Zugriff auf HS über eine VPN-Verbindung

[AndyS]

Guten Morgen zusammen,

ich weiß nicht, ob meine Frage hier richtig plaziert ist, aber ich stell sie einfach mal.

Ich versuche über einen VPN-Verbindung zweier Fritzboxen mich am HS mit einem User, der nur internen Zugriff in den Berechtigungen hat, mich anzumelden. Bekomme nach den Eingaben der Daten (User, PW, Design, Refreschzeit) aber einen "Init"-Fehler. Der User kann sich somit nicht anmelden. Mit dem "gast"-User, welcher auch aus dem Internet beschränkten Zugriff hat, kann ich mich anmelden.

Folgen Hintergrundinfos:
- LAN1: IP-Bereich 192.168.2.xxx (HS (IP 7) steht in diesem LAN)
- LAN2: IP-Bereich 192.168.3.xxx (Client (IP 70) von dem aus auf den HS zugegriffen werden soll)
- Funktionierende VPN-Verbidnung zwischen LAN1 und LAN2
- Zugriffe aus LAN2 auf andere WEB-Server im LAN1 funktionieren ohne Probleme! Nur beim HS kann man sich nicht anmelden!

Hintergrund der Aktion ist, dass ich aus dem anderen Netz-Segment, welches über eine gesicherte VPN-Verbindung konnektet ist, sicheren Zugriff auf den HS habe. Ich möchte aus Sicherheitsgründen keinen User (mit entsprechenden Rechten) mit externen Berechtingugen, da auf den HS ja nicht mit "https" zugegriffen werden kann (Toll wäre es, wenn man das natürlich könnte. Aber dazu vielleicht etwas später).


Fragen:
1. Im HS gibt es im Projekt unter Netzwek ein internes Gateway zum Einstellen. Muss ich hier was machen und wenn ja was muss ich eintragen, dass es geht? Ich habe keine Ahnung.
2. Muss ich vielleicht noch sonst etwas eintragen, was hierfür wichtig ist?

Ich denke, dass es es nicht viel sein kann und würde mich über Hilfe von Euch sehr freuen! Ich bin mit meinem Wissen und Versuchen leider am Ende.
Vielen Dank für Eure Unterstützung im Voraus

AndyS

[benji]

Hi,

hast du denn mal versucht ob die Anmeldung direkt aus dem Netzwerk, in welchem der HS ist, funktioniert?

Musst im Normalfall nichts einstellen wenn das funktioniert.

Gruß

[AndyS]

Hi Benji,

danke für die Info.
Ja, ich arbeite schon länger damit. Also Anmelden am HS mit einem Client welcher im selben Netz steht geht ohne Probleme!

Habe ich auch gedacht, dass das eigentlich gehen muss, aber beim Anmelden von einem Client aus dem anderen Netzt bekomme ich diese Meldung.

Hat jemand sonst noch eine Lösung oder Hilfestellung an was das liegen könnte?

Grüße & Danke

AndyS

[Michel]

192.168.2.xxx ist intern, also ist ein Client aus diesem Netz 192.168.3.xxx extern.

Probieren kannst du aber folgendes:
Internes Gateway anlegen,
Gateway: IP der Fritzbox
Zielnetz: 192.168.3.0
Netzmaske: 255.255.255.0

[AndyS]

Hi Michel,

welche Fritzbox meinst du in in LAN1 oder LAN2?
Ich denke die in LAN1, in dem auch der HS steht oder ?

Das mit intern und extern dachte ich mir schon. Somit würden alle User, welche keine Zugriffsberechitgung über das Internet haben auch so nicht auf den HS zugreifen können.
Was würdest Du mir denn wenn die die die erste Variante ni cht geht vorschlagen, wie ich das sicher einrichten wollte?

Grüße

AndyS

[AndyS]

Hi Michel,

ich habe mal ein internes gateway im HS angelegt jegliche Variante versucht, jedoch ohne erfolg. Schade, aber ein Versuch war es wert!!! Danke.

Hat jemand sonst noch mir eine Idee?

Grüße

AndyS

[chrini1]

Welche Netzmaske verwendest Du im HS? Evtl. könntest Du mit einem Class B-Netz weiterkommen: 255.255.0.0

[AndyS]

Hi Christian,

ja, daran habe ich auch schon gedacht und hattes es dann auch gleich ausprobiert. Habe dem HS eine Class-B Subnetzmaske 255.255.0.0 gegeben. Diese beinhaltet ja dann beide IP-Bereiche.
Leider hatte ich damit keinen Erfolg!

Trotzdem vielen Dank.

AndyS

[Michel]

Komme leider erst jetzt zum Antworten.

Frage: wieviele Clients hängen in den jeweiligen Netzen? Kannst du die Netze nicht bridgen, also in LAN1 und LAN2 IP-Adressen aus demselben Bereich vergeben?
So wie ich das lese, soll ja nur ein einziger Client auf den HS via VPN zugreifen, oder? Dann kannst du für diesen auch einen eigenen VPN-Zugang einrichten und dieser erhält dann eine IP aus demselben Adressbereich. So mache ich das für den Zugang mit iPad/iphone, weil openVPN ja leider nur auf jailbreak-Geräten verfügbar ist.

Alternativ: openVPN auf die Fritzboxen und schon läuft das einwandfrei. Mit Zertifikaten und allem was man für ein sicheres VPN so braucht.
Auch das habe ich im Einsatz.

[AndyS]

Hi Michel,

Kein Problem!

Also in LAN1 wo auch der HS hängt sind es ca. 25 und in LAN2 ca. 5.
Klar könnte ich von der Anzahl der Clients in den Netzen beide LANs den selben IP-Bereich haben, aber wie funktioniert dann die VPN.? Muss dann natürlich auch die beiden Router unterschiedliche IP des selben Adressbereichs geben. Geht dann die VPN noch?
Ja, normal reichtes, wenn nur ein Client Zugang auf den HS hat.
ÄH, wie meinst Du dass für einen Client eine VPN einrichten? Hört sich gutan, da ich in Zukunft auf ein iPad habe und dies auch so nutzen möchte.

Ich hab mit der fritzbox noch nicht so die Ahnung, wie geht denn das mit openVPN aufspielen?
zerschieß ich mir dabei nicht die Konfig meines Anbieters?
Hört sich gut an, wie geht das für die Fritzbox 7390 und open VPN?

Grüße und Danke schon mal

AndyS

[swenga]

ja, daran habe ich auch schon gedacht und hattes es dann auch gleich ausprobiert. Habe dem HS eine Class-B Subnetzmaske 255.255.0.0 gegeben. Diese beinhaltet ja dann beide IP-Bereiche.
Leider hatte ich damit keinen Erfolg!

Mit Verlaub, aber das ist hirnrissig. Die Netzmaske wird fuer die Ermittlung ob ein IP-Paket im lokalen Netz zugestellt werden muss, herangezogen. Falls nicht , wird es dem Default Gateway zur weiteren Verwendung zugestellt. Wenn du die Maske auf Class B aenderst, versucht der HS alle 192.168.x.x im lokalen Netz zu erreichen, daher gehen die Antwort-Pakete floeten und erreichen nie den PC im Netz 192.168.3.x.

Fazit: Gateway und Maske muessen sein! Haben die VPN-Boxen keine Firewall, in denen du den Zugriff beschraenken kannst? Die Auswahl "nur interner Zugriff" im HS ist fuer diesen Einsatzfall IMHO weniger geeignet.

mfg

[AndyS]

@swenga,

danke für die Info.
Denke schon, dass die Fritzboxen eine Firewall drin haben.
Wie bzw. was soll ich denn Deiner Meinung nach wo einstellen, dass es geht?

Grüße

AndyS

[swenga]

Hallo Andy,

kenne die Fritzboxen jetzt nicht. Im Prinzip lauten die Firewall-Regeln bei VPN-Gateways zumeist allen Verkehr von LAN zu LAN über das VPN zu erlauben, LAN zu WAN zu erlauben und WAN zu LAN zu blocken. Würde jetzt eine Regel einführen, die den Zugriff von 192.168.3.x auf den Homeserver in 192.168.2.x blockiert und davor noch eine Regel, die dem einen Rechner im 3er Netz den Zugriff erlaubt.

mfg