch nicht so genau sagen .... aber genaueres wissen wir erst, wenn Franz sich dazu wieder geäußert hat .. meinst nich? Aber könnte mit ein wenig Fantasie und der Beschreibung tatsächlich sein

Vom Titel des Threads "2 lancom officeDSL/I-1611 über die WAN Seite verbinden" könnte man aber auch verstehen, dass da VPN gemeint is *g*

Gruß,
Chris

[Franky]

Hallo leute und danke für das interesse -

chris hat schon recht, es geht mir lediglich darum das die laptops im 7.0er netz vom 8.0er Netz(firmennetz)durch ein zusätzlichens TransferNetz abgetrennt sind, um nicht alle viren und trojaner der Externen mitarbeiter in der Firma zu verbreiten.
Ich hab mir auch schon das referenz pdf durchgelesen aber irgend einen denkfehler hab ich bei meiner konfiguration(oder bin einfach zu dumm dazu)
solltet ihr eine skizze benötigen würde ich sie euch gerne per mail zuschicken.

danke für euro hilfe!!

lg
franz

[Franky]

hallo,

muss noch was klarstellen, die laptops sollen über das lankabel in der firma, also nicht irgendwo von extern über das internet verbunden werden.

ciao

[LoUiS]

Hi,

chris hat schon recht, es geht mir lediglich darum das die laptops im 7.0er netz vom 8.0er Netz(firmennetz)durch ein zusätzlichens TransferNetz abgetrennt sind, um nicht alle viren und trojaner der Externen mitarbeiter in der Firma zu verbreiten.

Ich wuerde das ueber die WAN Schnittstellen der 1611er machen.

Also, beide WAN Schnittstellen der DSL/I-1611 mit einem Crossover-Kabel verbinden.

Auf dem 1611 auf der Laptop Seite definierst Du unter LANconfig:Kommunikation/Gegenstellen/Namenliste(DSL)" einen Eintrag "TRANSFER" mit Haltezeit "9999" und Layer TROE, der Rest leer. Dann unter "Protokolle/IP-Parameter" den Eintrag "TRANSFER" auswaehlen und das Transfernetz definieren. Ich nehme mal 172.16.1.0/24 als Transfernetz. Unter "IP-Adresse bekommt das LANCOM hier seine WAN IP, da nehmen wir mal 172.16.1.1, als Netzmaske 255.255.255.0. Als Gateway muessen wir hier die WAN IP des anderen 1611 eintragen, also bekommt der halt 172.16.1.2. Der Rest bleibt leer. Dann unter "IP-Router/Routing/Routing-Tabelle" die Gegenstelle "TRANSFER" als Defaultroute mit "Intranet und DMZ maskieren" hinzufuegen.
Das Selbe fuehren wir nun auf dem 1611 im Firmennetz aus. Also wieder unter "LANconfig:Kommunikation/Gegenstellen/Namenliste(DSL)" einen Eintrag "TRANSFER" mit Haltezeit "9999" und Layer TROE hinzufuegen und den der Rest leer lassen. Nun wieder unter "Protokolle/IP-Parameter" den Eintrag "TRANSFER" auswaehlen und das Transfernetz festlegen. Unter "IP-Adresse bekommt das LANCOM hier jetzt die 172.16.1.2, als Netzmaske 255.255.255.0. Als Gateway muessen wir hier nun die WAN IP des anderen 1611 eintragen, also 172.16.1.1.. Jetzt wieder die Default Route anlegen: "IP-Router/Routing/Routing-Tabelle" Gegenstelle "TRANSFER" mit "Intranet und DMZ maskieren" hinzufuegen. Soweit ist nun unser WAN Transfernetz fertig.

Jetzt kannst Du die eigentliche LAN-LAN Kopplung ueber VPN durchfuehren, dazu nimmst Du am einfachsten die Assistenten des LANconfig. Eine andere Idee hab ich da im Moment nicht.


Ciao
LoUiS

[hexa]

Hiho;

Ich hab gestern mal bei mir im Testnetz rumgestrickt und bisschen rumprobiert .. und des funzt tatsächlich ... nur hab ich nix Configs hier ... sonst würd hier nu nen Link stehn .. Mim Cisco war des alles bissi schwerer damals irgendwie

Gruß,
Chris

[Franky]

Tja, anscheinend bin wirklich ich das problem,

hab´s jetzt probiert wie du beschrieben hast.

Ausser deinen eistellungen habe ich noch zusätzlich beim router auf der laptopseite:

Intranet ip:192.168.8.39\24
DMZ IP Adresse habe ich 0.0.0.0 ( habs auch schon mit 172.16.1.0 probiert)
Encapsulation Layer-3 Layer-2 Option L-1
TROE Layer ist Ethernet \Transparent \transparent \ keine \ ETH

IP-Router - Allgemein - habe folgende optionen aktiviert:

Entfernte Stationen mit Proxy Arp einbinden
Pakete im lokalen Netz weiterleiten
TCP SYN und ACK Pakete bevorzugt weiterleiten

Rip Optionen:
RIp Unterstützung Aus
Rip 1 Maske - Klasse

Firewall habe ich zum testen mal deaktiviert

Ich verstehe nicht wieso ich mit einem rechner mit der ip 192.168.8.100 an der lan seite des Laptoplancom´s nicht auf die wan seite (172.16.1.1) pingen kann, wenn das schon mal nicht funktioniert wird er wohl kaum auf den anderen router kommen.

ich kann euch die konf datei gerne per mail schicken wenn ihr wollt,

danke für eure tips

lg
franz

[MoinMoin]

Moin, moin!

Denken wir hier nicht alle um ein paar Ecken zuviel? Ich skiziere mal kurz, wie ich das Problem verstanden habe:

Notebook-Netzwerk <---> Firewall <---> Firmennetzwerk

Dafür reicht ein einzelner Router, der mit der WAN-Seite ins Firmennetz gehängt wird. Wenn im Firmennetz ein DHCP-Server steht, kann das einfach mit dem Internet-Zugangsassistenten eingerichtet werden, wobei dann das Notebook-Netz hinter einer einzelnen Adresse maskiert wird.

Etwas komplizierter wird es, sollen die Notebooks auch aus dem Firmennetz aktiv erreicht werden. Dann ist wohl Proxy-ARP angesagt, die WAN-Verbindung darf nicht maskiert werden und das Notebook-Netz muß ein Teilnetz des Firmennetz sein. Auch hier geht die Default-Route ins WAN, also in das Firmennetz. Korrigiert mich bitte, ich richte sowas nicht wirklich oft ein.


Ciao, Georg

[backslash]

Hi LoUiS

Auf dem 1611 auf der Laptop Seite (...).

Dann unter "IP-Router/Routing/Routing-Tabelle" die Gegenstelle "TRANSFER" als Defaultroute mit "Intranet und DMZ maskieren" hinzufuegen.

Franky will doch eine "LAN-LAN" Kopplung machen - da braucht er nicht maskieren.

Das Selbe fuehren wir nun auf dem 1611 im Firmennetz aus. (...)

Jetzt wieder die Default Route anlegen: "IP-Router/Routing/Routing-Tabelle" Gegenstelle "TRANSFER" mit "Intranet und DMZ maskieren" hinzufuegen. Soweit ist nun unser WAN Transfernetz fertig.

Und spätestens hier geht's schief, da zwei maskierte Routen, die aufeinandertreffen, ohne portforwarding gar nicht funktionieren. Zudem braucht er auf der Firmenseite auch nur das Laptop-Netz, also 192.168.7.0/24 zur Gegenstelle TRANSFER zu routen. Der Routingeintrag hier lautet also:

Code: Alles auswählen

IP-address       IP-netmask       Router-name       Distance  masquerade  Active   
------------------------------------------------------------------------------------
192.168.7.0      255.255.255.0    TRANSFER          2         Off         Yes

Gruß
Backslash

[backslash]

Hi Franky

Ich verstehe nicht wieso ich mit einem rechner mit der ip 192.168.8.100 an der lan seite des Laptoplancom´s nicht auf die wan seite (172.16.1.1) pingen kann,

Das dürfte an der Sperr-Route für die 172er Netze liegen.

Ganz nebenbei: Werd dir mal einig darüber, in welchem Netz die Laptops stehen (stehen die nun im 7er oder im 8er Netz?)...

Wenn die im 7er Netz stehen, wirst Du eh mit einem PC, der eine Adresse aus dem 8er Netz hat im 7er Netz nichts anfangen können...

wenn das schon mal nicht funktioniert wird er wohl kaum auf den anderen router kommen

Auch mit der Sperr-Route funktioniert das, da die beiden Router nur ein Transfernetz aufspannen, das du als User gar nicht sehen willst. Nur wenn Du die Router von der jeweils anderen Seite aus konfigurieren willst, mußt Du die Sperr-Routen entfernen (bzw. explizite Routen für die Router setzen)...

Gruß
Backlash