Home-Office: VPN / eigener PC / privaten DNS-Server verwenden

[-Overlord-]

An sich kein Hexenwerk.

Erst mal musst du raus finden, wo dein kompletter Traffic durch das VPN geroutet wird, oder nur die Netze vom Arbeitgeber gepusht werden. Hierzu:

Ohne VPN: https://ident.me
Mit VPN: https://ident.me

Wenn bei beiden die Adresse, welche zurück gegeben wird, identisch ist, dann wird der der Traffic nicht komplett getunnelt. Du kannst das natürlich auch via "cmd - route print" anzeigen lassen und "für die Profis" gegenprüfen.

Wird nur die Route gepusht, dann ist die Sache relativ einfach:
nslookup rdpdnshost (also dein Server mit der RDP Verbindung)

Damit bekommst du die IP (alternativ kannst das Ding auch einfach anpingen) und bekommst die IP.

Dann gibt es mehrere Möglichkeiten:
-Je nach VPN Anbieter (in der Regel haben die eine Config) raus nehmen, dass DNS Server gesetzt werden
-nach der Verbindung den DNS Server über ne Batch selber anpassen:

netsh interface ip set dns "Ethernet" static 1.1.1.1

Und dann in der hosts von Windows einfach den Eintrag machen für deinen Arbeitgeber:

RDPDNSHOSTNAME IP

Oder auch einfach nur mit der IP verbinden.

Wenn der komplette Traffic geroutet wird, die IT darum bitten, dass das nicht gemacht wird (ist auch sinniger für die IT, weil Secure VPNs natürlich auch beim Arbeitgeber ordentlich Ressourcen futtern und man nicht alles geroutet haben will) oder gucken, ob du da selber was machen kannst (Google nach der VPN Software und ob das möglich ist) - bei OpenVPN ist das z. B. recht einfach

Oder aber, wenn dir das zu umständlich ist und nichts geroutet wird: Einfach deine lokalen Adressen in der hosts eintragen. Dann kannst du ganz normal, ohne deinen DNS, deine Ressourcen aufrufen (für deinen PC).

 

[Ja_Ge]

Logisch. Wenn der VPN Client aber aktiv ist, ist der PC nicht mehr im lokalen Subnetz sondern in dem des AG. Somit sind die lokalen IPs dann auch nicht mehr erreichbar.

Nein, sonst wäre direkt die Verbindung zum Heimrouter (Fritzbox etc.) wieder weg und die VPN würde direkt getrennt werden.
Von den 2 Netzwerkkarten ist die physikalische immer im Heimnetz, die virtuelle im Subnetz des Arbeitgebers.

 

[SaxnPaule]

Ja, da hast du Recht. Also muss es ja doch eine Route geben, die nämlich alle Anfragen durch das VPN in das Netz des AG leitet. Ansonsten wären ja trotz VPN die lokalen IPs aufrufbar. Dem scheint aber nicht so zu sein und ist in meinem Fall auch nicht so.

Oder aber die virtuelle NIC wird immer bevorzugt behandelt (Metrik).

 

[Der_Dicke82]

Moin moin,

mal kurz eine grundsätzliche Frage.

Abgesehen von deiner Arbeitszeit, hast du die VPN Verbindung zum AG doch getrennt, oder?

Warum benötigst du Zugriff auf private Ressourcen während der Arbeitszeit?

Gruß, Stefan

 

[Ja_Ge]

Funktioniert tatsächlich nicht. https://domain.de funktioniert, jedoch nicht https://ip.de. Dies hatte ich geprüft bevor ich den

Die IP ohne .de oder anderem Suffix probiert?

 

[SaxnPaule]

Warum benötigst du Zugriff auf private Ressourcen während der Arbeitszeit?

Ist hier nicht Thema.
Aber ich mag z.B. nicht jedes mal aufstehen um den Ventilator zu de/aktivieren oder das Licht an/auszuschalten. Das geht per Smart-Home deutlich bequemer.

 

[derchris]

Ohne alles gelesen zu haben. Finde nur ich es "befremdlich", dass die Firma private PCs mit VPN ins Netz lässt, nur um dann eine RDP Sitzung aufzubauen? In solchen Fällen würde ich lieber die privaten PCs an einen externen connection broker (Citrix, VMware horizon) verbinden lassen und dann via 2FA authentifizieren ... aber sei es drum.

Würde auf dem privaten PC eine VM machen, den VPN client in der VM installieren und die VM dann nur dafür nutzen.

 

[Ja_Ge]

Oder aber die virtuelle NIC wird immer bevorzugt behandelt (Metrik).

Wie gesagt, wer Teil eines Subnetzes ist schaut nicht in die Routing Tabelle nach einem Gateway für dieses Subnetz. Meist sind es die Firewalls die in den VPN Clients integriert sind, die so etwas blocken. Wir hatten hier mal eine Variante, da hat der VPN Client via Script einen Proxy in die Browser eingetragen.

 

[Zero_Official]

Habe mich mal so reingelesen....

also wenn du einen VPN Klient auf deinem privaten PC hast dann sollte nach dem beenden von der VPN Sitzung dein Netz benutzt werden inklusive dein DNS Drucker etc.

so ist es bei mir auch außer das ich meinen Privaten superduper Gaming PC für den Arbeitgeber nutze Ha Ha Ha... aber Spass bei Seite.

Käme den Virtueller Rechner in Frage? ob nun Privater oder Arbeitgeber PC Virtualisiert?
dann könntest du die VM an eine eigene Netzwehrkarte binden und Fertig?

 

[h00bi]

Wenn es dann noch eine Möglichkeit gibt meine DNS-Anfragen außerhalb der RDP-Sitzung über meinen DNS-Server laufen zu lassen und meine privaten Domains aufzulösen wäre das echt super. Unter keinen Umständen möchte ich den DNS-Server meines Arbeitgebers umgehen [...]

Naja, aber genau das tust du bzw. danach fragst du.

Im Prinzip hast du 5 Möglichkeiten:
a) Du steigst auf ein Firmengerät um
b) Wenns kein Firmengerät gibt, machst du kein Home Office mehr
c) Du verzichtest während der Arbeitszeit auf Privatkram an deinem PC
d) Du setzt dir eine VM (oder ZweitPC) auf und arbeitest aus der VM heraus oder machst deinen Privatkram während der Arbeitszeit über die VM.
e) Es ist nur DNS. Leb damit.

Für Variante D gibts ein interessantes Projekt:
https://sourceforge.net/projects/ubuntu-business-desktop-lxc/
bzw. auf github:
https://github.com/boospy/Ubuntu-LXC-Terminalserver-Project

 

[D.M.X]

Hi,
ich denke technisch ist ja schon alles hier geschrieben worden. Persönlich würde ich es tatsächlich auch eher anders machen und ggf. mit dem Arbeitgeber reden. Evtl. findet ihr eine Einigung ein Notebook aufzutreiben das du für das HO nutzen kannst, oder ihr teilt euch die Kosten. Oder im Notfall besorgst du dir selbst ein gebrauchtes. Alles besser aus den privaten PC zu nehmen würde ich sagen.

Geht das alles gar nicht würde ich die VM Variante nehmen.

 

[wahli]

Für gewöhnlich werden deine interne IPs nicht erreichbar sein. Der Tunnel schluckt alles, d. h. alles geht zuerst über den Tunnel und es ist dann so, als würdest du in der Firma sitzen.

Lösungen/Alternativen:

1. Dann bleibt nur, dass du deine int. IPs öffentlich erreichbar machst - vermutlich keine Option.
2. Oder du lässt deinen privaten PC laufen. Evtl. mit einem Monitor per KVM umschaltbar. So mache ich es.
3. Alternativ Zugriff über Smartphone auf deinen eigenen lokalen Kram.

 

[H3llF15H]

Wenn deine Hosts nicht per IP erreichbar sind, bringt dir ein Eintrag in der Hosts Datei auch nichts.

Dazu vielleicht noch weiterführende Infos:

• für div. Geräte innerhalb meines Netzwerks habe ich einen Domain Name angelegt (Beispiel: emby.local, ccu3.local etc.)
• für AdGuard Home (adguard.privat.de) wie auch Vaultwarden (vaultwarden.privat.de) nutze ich eine Domain, die bei Netcup gehostet wird (beide Adressen sind nicht über das Internet erreichbar)

An einer Stelle habe ich eben nicht aufgepasst: alle ".local"-Domains lassen sich aufrufen während ich mit VPN verbunden bin.

Die Domain für AdGuardhome lässt sich auch aufrufen während ich VPN nutze, Vaultwarden nicht (Meldung: ERR_CONNECTION_REFUSED). Ein Eintrag in der Hosts-Datei (mit Admin-Rechten) schafft keine Abhilfe. Warum auch immer. Da bin ich auch nicht tief genug in der Materie um irgendwelche Überlegungen anstellen zu können. Beide Anfragen mittels nslookup geprüft, beide werden vom DNS des AG beantwortet

@-Overlord-
Da mein Leben nicht von einer DNS-Auflösung abhängt, ist mir da too much

Die IP ohne .de oder anderem Suffix probiert?

Jap. http://ip funktioniert, jedoch setzt Vaultwarden eine sichere Verbindung voraus.

Abgesehen von deiner Arbeitszeit, hast du die VPN Verbindung zum AG doch getrennt, oder?

Selbstredend.

Warum benötigst du Zugriff auf private Ressourcen während der Arbeitszeit?

Sprach der, der im Büro sitzt und die Ressourcen seines AGs nutzt um unnütze Beiträge zu verfassen und provokante Fragen zu stellen. Nice Try.

also wenn du einen VPN Klient auf deinem privaten PC hast dann sollte nach dem beenden von der VPN Sitzung dein Netz benutzt werden inklusive dein DNS Drucker etc.

Korrekt. Ohne VPN läuft alles wie gewünscht.

Würde auf dem privaten PC eine VM machen

Geht das alles gar nicht würde ich die VM Variante nehmen.

Käme den Virtueller Rechner in Frage?

Die Idee klingt auch nach einer gangbaren Lösung.

 

[gaym0r]

Nein,

Doch, das geht schon. Je nach VPN-Software kann man dann keine Geräte im eigenen Netz mehr erreichen.

 

[Bob.Dig]

Definitiv VM zum Arbeiten. Das würde ich sogar als erstes machen, nicht als letztes.

 

[Ja_Ge]

Jap. http://ip funktioniert, jedoch setzt Vaultwarden eine sichere Verbindung voraus.

Dann die IP mit ins Zertifikat reinpacken.

Ergänzung (11. Juli 2024)

Doch, das geht schon. Je nach VPN-Software kann man dann keine Geräte im eigenen Netz mehr erreichen.

Du Hast meine Antwort aus dem Zusammenhang gerissen.

 

[H3llF15H]

Dann die IP mit ins Zertifikat reinpacken.

Das funktioniert wie? Die Verwaltung übernimmt der Nginx Proxy Manager. Bin da leider nicht ganz so firm.

 

[thrawnx]

Also ich habe das früher (vor 20 Jahren) so getrennt:

NIC 1: VPN zum Uni Netz
NIC 2: Alles andere

Das kannst du über permanente Routen in Windows direkt einstellen, dass z.B. der ganze Traffic zur IP deines Arbeitgebers über die eine NIC läuft, alles andere über die zweite NIC (route --help/route print in der Console). Und normal konnte man in früheren Windows Versionen auch einen DNS Server pro Verbindung einstellen, das ging da wo man auch feste IP eingetragen kann. Aber nicht sicher ob das bei aktuellen Windows Versionen noch geht (sehe aber keinen Grund warum es das nicht sollte)

 

[Der_Dicke82]

Das geht per Smart-Home deutlich bequemer.

Sorry für OT, aber wenn du aktiv werden musst, ist dein home nicht smart!

Zum Thema: Normal kann man die routing regeln direkt in der VPN Verbindung regeln, aber da sich bei deiner IT niemand drum kümmert und einfach alles umleitet, wird es schwierig!

Unter Linux kannst du selbst relativ leicht routen, bei Windows? Keine Ahnung!

Besteht nicht die Möglichkeit alles von der Arbeit in eine VM zu packen?

 

[gaym0r]

Du Hast meine Antwort aus dem Zusammenhang gerissen.

Eigentlich nicht, nein.