Im VPN nur auf entferntes Netzwerk zugreifen

MacCB

Cadet 4th Year
Registriert
März 2009
Beiträge
67
Hallo,

ich benutze mit meiner Fritzbox 7490 (und einigen anderen Modellen in der Verwandtschaft) regelmäßig VPN-Verbindungen mit allen möglichen mobilen Geräten, u.a. Android und iOS Smartphones und Tablets, sowie Windows (10) Laptops.
Mit den Android-Geräten benutze ich u.a. die Bordmittel von Android 7, um eine VPN-Verbindung aufzubauen.

Obwohl in allen Fällen die lokale Fritzbox (also wenn ich per WLAN online bin) und die entfernte Fritzbox den gleichen Adressbereich benutzen und jeweils sogar die gleiche lokale Adresse haben (192.168.178.1), verbinden sich die Android-Geräte allesamt grundsätzlich immer mit dem entfernten Router, sobald ich besagte IP oder sogar fritz.box ansteuere. Dies ist das Verhalten, wie ich es mir wünsche - z.B. wenn ich auf Schwiegermutters Fritzbox nach dem Rechten sehen soll. ;)
Dabei ist auch noch anzumerken, daß unter Android bei Benutzung einer VPN-Verbindung die Geräte im lokalen Netz allesamt nicht mehr erreichbar sind, sondern nur noch die entfernten Adressen, unabhängig davon, ob sie ggfs. die gleichen IPs haben.

Unter Windows 10 benutze ich den Shrew Soft VPN Client. Dort ist es mit bisher nicht gelungen, nach erfolgreichem VPN-Aufbau ausschließlich die entfernte Fritzbox anzusteuern, solange diese die gleiche IP hat wie meine lokale. Nach Eingabe von 192.168.178.1 bzw. fritz.box lande ich ausschließlich auf der lokalen Fritzbox.

Scheinbar sind die VPN-Clients unter Android (ohne mein Zutun) automatisch so konfiguriert, daß sie das lokale Netzwerk ausblenden. Mittels der Shrew-VPN-Verbindung greife ich immer auf beide Netze zu, was bei doppelten Adresse natürlich Probleme bereitet (solange ich nicht auf strikt getrennte Adressbereiche setzen kann), bzw. es wird das lokale Netz bevorzugt.

Eine Option, die dies steuern könnte, ist mir im Shrew bisher noch nicht unter die Finger gekommen oder ich hab sie nicht als solche identifziert. Da ich manche Aktionen aber auch gern vom PC unter Windows in den entfernten Routern vornehmen möchte, wäre ein solche "Ausblendung" des lokalen Netzwerks bzw. des lokalen Routers ganz hilfreich, wenn er die gleiche Adresse benutzt. Scheinbar muss das ja z.B. auch ohne die Änderung der lokalen Adresse der Fritzbox funktionieren, sonst würden die Android-Geräte das ja auch nicht können.

Hat da jemand einen Tipp für mich?

Grüße,
Mac
 
Best Practice ist auf jeden Fall was anderes. Ob physisch getrennt oder nicht, sollten sich logisch verbundene Netze niemals überschneiden. Ansonsten kann's mit dem Routing gerne schnell haarig werden. Wäre denn eine Trennung der Netzbereiche eine Option?
 
coxeroni schrieb:
Best Practice ist auf jeden Fall was anderes.

Das ist mir, wie bereits angedeutet, durchaus bewusst. Sauber wäre...

coxeroni schrieb:
Wäre denn eine Trennung der Netzbereiche eine Option?

... genau das. Aber manchmal hab ich da keinen Einfluss drauf oder es ist aus anderen Gründen nicht praktikabel. In solchen Fällen wäre besagte Option, wie sie augenscheinlich bei den Android-VPN-Clients zum Einsatz kommt, hilfreich.

Grüße,
Mac
 
Warum sollte die Änderung der Subnetze nicht praktikabel sein? Ich bezweifle stark, dass deine Schwiegermutter auf 192.168.178.0/24 angewiesen ist. Einmal die IP der Fritzbox und die DHCP-Range entsprechend anpassen und Schwiegermutters Fritzbox ist fortan zB unter 192.168.123.1 erreichbar. Wenn du die entfernten Netzwerke nicht anpassen kannst, dann kannst du immerhin dein eigenes anpassen. Es sei denn natürlich Schwiegermutter ist auch ständig per VPN mit Onkel Peters Fritzbox verbunden....

Das grundlegende Problem ist, dass der VPN-Client alles über das VPN schickt. So sind eben auch lokale Geräte nicht mehr erreichbar, weil der Traffic komplett über das VPN geschickt wird und dort eben ein anderes Gerät antwortet. Ohne Trennung der Subnetze, wird das auch so bleiben. Wenn überhaupt, dann wäre es sonst andersherum, du könntest nur lokale Geräte sehen und nix mehr auf der anderen Seite vom VPN. Eine IP muss eben eindeutig sein und wenn sie es nicht ist, funktioniert auch nur die eine...
 
Hallo,

danke für die Hinweise und Erläuterungen.

Spricht irgendetwas gegen folgende Konfiguration?

Fritzbox 1:
Fritzbox-IP 192.168.178.1
DHCP-Bereich 192.168.178.20 - 200
Maske 255.255.240.0

Fritzbox 2:
Fritzbox-IP 192.168.168.1
DHCP-Bereich 192.168.168.20 - 200
Maske 255.255.240.0

Fritzbox 3:
Fritzbox-IP 192.168.158.1
DHCP-Bereich 192.168.158.20 - 200
Maske 255.255.240.0

Fritzbox 4:
Fritzbox-IP 192.168.148.1
DHCP-Bereich 192.168.148.20 - 200
Maske 255.255.240.0

Grüße,
Mac
 
Jein. Generell würde ich in Bezug auf VPN die Standard-Subnetze komplett meiden. Wenn du irgendwann mal in die Situation kommst, von einem Hotel, o.ä. aus auf Fritzbox1 zugreifen zu müssen, kann das problematisch werden, wenn das Hotel eben auch eine 08/15 Fritzbox mit dem Standard-Subnetz hat.

10.0.0.0 - 10.255.255.255
172.16.0.0 - 172.31.255.255
192.168.0.0 - 192.168.255.255

Das sind die reservierten IP-Bereiche für private Subnetze. Man kann sich beliebig austoben, sollte allerdings die gängigen Netze wie 192.168.0.0/24 ; 192.168.1.0/24 ; 192.168.2.0/24 ; 192.168.178.0/24 ; 192.168.179.0/24 meiden wie die Pest, wenn man mit VPN arbeitet.


Deine Subnetzmasken sind nicht ok.

192.168.178.0/20 (=192.168.178.0 @255.255.240.0) geht von 192.168.176.1 - 192.168.191.254
192.168.168.0/20 (=192.168.168.0 @255.255.240.0) geht von 192.168.160.1 - 192.168.175.254
192.168.158.0/20 (=192.168.158.0 @255.255.240.0) geht von 192.168.144.1 - 192.168.159.254
192.168.148.0/20 (=192.168.148.0 @255.255.240.0) geht von 192.168.144.1 - 192.168.159.254

Die Subnetzmaske solltest du nur anfassen, wenn du genau weißt was du tust. Einzeln sind die Subnetze zwar durchaus in Ordnung, aber 1. wäre die Fritzbox dann jeweils nicht an erster Stelle des Bereichs und 2. hättest du bei FB3/4 eine Überschneidung der Subnetze, da sie im selben Subnetz liegen. Die Subnetzmaske ist kein Wert, den man "einfach so" ändern kann. Belasse die Netzwerke auf einer /24er Subnetzmaske (255.255.255.0) oder schiebe die Bereiche entsprechend so zurecht, dass sie sich nicht überschneiden. Ich gehe aber davon aus, dass /24 locker ausreicht, da ich mir kaum vorstellen kann, dass du mehr als 254 Geräte im Netzwerk hast.
 
Zurück
Oben