2 Fritz!Box VPN mit Windows 10 Firewall

[Homer42]

Hallo!
Ich habe über 2 entfernte Standorte mit den jeweiligen Fritz!Boxen ein dauerhaftes VPN aufgebaut.
Remote-Desktop-Zugriffe zu den Rechnnern zwischen den Standorten, das Anpingen der Fritzboxen aus dem jeweils anderen Netzwerk und eine MySQL Datenbank funktionieren schon übergreifend und problemlos.
In jedem Netzwerk gibt es einen Win10 Server, auf die wechselseitig auch als Netzlaufwerk zugegriffen werden soll. Das funktioniert nur bei ausgeschalteter Firwall. Das Problem ist wohl ein Klassiker, aber ich krieg es trotz Lesen vieler ähnlicher Probleme im Netz nicht hin. Wie genau muss die Win10-Firewall (möglichst einfach) umkonfiguriert werden, um das lokale/private Netzwerk um den jeweils anderen VPN-Standort zu erweitern?
Besten Dank

 

[conf_t]

Du muss bei den für den Zugriff erlaubten Netzwerken nicht nur das lokale Subnetz erlauben, sondern auch zusätzlich das entferne Netzwerk als Quell-IP erlauben.
Dazu gehst du am Ziel auf die erweiterten Firewalleinstellungen, Eingehende Regel, suchst dort den Dienst der genutzt werden soll und fügst dem Eintrag als Remoteadresse noch das entfernte Subnetz / oder einzelne IPs von dort hinzu. Im Zweifel kannst du auch noch mal bei den Ausgehenden Regeln schauen, ob dort was blockiert, aber üblicherweise nicht.

Du solltest noch beachten unter welchen Profil deine Netzwerkumgebung läuft, ob Privat, Domänennetzwerk oder Öffentlich als Profil gewählt hast und ggf. das Profil wechseln oder anpassen.

 

[Homer42]

Vielen Dank für die schnelle Antwort. Ich habe keine Firewall-Erfahrung. Wo genau bzw. unter welchem Eintrag kann ich das machen?

 

[conf_t]

Du musst nach Remotedesktop dort suchen, habe mal nen zensierten Screen gemacht. Da muss in der Spalte Remoteadresse eben auch das entfernte Netz stehen.

 

[Homer42]

Das sieht bei mir schon so aus, dass beliebige Adressen zulässig sind:

Der "Remotedesktop" funktioniert auch schon problemlos. Oder heißt das in der Firewall nur so und bewirkt aber noch was anderes? Die Probleme habe ich mit dem Windows Explorer, also mit der Verwednung der Server als Netzwerkspeicher von Dateien.

 

[holdes]

Ja das ist etwas anderes. Einfach Alle Verbindungen der Gegenseite auf Port 445 erlauben dann sollte das laufen.

 

[conf_t]

Achso, da hatte ich dich wohl falsch verstanden. Die notwendigen Zeilen sind die mit "Drucker- und Dateifreigabe" in der gleichen Liste.

 

[Homer42]

Ich habe jetzt bei Datei/Drucker den Bereich bei Remote-IP erweitert.
Das sind aber viele Datei/Druckerfreigaben.

Habe das jetzt mal bei
Echoanforderung - ICMPv4
und
LLMNR-UDP
gemacht.

Leider funktioniert es noch nicht. Was ist der entscheidende Eintrag?
Soll ich den Bereich als von-bis-IP-Bereiche eintragen oder als 0/24?

siehe screenshot

 

[conf_t]

Da dürften noch an den richtigen Regeln die Freischaltungen fehlen.
LLNR ist nur eine Methode der Namensauflösung und Echo Anforderung nur eine Erreichbarkeits prüfung.

Ergänzung (13. Januar 2020)

Schau mal nach diesen:

Insbesondere "SMB eingehend" dürfte am relevantesten sein. Spoolerdienst brauchst du nur für die Druckerfreigabe, aber nicht für die Dateifreigabe

 

[Raijin]

Scroll die Liste mal weiter nach rechts und dann solltest du auch den zur Regel dazugehörigen Port sehen. Für Netzlaufwerke wird eigentlich nur TCP 445 benötigt, aber ggfs auch noch 137-139 UDP/TCP. Achte vor allem darauf, dass du nur die Regeln änderst, die dem aktuellen Profil der Netzwerkschnittstelle zugeordnet sind, das sollte im Heimnetzwerk "privat" sein. Sollte das Netzwerk aktuell als "öffentlich" eingestuft werden, gelten nur die Regeln, die dem Profil "öffentlich" zugeordnet sind. Diese Regeln solltest du aber nicht anfassen, weil sie im schlimmsten Falle ein Sicherheitsrisiko darstellen, wenn sich der Laptop/PC mal in einem fremden Netzwerk befindet, sei es ein Hotspot, LAN-Party, o.ä.

Netzwerk auf "PRIVAT" einstellen
In der Firewall ausschließlich die Regeln für das Profil "PRIVAT" ändern