Homeserver über ipsec VPN Tunnel

[maxxmobile]

Hallo!

Bin gerade dabei einen Homeserver einzurichten und es funktioniert im gleichen Subnetz (BUS/Homeserver) tadellos.

Geplant ist aber den Homeserver in einem anderen Subnetz zu betreiben und über einen ipsec VPN Tunnel (erfolgt über HW Lan Komponenten) mit dem Bus sprechen zu lassen.
Beispiel:
LAN Homeserver: 192.168.1.1 VPN Startpunkt (subnetz)
LAN EIB BUS: 192.168.2.1 VPN Endpunkt (subnetz)

Hier bekommt der Homeserver leider noch keine Verbindung mit dem BUS zustande, da der Homeserver leider nur über das Protokoll KNXnet/ IP Routing kommuniziert.

Pingen kann ich vom Homeserver das andere Netz
Über das Tool HSMon sehe ich auch manchmal Pakete.

Die ETS kann über das Protokoll KNXnet IP mit dem Bus kommunizieren, wo der Homeserver über KNXnet/ IP Routing nicht funktioniert.

2 Fragen:
Gibt es die Möglichkeit den Homeserver auch über das Protokoll KNXnet/ IP ohne Routing kommunizieren zu lassen, im Experten leider nicht auswählbar.

oder ich meine irgendwo gelesen zu haben, dass man Multicast Pakete dann übertragen lassen muss.
Ich meine diese pakete werden bereits zugelassen.

Muss man im Experten vielleicht auch noch wo was eintragen?

Vielleicht hat jemand das schon mal realisiert bzw. hat eine Idee.

Bitte Diskussionen, warum nicht einfach den Homeserver ins gleiche Subnetz wie den BUS stellen, mal außen vor lassen.

Danke
maxxmobile

[makki]

Sorry, reichlich wirre Frage..
Also, der HS kann nur KNXnet/IP Routing.
D.h. man muss das Multicast ans laufen bekommen, das ist im LAN (selbe Broadcast-Domain) schon spannend, über Router oder gar VPN's hinweg ne echte Herausforderung.

Für konkrete Hilfe wirst Du uns aber wohl ungefähr Faktor 10 mehr Details erzählen müssen: Screenshots, welche HW&SW jeder beteiligten Komponente, Switch, Router, VPN: was genau wo und wie etc..

Makki

[Michel]

Darf´s auch openVPN sein? Damit klappt das einwandfrei!

[maxxmobile]

Hallo Michel, jetzt muss ich nachfragen, was bei Dir mit openvpn funktioniert?

Ich beschäftige mich "leider" immer noch mit diesem Thema und habe folgenden Status:
Ipsec VPN Verbindung steht mit 2x USG100 Zyxel
multicast aktiviert
im experten bei Netzwerk folgende Werte eingestellt
Eigene IP: 192.168.3.50
Netzwerkmaske 255.255.255.0
Interne Gateway 192.168.3.1
Zielnet 192.168.2.0
mask 255.255.255.0
default gateway 192.168.3.1
DNS Server 192.168.3.1

Lan1: 192.168.2.x
EIB KNX Router: 192.168.2.31 (BUS)
VPN Verbindung mit
Lan2: 192.168.3.x
HS: 192.168.3.50

Ich kann von Beiden Netzen mit der ETS auf den Bus zugreifen/ program.
Ich bekomme beim Aufruf von HSMON im Lan1 eine GRÜNE Verbindung
ich sehe auch Statusänderungen interner Kommunikationsobjekte und diese ändern dann auch wo definiert den Status einzelner Gruppenadressen.
Doch hier liegt leider immer noch mein Problem.

Diese Änderungen werden leider nicht wirklich vom KNX router aufgefangen und somit auch nicht ausgeführt..

Wie hast Du das mit openvpn geschafft?

danke
maxxmobile

[Michel]

Mit openvpn geht bei mir:

• HS-Zugriff via Client,Web-Visu und hsfusion
• HS-Projektierung mit Experten
• ETS - Programmierung
• ETS - Busmonitor

also im Grunde alles

Installieren auf einem Server und den Clients, Zertifikate oder Passwort erstellen, läuft

[be1001]

Hallo,

schau mal in Router ob der Port 3671 (Multicast) von einem Lan ins andere Lan freigegeben ist. Bei Zyxel reicht es oft nicht aus nur Multicast freizugeben. Ich musste auch erst expliziert den Port freigeben.

Oder schalt zu Testzwecken die Firewal des Router mal aus.

Christian

[maxxmobile]

Hi, danke für die Antwort
HS-Zugriff via Client,Web-Visu und hsfusion
HS-Projektierung mit Experten
ETS - Programmierung
ETS - Busmonitor

funktioniert bei mir auch, bei mir steht nur auch der HS in einem anderen Lan als der KNX-Router, das heißt ich habe auch auf alles Zugriff, nur der HS löst über den Tunnel beim KNX Router keine Gruppenadressen aus.
Warum die Firewall abdrehen, ich habe über den tunnel alle Ports offen.
habe sie aber trotzdem deaktiviert, keine Änderung

Kann ich am Homeserver vielleicht irgendwie eine Route eintragen?
Habe was in diese Richtung gelesen:
ip route add 224.0.0.0/4 dev eth0
echo 1 > /proc/sys/net/ipv4/ip_forward

könnte das funktionieren?
danke
maxxmobile

[Michel]

Schau dir mal im Experten im Bereich Projekt,Netzwerk den Teil "interne Gateways" an. Evtl. hilft das.

[maxxmobile]

Servus Michel!

Weiter oben habe ich meine Experten Settings beschrieben, ist da vielleicht der Fehler?

im experten bei Netzwerk folgende Werte eingestellt
Eigene IP: 192.168.3.50
Netzwerkmaske 255.255.255.0
Interne Gateway 192.168.3.1
Zielnet 192.168.2.0
mask 255.255.255.0
default gateway 192.168.3.1
DNS Server 192.168.3.1

Das 3er Netz ist das Netz mit dem Homeserver
Das 2er Netzt ist das Netz mit dem BUS

danke
maxxmobile

[swenga]

Multicast ist im IPSEC nicht implementiert! Das geht nur mit proprietären Lösungen (Cisco, SW-VPN) oder einem Application Level Gateway. Einfach mal nach IPSEC und Multicast googlen...

Dass die ETS mit Tunneling funktioniert ist kein Wunder, sind ja UDP-Unicast-Pakete. Alles andere (Client und Experte) sind IMHO TCP-Verbindungen.

mfg

Swen

[be1001]

Nimm einfach mal die internen Gateways raus, ich habe da nichts eingetragen und es geht trotzdem.

[eburkon]

oder ich meine irgendwo gelesen zu haben, dass man Multicast Pakete dann übertragen lassen muss.
Ich meine diese pakete werden bereits zugelassen.
maxxmobile

Also für das Routing Protokoll werden Multicasts benötigt.
Da IPSec ein sog. Pollicy orientiertes VPN ist, müsste man
IPSec im Tunnelmode aufsetzen und dann eine Policy für die Multicast
Adresse einrichten. Ab das in der Realität funktioniert weiss ich nicht.

In der Praxis löst man das typischerweise mit einem L2TP oder GRE Tunnel
innerhalb des IPSec VPNs.

Je nach dem was die Router können muss man dann noch Multicast Routing
einrichten, was IMHO etwas unangenehm zu konfigurieren ist.

Ich hab das mal so gelösst, dass ich einen Ethernet-overIP Tunnel zwischen den beiden Punkten konfiguriert habe. Da hat man dan das selbe L2 Lan auf beiden Seiten und mit dem Multicast keinen Stress.

Hab das innerhalb eines PPtP VPNs konfiguriert, da ich IPSec scheusslich finde.

OpenVPN im TAP mode muesste das auch können. Das unterstützen aber die von mir verwendeten Router (Router OS MikroTik Routers and Wireless) nicht.

Mit so nem Wald-und-Wiesen Homerouter dürfte das aber alles etwas schwierig werden.

Gruss
Ekkehard