Namensauflösung bei aktiver VPN-Verbindung

[MickH74]

Hallo liebes Forum,

sobald ich eine VPN-Verbindung zu meiner Firma aufbaue, funktioniert die lokale Namensauflösung meiner Synology Diskstation nicht mehr. Sie ist dann nur noch über die IP-Adresse erreichbar.
Bei meiner Fritzbox gibt es das Problem aber nicht. Sie ist weiterhin über Fritz.Box erreichbar.

Ich habe bei der Diskstation mal "DNS-Server manuell konfigurieren" aktiviert und die IP der Fritzbox als bevorzugten DNS-Server eingetragen, aber das hat nicht geholfen.

Kann mir jemand sagen, was ich ändern muss, damit die Namensauflösung der Diskstation auf bei aktiviertem VPN funktioniert?

Danke schon mal!
Mick

 

[tRITON]

Deine VPN Verbindung wird den DNS deiner Firma nutzen und die kennen deine Diskstation nicht.
Wenn du jetzt den DNS änderst wirst Du die Maschinen in der Firma nicht mehr erreichen können.

 

[SoDaTierchen]

Wie baust du die VPN-Verbindung denn auf, dass deine Diskstation davon betroffen ist? Ich glaube nicht, dass es im Interesse deiner Firma ist, dass du dein komplettes privates Netz mit dem Firmen-Netzwerk verbindest ...

 

[honky-tonk]

vll solltest du dir mal durchlesen, was DSN macht! an deiner DiskStation solltest du nichts am DNS ändern, wenn nur dein PC in Firmennetz eingewählt wird.

Und wie schon erwähnt wahrscheinlich wird der DNS deiner Arbeit bei der VPN einwahl genutzt, aber das kann man ohne config/VPN programm zu kennen nur vermuten. Ein workaround wäre die IP der DiskStation in die HOSTS datei des PCs einzutragen, dann wird die an dem PC statisch aufgelöst.

 

[Digitalzombie]

Wie baust du die VPN-Verbindung denn auf, dass deine Diskstation davon betroffen ist?

Wahrscheinlich per Programm? Und natürlich sind die Verbindungen dann betroffen vom selben PC aus, auf dem das VPN gestartet wird.

Ein workaround wäre die IP der DiskStation in die HOSTS datei des PCs einzutragen, dann wird die an dem PC statisch aufgelöst.

Nicht elegant ... aber durchaus eine Lösung! Mach ich meist ähnlich. Wenn auch aus Faulheit


@MickH74
Wie schon erwähnt, nutzt dein PC den DNS Server deines Arbeitgebers wenn die VPN Verbindung geöffnet wurde (kann tatsächlich auf Serverseite konfiguriert werden).
Welches Programm nutzt du denn genau?

Die meisten legen einen virtuellen Netzwerkadapter an. Dort wird die IP höchstwahrscheinlich per DHCP bezogen. Aber du kannst trotzdem einen zusätzlichen DNS Server (deine Fritzbox) eintragen, an den die Anfragen geleitet werden die dein VPN nicht auflösen kann.

 

[MickH74]

Ich benutz den Sophos SSL VPN-Client und verbinde mich anschließend über RDP mit einem Server in der Firma. Die Konfiguration des VPN-Client kommt vorgefertigt von der Firma.

Danke für den Tipp mit der Hosts-Datei.

Ich glaube nicht, dass es im Interesse deiner Firma ist, dass du dein komplettes privates Netz mit dem Firmen-Netzwerk verbindest ...

Aber das wäre auch der Fall, wenn ich mich z.B. mit dem Firmenlaptop über VPN verbinde. Schließlich ist der Laptop ja über mein WLAN ebenfalls mit meinem Netzwerk verbunden. Es sei denn, ich würde den Gastzugang nutzen...hm..

Aber verstehe ich das richtig, bei jeder Adresseingabe (also auch Webbrowser) wird der Firmen-DNS befragt? Aber Webseiten werden doch nicht über VPN aufgerufen. Das geht doch direkt. Und z.B. die Fritzbox und der Fritz-Repeater sind per Namen zu erreichen. Die kennt das Firmen-DNS doch auch nicht.

Ich würde das gerne besser verstehen. Wäre nett, wenn es mir jemand erklären würde.

Danke und Gruß,
Mick

 

[Raijin]

Du kannst nur entweder den DNS der Firma via VPN nutzen, um beispielsweise euren Fileserver mit Namen ansprechen zu können, oder deinen lokalen DNS, um dich mit NAS und Co mit Namen zu verbinden. Beides funktioniert nicht, weil der Firmen-DNS dein Heimnetzwerk ebensowenig kennt wie dein lokaler DNS das Firmennetzwerk.

Vom Standpunkt der Sicherheit ist es natürlich fraglich wie gern eure IT das sieht, wenn du überhaupt beides vom selben Gerät aus verbindest, weil so ggfs Malware vom privaten Datenbestand ins Firmennetzwerk gelangen kann. Im Zweifelsfall lass es also einfach bleiben.

Wenn du dennoch während der HomeOffice-Zeit auf dein privates NAS zugreifen möchtest, nimm eben entweder die IP oder trage die IP nebst Namen in die hosts Datei ein. Wo diese Datei liegt und wie man dort etwas einträgt sagt dir Onkel Google.

 

[Digitalzombie]

Aber verstehe ich das richtig, bei jeder Adresseingabe (also auch Webbrowser) wird der Firmen-DNS befragt? Aber Webseiten werden doch nicht über VPN aufgerufen.

Nicht bei JEDER Adresseingabe. Dein Browser und Windows cachen natürlich die Anfragen damit es ein bissi zügiger geht wenn du 30 mal am Tag die selbe Adresse aufrufst. Das kann auch der Grund sein, warum du weiterhin deine Fritzbox erreichst.

Websites/Daten KÖNNEN auch, wie der DNS, über das Unternehmensnetzwerk geleitet werden. Das kannst du sehr leicht überprüfen, indem du in der cmd-Konsole ein "tracert computerbase.de" machst. Einmal mit und einmal ohne aktiviertem VPN. Dann siehst du wie die Verbindung verläuft.

Du kannst nur entweder den DNS der Firma via VPN nutzen, um beispielsweise euren Fileserver mit Namen ansprechen zu können, oder deinen lokalen DNS, um dich mit NAS und Co mit Namen zu verbinden. Beides funktioniert nicht, weil der Firmen-DNS dein Heimnetzwerk ebensowenig kennt wie dein lokaler DNS das Firmennetzwerk.

Das stimmt so nicht. Die DNS Server müssen nichts von einander wissen. Das macht Windows für dich. DNS 1 anfragen -> kennst du die Website? Ne? Schade ... Hey DNS 2, wie siehts bei dir aus? Ja? Ohhhhh

 

[Raijin]

Ja, JEDE Abfrage an den DNS geht dann an die Firma. D.h. der Admin könnte in den Logs beispielsweise computerbase.de sehen.

Ob die eigentliche Verbindung auch via VPN geht, ist eine Frage der Einstellung des VPN-Clients. Geh einfach davon aus, um Probleme zu vermeiden.

 

[MickH74]

@Digitalzombie : Funktioniert! Danke sehr! :-)

Danke auch an die übrigen Beiträger. Ich weiß, dass unsere IT das nicht gerne sieht, aber es ist nicht verboten und die Arbeit im Home-Office ist mit dem großen PC sehr viel angenehmer als mit dem Firmen-Laptop.

Ihr habt mir sehr geholfen :-)

 

[Digitalzombie]

Ja, JEDE Abfrage an den DNS geht dann an die Firma. D.h. der Admin könnte in den Logs beispielsweise computerbase.de sehen.

Trick 17:
DNS des Unternehmens auch zusätzlich von Hand eintragen, automatischen Bezug deaktivieren, und die Abfragereihenfolge ändern.

 

[MickH74]

Das gefällt mir! Aber wo bekomme ich den DNS der Firma her?

 

[Raijin]

Der sekundäre DNS wird nur befragt, wenn der primäre nicht verfügar ist, also gar nicht oder zu lsangsam antwortet. Er wird mitnichten bei jeder DNS-Abfrage einbezogen, nur weil der primäre den Namen nicht auflösen kann.

 

[MickH74]

Ich fürchte, @Raijin hat recht, denn nun funktioniert die Verbindung zum RDP-Client nicht mehr :-(

 

[charmin]

Verstehe ich das richtig das du deinen Privaten PC via VPN mit dem Firmennetzwerk verbindest? Erstaunlich das das deine IT erlaubt (wir haben sowas technisch unterbunden).

Davon ab siehst du den DNS wenn du "ipconfig /all" im CMD bei aktiver VPN Verbindung ausführst. Der Firmen DNS wird aber in der Regel natürlich nur funktionieren wenn du auch via VPN verbunden bist.

Wenn du Standard RDP machst, kannst du dich auch über die IP Adresse verbinden, der Name ist nicht zwingend erforderlich.

 

[Raijin]

Ich weiß, dass unsere IT das nicht gerne sieht, aber es ist nicht verboten und die Arbeit im Home-Office ist mit dem großen PC sehr viel angenehmer als mit dem Firmen-Laptop.

Heißt das die IT weiß bescheid? Oder definierst du ein nicht offen kommuniziertes Verbot als nicht existent? Kläre das bitte unbedingt eindeutig mit der IT ab! Sowas ist kein Kavaliersdelikt, wenn es am Ende doch verboten ist und du es dennoch tust. Bei reinen RDP-Verbindungen ist das allerdings nicht ganz so schlimm wie wenn du zB direkt Netzlaufwerke aus der Firma auf dem privaten Gerät anbinden würdest, aber wenn du Malware auf deinem PC hast, kann die beliebig viel Unsinn mit der VPN-Verbindung anstellen. Daher muss das dennoch 100% geklärt sein.

Was genau ist mit dem großen PC denn "angenehmer"? Der Monitor? Die Maus+Tastatur? Beides kannst du auch an den Laptop anschließen und diesen dann einfach zugeklappt beiseite stellen (Achtung: Energiesparfunktion bei zugeklapptem Deckel beachten und ggfs auf "anbleiben" ändern). So arbeitest du dann mit dem Firmenlaptop, aber den "großen" Eingabe- und Ausgabegeräten, wie an deinem privaten PC.

 

[charmin]

Bei reinen RDP-Verbindungen ist das allerdings nicht ganz so schlimm

Aber auch nur wenn die IT alle Ports bis auf RDP dicht gemacht hat und bei RDP die Zwischenablage etc. nicht durchschleust. Anderenfalls ist das in Zeiten von Emoted etc. quasi egal, da die Malware intelligent genug ist sich selbst einen passenden Infektionsweg zu suchen.

Kläre das bitte unbedingt eindeutig mit der IT ab!

Kann ich zu 100% unterschreiben, der Schuss kann sonst ggf. gewaltig nach hinten los gehen.

 

[Raijin]

Da hast du mich quasi noch während des Tippens zitiert, weil ich den Satz um eben diesen Malware-Aspekt noch ergänzt habe

 

[Digitalzombie]

Der sekundäre DNS wird nur befragt, wenn der primäre nicht verfügar ist, also gar nicht oder zu lsangsam antwortet. Er wird mitnichten bei jeder DNS-Abfrage einbezogen, nur weil der primäre den Namen nicht auflösen kann.

Hat mir nu auch keine Ruhe gelassen. Hast recht. Hab nochmal ein bissi tiefer recherchiert über die Bedingungen mit denen Windows sich den DNS aussucht. Na man kann immer dazu lernen. Bin ich ja nur froh das es sonst eigentlich immer ganz gut auf meinen System funktioniert hat. DNS ist halt doch Voodoo.

Eine konsistente Aussage konnte ich bisher nicht finden. Im Durchschnitt kann man die Auswahl als "Zufall" beschreiben. Gibt ein paar kuriose Einstellungen, aber ich denke nicht das das hier sinnvoll ist.

@MickH74
Pack dein NAS und/oder den RDP in die Host-Datei rein wie Raijin vorschlägt. Ich ziehe meine Selbstsicherheit in diesem Thread hiermit zurück

 

[MickH74]

Es ist tatsächlich so, dass es erlaubt, aber nicht gerne gesehen wird, wenn man den privaten Rechner per VPN verbindet.

Was genau ist mit dem großen PC denn "angenehmer"? Der Monitor? Die Maus+Tastatur? Beides kannst du auch an den Laptop anschließen und diesen dann einfach zugeklappt beiseite stellen

Ja, der Monitor, Maus und Tastatur. Ich habe auch keine Lust, ständig alles hin und her zu stöpseln, zumal ich ja in der "Pause" den Rechner für private Dinge nutzen möchte. Allerdings finde ich es nicht so prickelnd, wenn alle Adressaufrufe in der Firma geloggt werden. Daher werde ich ab jetzt wohl doch den Firmenlaptop benutzen.

Allerdings habe ich gerade festgestellt, dass zwar der VPN-Aufbau funktioniert, wenn ich den Laptop über das Gastnetzwerk der Fritzbox verbinde, aber die Verbindung zum RDP funktioniert dann nicht.
Die Option "Internetanwendung beschränken" habe ich natürlich nicht aktiviert.

Bei der Verbindung über das normale WLAN funktioniert es aber. Da stellt sich dann die Frage, wie viel sicherer ist denn dieser Weg. Denn wenn ich Malware im lokalen Netz habe, dann wird auch der Firmenlaptop angegriffen und danach das Firmennetz über die VPN-Verbindung, oder?