pc nimmt falsche route ins lokales Netzwerk

[dermatu]

Ich hoffe mal die Überschrift passt.
Ich hab bei mir Zuhaus eine Unifi Dreammachine Pro und hab zwei Netzwerke zu Hause eingerichtet.

192.168.1.xxx
und
192.168.20.xxx

Meine Geräte sind alle im 1er Netz und die Geräte meines Nachbarn mit dem ich mir den Anschluss Teile sind alle im 20er Netz. Er hat oben einen Switch der über LAN Kabel verbunden mit meinem Switch im Wohnzimmer verbunden ist und an dem Port hab ich über die Unifi Benutzeroberfläche (Port Konfiguration) eingestellt, dass alle Geräte die an diesem Port hängen ins 20er kommen.

Er greift mit Windows über SMB auf einen Share auf meinem NAS zu. Das funktioniert soweit so gut. Sein Rechner ist im 20er Netz. Mein NAS im 1er Netz-

Wenn er aber oben seine VPN Verbindung aktiviert dann fängt sein PC irgendwie an zu spinnen.

Er hat den Share als Netzwerklaufwerk eingebunden und kriegt auch Dinge angezeigt. Jedoch extrem langsam und mit Wartezeiten.

Wenn er die IP Adresse im Explorer eingibt um auf das NAS zuzugreifen kommt keine Verbindung zu Stande. Ping liefert Zeitüberschreitung als Ergebnis. Traceroute zeigt an an, dass er scheinbar erst mit VPN rausgeht und dann versucht irgenwo hin zu verbinden ... alle anderen hops werden mir nur als * angezeigt.

Nach extrem langer Wartezeit zeigt aber das bereits verbundene Netzlaufwerk dann aber trotzdem irgendwann die Ordner und Dateien an. Und er kann sich durch Verzeichnisse klicken etc.

Ich hab schon versucht die IP Adresse in den Internetoptionen als "Intranet" hinzuzufügen, in der Hoffnung dass der PC kapiert, dass es sich um lokale Adressen handelt. Ich kenn mich da ehrlichgesagt viel zu wenig aus, das war quasi einfach nur mal irgendwas ausprobiert um zu sehen ob es was hilft.
Kennt jemand die Ursache und eine Lösung für das Problem, dass er trotz aktiver VPN Verbindung sich im lokalen Netz normal bewegen kann ?

 

[redjack1000]

Was für ein VPN ist das und wie ist es konfiguriert?

CU
redjack

 

[rg88]

Wenn er aber oben seine VPN Verbindung aktiviert

zu was?

 

[dermatu]

Er nutzt die Client Software von perfect privacy. (https://www.perfect-privacy.com/de/) Die baut eine openVPN Verbindung nach Rotterdam auf. Welche Einstellmöglichkeiten man da genau hat bin ich gerade überfragt, da ich die selbst nicht nutze.
Meinem Verständnis nach müsste man lokal auf seinem Rechner wohl irgendeine Art "Weiche" einstellen, dass der Rechner weiß für welchen Traffic er VPN nutzen sollte und welcher ohne VPN ins lokale Netz geht.

 

[rg88]

wärs nicht sinnvoller, wenn ER hier einen Thread aufmacht, immerhin ist es sein Problem.
Dass Windows erstmal die letzte aufgebaute Verbindung hernimmt, wenn man kein anderes routing eingestellt hat, ist nunmal logisch und normal.
Aber dieses ganze über 2 Ecken Probleme lösen ist mir echt jetzt schon zu mühsam.
Sag ihm doch einfach, dass er hier sich selbst drum kümmern soll mit einem eigenen Thread. Das führt doch so zu nix. "Schuld" ist seine Technik, nicht deine.

Btw: du lässt ihn auf dein NAS? Dir ist klar, dass ein anderer IP-bereich kein Schutz deiner daten ist?

 

[redjack1000]

redirect-gateway aktiv?

Cu
redjack

 

[dermatu]

@rg88 Nene, ich regel das alles, weil er sich überhaupt nicht auskennt. Er ist einer meiner besten Kumpel, da hab ich keine Sicherheitsbedenken und ich hab das alles so eingestellt, dass er Ordner auf dem NAS hat und wir haben noch einen Austausch Ordner. Das passt schon. Zur Not kann ich mich auch mit Anydesk hochverbinden.

redirect-gateway aktiv?

Das sagt mir leider erstmal gar nix.

 

[Raijin]

Ich kenn mich da ehrlichgesagt viel zu wenig aus, das war quasi einfach nur mal irgendwas ausprobiert um zu sehen ob es was hilft.

Nene, ich regel das alles, weil er sich überhaupt nicht auskennt.

Also habt ihr unterm Strich - mit Verlaub - beide keine Ahnung davon, deine Worte. Denkbar schlechte Voraussetzungen für so ein Setup...

Er ist einer meiner besten Kumpel, da hab ich keine Sicherheitsbedenken

Das ist leider etwas naiv, wenn ich das mal so sagen darf. Malware muss ja nicht absichtlich den Weg auf seine und dann über das NAS auf deine Geräte finden, sondern durch simple Unachtsamkeit. Sowas kann je nach Schaden, der dadurch entsteht, auch eine Freundschaft auf's Spiel setzen. Das Sicherheitsrisiko ist immer präsent, egal wie gut man sich kennt.

Das sagt mir leider erstmal gar nix.

OpenVPN hat eine Option, die sich redirect-gateway nennt. Damit leitet der VPN-Client alle Ziel-IPs, die nicht im eigenen lokalen Subnetz liegen (.20.x) zum VPN-Server um.

Lösung:

PC des Kumpels -> Start -> cmd (admin)
--> route add 192.168.1.x mask 255.255.255.255 192.168.20.1 -p

Damit wird eine permanente Route zur IP des NAS (.x entsprechend ersetzen) über den Router und ist Dvon der besagten Umleitung von OpenVPN ausgenommen. Die Route gilt explizit nur für diese eine IP-Adresse und nicht für die übrigen IPs in deinem 1er Subnetz.

 

[dermatu]

Ich hab jetzt mal parallel gegoogelt. Kann es sein, dass ich mit route ADD was einstellen kann ?

https://www.giga.de/downloads/windo...tcp-ip-route-zu-routing-table-adden-so-gehts/

Wenn ich das so lese, müsste ich doch damit vorankommen (100% verstanden hab ich es noch nicht aber es sieht sehr verdächtig richtig aus)

Ergänzung (15. April 2023)

Lösung:

PC des Kumpels -> Start -> cmd
--> route add 192.168.1.x mask 255.255.255.255 192.168.20.1 -p

Damit wird eine permanente Route zur IP des NAS (.x entsprechend ersetzen) über den Router und ist Dvon der besagten Umleitung von OpenVPN ausgenommen. Die Route gilt explizit nur für diese eine IP-Adresse und nicht für die übrigen IPs in deinem 1er Subnetz.

Da lag ich dann ja gar nicht so falsch. Danke für die Hilfe und den Tipp

Ergänzung (15. April 2023)

Also habt ihr unterm Strich - mit Verlaub - beide keine Ahnung davon, deine Worte. Denkbar schlechte Voraussetzungen für so ein Setup...

Genau deswegen mache ich das. Weil ich mich immer weiter reinfuchsen will.

 

[rg88]

. Er ist einer meiner besten Kumpel, da hab ich keine Sicherheitsbedenken und ich hab das alles so eingestellt, dass er Ordner auf dem NAS hat und wir haben noch einen Austausch Ordner. Das passt schon.

er muss ja dafür gar nichts böses im Schilde führen. Aber wenn er eh keine Ahnung hat, dann sind das genau die Leute, die sich potentiell am ehesten einen Verschlüsselungstrojaner einfangen und dann sind deine Daten genauso unbrauchbar wie seine, wenn der halbwegs "gut" ans Werk geht.
Du betreibst hier security by obscurity, das ist etwas was früher oder später meistens gewaltig schief geht

 

[dermatu]

Ja ich werde hier nach und nach noch weiter dran rumbasteln.

Als nächstes ist geplant alle iot geräte wie z.b. Sonos, Shield TV, Denon Surround Sound, Smart TVs usw. in ein separates Netz (VLAN?) zu machen.

Und dann mit den Firewallregeln in der Dreammachine den Datenverkehr zwischen den Netzen unterbinden bzw. trennen.

Für mich ist das auch wenn das jetzt für Leute die sich mehr auskennen als ich unsicher aussieht, ein Learning by doing Projekt.

 

[Raijin]

Sicherheit und learning by doing sind ganz miese Partner.

Als nächstes ist geplant alle iot geräte wie z.b. Sonos, Shield TV, Denon Surround Sound, Smart TVs usw. in ein separates Netz (VLAN?) zu machen.

Und dann? Bedienst du die IoT-Komponenten mit Apps auf Smartphone/Tablet? Wenn ja, mach dich darauf gefasst, dass die eine oder andere App plötzlich keine Geräte mehr findet. Die meisten IoT-Systeme sind leider nur schlecht bis gar nicht auf komplexe Netzwerke ausgelegt. Wenn du dir selbst einen Gefallen tun willst, halte dich an das KISS-Prinzip. Insbesondere wenn man keinerlei Erfahrung mit sowas hat, sollte man die Komplexität gering halten. Sicherheit kommt im Netzwerk nicht dadurch, alles in kleine Teilnetze zu splitten, sondern einzig und allein durch die fachgerechte Konfiguration der Firewall dazwischen.