VPN über Router zum eibPC

[EPIX]

Jetzt oute ich mich einmal als kompletter Noob was VPN anbelangt - damit den Level der Antworten auf mein Verständnis nach unten geelgt wird

Meine Konfig schaut so aus:

ich habe eine fixe IP - bion also prinzipiell von extern "erreichbar" (zB Teamviewer)

Kabelmodem (CISCO EPC3925) -> Switch (managbar) PLANET (SGSW-24040P) -> eibPC

der eibPC hat ja einen VPN-Server

wie komme ich jetzt vom Handy oder meinem Arbeits-Laptop via VPN auf den eibPC bzw in mein Heimnetz?

der Cisco kann VPN Passthrough (IPSec Passthrough und PPTP Passthrough)
am Reiter VPN des Cisco kann man einen VPN Tunnel konfigurieren - da scheitere ich aber an den Angaben...

Local Secure Group IP:
Remote Secure Group IP:
Remote Secure Gateway IP:

was hier einzutragen ist (vor Allem die Remote-Angaben)

ratlos

[Uwe!]

Am Router musst du eigentlich nur den Port 1194 an den EibPC weiterleiten, sonst gar nichts mit VPN einstellen!

Und am EibPC natürlich VPN aktivieren und einen User anlegen. Schau doch einfach mal ins Handbuch ab Seite 206.

[EPIX]

also nix mit "Passthrough"?

[cds]

Hallo!

Das ganze ist so schon im Ansatz falsch.

Bei dir daheim, was machst du da:

a) Du machst ein gescheites Schloss an die Haustür damit keiner rein kommt
b) Du schließ im Haus alles ab was dir wichtig ist, die Haustür kann dann ja gerne offen stehen bleiben ...

Du versuchst gerade b) in deinem Netzwerk umzusetzen, obwohl dein Router auch a) kann.

Man lese die Cisco-Anleitung ab Seite 59 - alles erklärt mit Bildern ...

[EPIX]

OK, also den Vergleich habe ich ja schon einmal kapiert

Die Anleitung habe ich natürlich gelesen, ABER wie gesagt ich komm' mit den Begriffen nicht zurecht;:

Wählen Sie die Benutzer des Remote-LANs hinter dem entfernten Kabelmodem aus, die diesen VPN-Tunnel verwenden können. Hierbei kann es sich um eine einzelne IP-Adresse, ein untergeordnetes Netzwerk oder eine beliebige Adresse handeln. Bei Aktivierung von "All" (Alle) dient das Kabelmodem als Responder und akzeptiert Anfragen von jedem beliebigen entfernten Benutzer. Hinweis: Die Remote Secure Group muss der Local Secure Group des entfernten Kabelmodems entsprechen.

-> da muß ich "All" angeben, weil ich keine IP meines Handys kenne

und hier

Wählen Sie die gewünschte Option aus, IP Addr. (IP-Adr.), Any (Alle) oder FQDN. Wenn das entfernte Kabelmodem über eine dynamische IP-Adresse verfügt, wählen Sie Any (Alle) oder FQDN aus. Bei Auswahl von "Any" (Alle) nimmt das Kabelmodem Anfragen von allen IP-Adressen entgegen.

wäre es dann "Any"?

Steht dann nicht alles für alle und jeden offen??

und was nehme ich da:

Schlüsselaustauschmethode

[EPIX]

egal ich habe es probiert:

es gibt keine Option "All" oder "Any" 0.0.0.0 geht auch nicht, da wird "invalid IP" gemault....

[DiMa]

Subnet = 255.255.255.0 sollte den gleichen Effekt wie "any" haben.

[EPIX]

aber welche IP beim RemoteSubnet und beim Remote Gateway?
irgendeine??

[enertegus]

Am Router musst du eigentlich nur den Port 1194 an den EibPC weiterleiten, sonst gar nichts mit VPN einstellen!
Und am EibPC natürlich VPN aktivieren und einen User anlegen. Schau doch einfach mal ins Handbuch ab Seite 206.

Nun zur Klarstellung:
Du kannst den VPN entweder über den CISCO machen oder einfach eine Weiterleitung auf den EIbPC und dort den VPN Server laufen lassen (Ratschlag von Uwe). Geht oft unter: Der EibPC kann auch VPN und die User sind sogar über KNX ein- bzw. auszuschalten. Zudem kann man die aktuell aktiven User in der Visu anzeigen lassen. Wer's braucht...

[DiMa]

aber welche IP beim RemoteSubnet und beim Remote Gateway?

Hab' ich doch geschrieben: Auf Subnet umstellen und 255.255.255.0. Bei einem Subnet wird keine IP eingegeben, sondern eine Maske. Remote Gateway müsste optional sein (nichts eintragen).

[EPIX]

jo eh...

[cds]

Ja, der eibPC kann VPN - das hat niemand bezweifelt. Aber ein VPN im internen Netz zu terminieren ist von der NW-Architektur / Sicherheit ganz großes Bähbäh, insbesondere wenn er die bessere Option genau so einfach umsetzen kann.

[EPIX]

naja soo einfach ist es ja offenbar nicht - die Firmware entspricht nicht der Beschreibung im Handbuch, das Remote Gateway muss angegeben werden und nur das Subnet ist zu wenig

[Uwe!]

wenn er die bessere Option genau so einfach umsetzen kann.

genau daran scheitert es halt. Es ist eben bei weitem NICHT so einfach wie mit dem EIbPC. Technisch geb ich Dir natürlich Recht, dass ein VPN über den Router die bessere Alternative ist. Einfacher ist es mit dem EibPC.
Ich hab z. B. einen Lancom Router, der auch VPN kann. Für iOS gibt es da auch einen kostenlose App, die alles fertig konfiguriert. Geht wunderbar, nur nicht automatisch on demand.
Für Win-Rechner gibt es auch einen Client, der kostet aber extra Geld, da bin ich zu geizig. Mit dem Win-Client (gibt einige Tage zum testen) klappt das auch vom Windowsrechner wunderbar, ohne hab ich es noch nicht geschafft Windows zum Verbinden zu überreden. Und ich bin seit 40 Jahren im IT-Umfeld aktiv, also nicht ganz blöd, aber mit VPN nie viel zu tun gehabt. Dann sind halt genau die von EPIX gestellten Fragen die typischen Böhmischen Dorfer, wo ich leider auch nicht helfen kann.

[DiMa]

Da sollte man dann halt entscheiden, ob man ein Loch in die FW bohrt und dann den eibPC als VPN-Server nutzt, oder das Problem an der Ursache behebt und diesen seltsamen Router ersetzt.

EPIX, ich verstehe die Fehlermeldungen, mit denen du da kaempfst auch nicht. Kann es sein, dass du versuchst, eine LAN-LAN-Kopplung zu konfigurieren, anstatt einer Client-LAN-Kopplung? Dann wuerden die Einstellungen zumindest grundsaetzlich Sinn machen. Gibt's dafuer vielleicht irgendwo eine Auswahl?