Zugriff auf Hosts im Intranet über VPN Tunnel

[glh]

Hallo,

folgendes Szenario:

- Lancom VPN 1711
- 2 DSL Leitungen mit aktiviertem Load Balancing (eine statische IP, eine dynamische) funktioniert
- VPN Tunnel, den wir über die statische IP - Leitung aufbauen, in ein anderes Netzwerk

Bei diesem VPN Tunnel haben wir die Situation, dass wir innerhalb des IP - Adressbereichs liegen, den wir über den Tunnel erreichen.

Im Anhang befindet sich eine schematische Übersicht.

Wir können bereits vom Intranet (10.151.18.x) auf den Client (10.x.x.x) zugreifen.
Es funktioniert auch der Zugriff vom Client (10.x.x.x) auf den Lancom-Router (10.151.18.254).

Was bisher noch NICHT funktioniert, ist dass wir vom Client (10.x.x.x) auf einen Rechner (z.B. 10.151.18.253) HINTER dem Lancom-Router, also sprich im lokalen Intranet, zugreifen können.

Der Tunnel wird über entsprechende Routen und Firewallrules (wie im Referenzhandbuch beschrieben) richtig aufgebaut, als Zielnetzwerk am anderen Ende des Tunnels haben wir 10.0.0.0/8 verwendet.

Vielen Dank bereits im Voraus für die Hilfe!

[AS1306]

Hallo glh,

Bei diesem VPN Tunnel haben wir die Situation, dass wir innerhalb des IP - Adressbereichs liegen, den wir über den Tunnel erreichen.

Du befindest Dich im gleichen Subnetzbereich??? Ist ein Ping auf das Netzwerk "dahinter" möglich? Ich denke, dass es hier ein Firewall-Problem gibt. Entweder der LANCOM, falls ein Ping hinter den Router nicht geht oder eine Desktopfirewall auf dem Client hinter dem Router. Diese könnte aber auch "dicht gemacht" einen Ping blocken ...

Schau mal hier, könnte vielleicht ein Ansatz sein :

http://www.lancom-forum.de/ltopic,5628,0,asc,15.html

mein Beitrag vom 31.07.08 ...


Bis dann

Andreas

[glh]

Hallo Andreas,
danke für die schnelle Antwort, die Links beschreiben aber nicht ganz unser Problem.

Ist ein Ping auf das Netzwerk "dahinter" möglich?

Traceroute auf dem Client (IP: 10.x.x.x) mit Anfrage zum Server (10.151.18.253) liefert bis zum Lancom eine Antwort (10.151.18.254) danach "geht es nicht weiter".

Du befindest Dich im gleichen Subnetzbereich???

Die beiden Teilnetze liegen nicht exakt im gleichen Subnetzbereich, sondern das Netz "am anderen Ende des Tunnels" beinhaltet unseren IP Bereich, dieser wird dort aber nicht verwendet, und wird wieder durch den Tunnel zu uns geroutet.

Ich denke, dass es hier ein Firewall-Problem gibt. Entweder der LANCOM, falls ein Ping hinter den Router nicht geht oder eine Desktopfirewall auf dem Client hinter dem Router. Diese könnte aber auch "dicht gemacht" einen Ping blocken ...

Eine Desktopfirewall auf dem Client kann ausgeschlossen werden, auch der Server (Debian) kommt eigentlich als Fehlerquelle nicht in Frage, da aus dem Lan und auch bei direkter Internetanbindung alles funktioniert.

Es scheint so, als würde der Lancom nicht wissen was er mit den Paketen aus dem Tunnel anzufangen hat, oder die Firewall lässt irgendetwas nicht zu. Die Firewall-Regeln für VPN sind so konfiguriert wie im Handbuch beschrieben (siehe Anhang, Verhalten: alles erlauben, Regeln zur Erzeugung von VPN-Regeln heranziehen: aktiv). Globale Policies (Deny-All/Allow-All) sind keine definiert.

Die Route ins LAN muss / kann ja nicht manuell gesetzt werden, das macht der Lancom wohl von selbst, auch wenn für einen größeren IP-Bereich etwas anderes in der Routing-Tabelle steht. (Normaler Internetzugriff funktioniert auch, dh er weiß wo die Pakete hinsollen)

[AS1306]

Hi,

funktioniert es, wenn Du die Firewall im LANCOM mal kurzfristig deaktivierst?
Einfach das Häkchen unter Firewall für einen Versuch entfernen - aber danach unbedingt wieder setzen

Der VPN-Client ist im gleichen Subnetz wie der LANCOM?

Bis dann

Andreas

[glh]

Hi,

funktioniert es, wenn Du die Firewall im LANCOM mal kurzfristig deaktivierst?

Nein, dann funktioniert es auch nicht. Immer noch das selbe: Vom Client (10.x.x.x) kann man den Lancom-router (10.151.18.254) pingen, aber keinen Rechner im Intranet (10.151.18.x)

Der VPN-Client ist im gleichen Subnetz wie der LANCOM?

Der Client ist kein (Lancom) - VPN CLient, sondern einfach ein Rechner in einem Subnetz, in das der Tunnel führt (z.B. 10.149.2.2), der aber Zugriff auf den Server (10.151.18.253) bekommen soll.

Bis dann,

Martin

[AS1306]

Hallo martin,

auf dem Client hinter dem LANCOM ist definitiv keine FW? Dann sollte da noch eine Route im LANCOM fehlen. Ich hatte das Problem letztens auch bei einer LAN-LAN Kopplung mit einer Fritz!Box - melde mich heute abend, da es hier etwas schwierig ist von Arbeit aus zu checken.

Bis dann

Andreas

[glh]

Hallo Andreas,

vielen Dank für die Mühen.
Haben es inzwischen hingebracht, es lag tatsächlich an der Konfiguration des Servers im Intranet und nicht am Lancom. Damit funktioniert alles wie gewünscht.

Nochmals vielen herzlichen Dank für die schnellen Antworten.

Bis dann

Martin