VPN Verbindung klappt nur halb; Hirn verdreht

[Valle]

Ach was, geht nicht, gibt's nicht. Wenn man denkt dass bei VPN etwas fehlt, dann hat es meistens einfach nur nicht richtig gemacht.

Ich muss zugeben dass ich dein Problem nicht ganz vollumfänglich verstanden habe. Ich versuche mal zusammenzufassen.

• Du hast zwei physisch getrennte Netzwerke
  • 192.168.20.0/24
  • 192.168.0.0/24
• Beide Netze sollen über ein VPN komplett verbunden werden
  • d.h. jeder kann jeden innerhalb beider Netze erreichen
• Beide Netze benutzen eine FritzBox als Router
• Und in beiden Netzen gibt es je einen Windows XP Rechner, der das VPN herstellen soll

Ist das soweit alles richtig?

Falls ja, dann sollte das nun wirklich kein unlösbares Problem sein. Die FritzBoxen haben eine eingebaute VPN Funktion, die sehr gut funktioniert und ohne großen Aufwand beliebig viele Netze miteinander verbindet. Die wichtigsten Voraussetzungen dafür sind, dass du zwei unterschiedliche Subnetze in beiden Standorten benutzt (tust du ja). Außerdem benötigst du öffentliche IPs an beiden Standorten. Kein Carrier-NAT! Aber da du das VPN ja bereits mit den XP Rechner herstellen konntest, wird das wohl auch der Fall sein.

Wenn zwei Rechner, die nicht Router im Netzwerk sind, das VPN herstellen sollen, dann hast du mehrere Probleme. Denn die anderen Rechner mit Netz wissen nicht, wohin sie das fremde Netz routen sollten. Man müsste dies als statische Route bei beiden FritzBoxen hinterlegen. Die FritzBox-Lösung wäre aber deutlich schöner, allein schon weil Windows XP bei sicherheitsrelevanten Diensten wie VPN absolut nichts verloren hat.

[Aviator]

Zitat von Valle:

Ist das soweit alles richtig?

Ich glaube nicht ganz. Und da liegt der Knackpunkt. Sein Netz liegt im Bereich 192.168.0.X und das Netz mit dem er sich verbinden will liegt ebenfalls im Bereich 192.168.0.X

Und jetzt ist die Frage, wie er diese beiden Netze als jeweils eigenständiges Netz behandeln kann. Korrekt @Medium?

Hierfür müsste es dann eine Zwischenschicht geben die z.B. Anfragen über ein weiteres Netz auf das richtige Netz umleitet. Bzw. das gibt es ja als VPN Netz. Nur will er denke ich die ganz normalen IP-Adressen des Gegenüber verwenden. Und da beißt sich die Katze in den Schwanz. Denn dann kommt er ja in seinem eigenen Netz raus.

[Medium]

Zitat von Valle:

Die wichtigsten Voraussetzungen dafür sind, dass du zwei unterschiedliche Subnetze in beiden Standorten benutzt [...]

Nur um Aviators korrekte Aussage nochmal zu bestätigen: Ich habe die selben Subnetze in beiden Netzwerken.
Das ist genau der Knackpunkt. Sind die unterschiedlich, gibt es keine Probleme. (Getestet mit Internet am Notebook via Handy als AP und anderem IP-Kreis.)

Der Kunde ist auch leider etwas größer (ein Museum), so dass dort auch nicht mal eben das Netzwerk umgestellt werden kann. (Zumal es "nur" um die gelegentliche Fernwartung einer einzigen kleinen Anlage dort geht.) Bei uns wären ebenfalls etliche PCs, SPSen, Telefone, Drucker und IP-Kameras sowie entsprechende Dienste und Programme anzupassen, womit uns solch eine Komplettumstellung vermutlich mindestens 1-2 Tage komplett lahm legen würde - eher mehr, wenn man die "Nachwehen" der ganzen vergessenen Ecken dazu rechnet. Steht auch für uns also eigentlich in keinem Verhältnis zueinander.
Ich weiß zudem nicht, über was für ein Gerät der Kunde im Internet ist. Und selbst wenn: Es gibt dort einen Werksstudenten der "schon mal was mit Computern gemacht hat" (bisschen mehr schon, aber so in etwa), der auch nicht mal eben beliebige Konfigurationen herbeizaubern kann. (Dass überhaupt ein VPN Zugang existiert ist vermutlich eher dem Komfort aktueller Hardware geschuldet als allem anderen.) Ergo: Ich müsste, wenn es denn ein komplikations-unwahrscheinlicher Weg wäre, dem Kunden alles mundgerecht vorkauen, oder dafür 2 Tage Dienstreise machen (~6h pro Strecke mit Auto). Problem ist dabei, dass ich selbst bei Netzwerktechnik recht schnell überfordert bin. (Hab das in der FH auch nur mit Hängen und Würgen überstanden. Bin eindeutig Entwickler, kein Netzwerkler )

Wie gesagt. Im Zweifel klemm ich für den Kunden (eigentlich auch nur ein Sub-Kunde) meine VM-USB Platte ans Notebook und opfere etwas Mobildatenkontingent. Schöner wäre anders, aber offenbar wenn überhaupt nur mit großem Aufwand und ohne Garantie.

[BenjaminH]

Es geht nur um die Fernwartung eines einzigen Systems?
Dann ist der einfachste Trick dort irgendwo einen SSH-Server(zum Beispiel auf dem Router) zum laufen zu bringen, sich mit dem Verbinden und alle nötigen Ports mittels Forwarding zu holen.
Einfachstes Beispiel, ein Webserver(192.168.0.17 Port 80) steht im Museum, ist aber nicht von außen erreichbar. Man braucht jetzt nur einen SSH-Server irgendwo in deren Netz, der auch von außen erreichbar ist(z.B. mit Port Forwarding im Router des Museums).
Jetzt will man auf den Webserver von außen zugreifen. Dann macht man folgendes:

Code:

ssh -L 8080:192.168.0.17:80 IP.Adresse.des.Museums

Nach dem Login kann man im eigenen Webbrowser unter der URL http://127.0.0.1:8080 auf den Webserver im Museum zugreifen.
Das funktioniert natürlich auch für mehrere Ports. Die Verbindung mit dem Fernwartungstool baut man dann zu 127.0.0.1(also quasi sich selbst) auf.

[Valle]

Ah, okay.

Wenn eine Änderung des Subnetzes keine Option ist, dann gibt es natürlich andere.

• Wie du selbst sagst, kann man NAT verwenden. Hier hat jemand das gleiche Problem und es wird beschrieben wie man es löst. Das ist aber nicht trivial und vermutlich nicht mit Windows XP lösbar. Es würde Zugriff auf den Museumsrouter und ziemlich sicher einen weiteren Rechner oder Router benötigen. Falls du wirklich nur eine IP fernwarten willst, rate ich davon ab.
  
• Wenn du nur eine IP fernwarten willst, warum dann überhaupt der ganze Aufwand? BenjaminH beschreibt eine Standardlösung die ich seit Jahren für verschiedene Unternehme und Vereine verwende. Ein Raspberry Pi und ein Portforwarding im Museumsrouter und der Fall wäre erledigt. Falls der fernzuwartende Rechner verschlüsselt und authentifiziert erreichbar ist, könnte man sich SSH sogar sparen und direkt die nötigen Ports freigeben. Aber Achtung: Sicherheitsrisiko wenn das nicht so ist!
  
• Falls du an der technisch korrekten, aber leider meist nicht umsetzbaren Lösung interessiert bist: Die Lösung heißt IPv6. Jedes Gerät bekommt eine globale, eindeutige IP-Adresse. Im Museumsrouter könnte die IP der zu steuernden Anlage freigeschaltet werden. Falls man Authentifizierung oder Verschlüsselung benötigt, kann man mit VPN zwei IPv6-Netze verbinden. Da alle Adressen weltweit eindeutig wären, könnte es nicht zu Konflikten wie in eurem Fall kommen.
  
• Edit: Ist TeamViewer eine Lösung? Einfacher als TeamViewer wird es nicht mehr.

[Medium]

Zitat von Valle:

Wie du selbst sagst, kann man NAT verwenden. [..] nicht trivial und vermutlich nicht mit Windows XP lösbar.

Das war auch der Eindruck den ich bei meinen Recherchen hatte. Deutlich oberhalb des Wissensstandes aller beteiligten, und irgendwie eine "zu große" Lösung.

Zitat:

Wenn du nur eine IP fernwarten willst, warum dann überhaupt der ganze Aufwand? BenjaminH beschreibt eine Standardlösung die ich seit Jahren für verschiedene Unternehme und Vereine verwende. Ein Raspberry Pi und ein Portforwarding im Museumsrouter und der Fall wäre erledigt. Falls der fernzuwartende Rechner verschlüsselt und authentifiziert erreichbar ist, könnte man sich SSH sogar sparen und direkt die nötigen Ports freigeben. Aber Achtung: Sicherheitsrisiko wenn das nicht so ist!

Problem. Der zu wartende PC ist nicht direkt von außen erreichbar, und ich brauche neben dem PC auch Zugriff auf eine SPS. Spätestens da wird's dann doof.

Zitat:

Falls du an der technisch korrekten, aber leider meist nicht umsetzbaren Lösung interessiert bist: Die Lösung heißt IPv6. Jedes Gerät bekommt eine globale, eindeutige IP-Adresse. Im Museumsrouter könnte die IP der zu steuernden Anlage freigeschaltet werden. Falls man Authentifizierung oder Verschlüsselung benötigt, kann man mit VPN zwei IPv6-Netze verbinden. Da alle Adressen weltweit eindeutig wären, könnte es nicht zu Konflikten wie in eurem Fall kommen.

Scheidet ebenfalls wegen der SPS aus, die kennt IPv6 nicht.

Zitat:

TeamViewer

Setzen wir praktisch überall sonst ein. Dort haben wir aber auch jeweils einen "Zugangs-PC", der die gesamte Entwicklungsumgebung insbesondere mit den Siemens-Tools fährt, so dass wir auf diese Weise sehr schmerzfrei beides warten können, SPSen und PCs. Da betreiben wir aber auch ganze Produktionsanlagen. In anderen Fällen kommt o.g. Lösung von MB Connect zum Einsatz. In dem jetzigen Fall haben wir leider beide Optionen nicht. Der Kunde stellt sich da auch etwas quer: Es gibt VPN, das muss reichen. (Nach dem Motto: Andere schaffen das ja auch.) Mehr Verbindungen will man wegen Sicherheitsbedenken nicht zulassen, schon gar nicht Dinge mit denen sich dort keiner auskennt (Dazu kommt, dass am einzig sinnvollen Installationsort dank viel Beton kein Mobilempfang herrscht, den wir dazu bräuchten. Antennen lassen sich auch nur begrenzt weit absetzen.)

Leider kann ich dem Kunden da nicht so auf die Füße treten wie ich das gerne würde, da wir in diesem (sehr seltenen) Fall als Sub agieren, und unser Auftragsgeber leider überhaupt keinen Informatik-Hintergrund hat. Und dann auch noch als Nachfolger für einen verstorbenen Freelancer, der das System in der Vergangenheit ja auch problemlos so erreichen konnte. Schwer zu vermitteln das ganze.

Als letzten Anker klemme ich meine VM mit den nötigen Tools bei mir zu Hause an den Rechner (dank VMware Player ja sehr schmerzfrei), gehe da vom Büro aus mit TeamViewer drauf, und mache über 5 Ecken dort die VPN Verbindung. Zu Hause kann ich immerhin sehr schnell ein anderes Subnetz einstellen, bei ner Hand voll Geräten. Sollte dank VDSL sogar recht komfortabel sein.

[einbeliebigername]

Hallo

https://community.openvpn.net/openvpn/wiki/NatHack

Habe mir das jetzt nicht genau durchgelesen aber geht dort auch um Windows XP. Vieleicht hilft das.

einbeliebigername.

[Medium]

Interessanter Artikel, löst aber leider ein anderes Problem. Ich vermute auch, dass der Kunde eher einen Router mit VPN Option hat, als einen openVPN Server auf einem PC. (Das Windows XP bezieht sich auf den Client bei mir. Was genau die Gegenstelle ist weiss ich nicht.)

Was ja leider unter Windows auch nicht geht, ist es spezifische IPs an bestimmte Adapter zu binden. Sonst würde ich einfach sagen: Ey, die IPs von der SPS und dem PC, die sind zwar auch im Nummernkreis deines normalen NICs, sende die aber bitte NUR durch den VPN Adapter! - aber leider geht auch sowas nicht