Über VPN Client entferntes VPN Netz erreichen

[Avenger84]

Ja genau, nur wie funzt das Routing über IPv4 @CGNAT frage ich mich.
Es geht ja auch zurück irgendwoher. Ich vermute da werden im CG irgendwelche Ports temporär benutzt.

 

[riversource]

Nehmen wir an, Du hast einen Tunnel(Server) mit vielen einzelnen Peers. Nun soll einer der Peers auch einen der anderen Peers erreichen können, ohne, dass eine direkte Verbindung besteht. Dafür muss der aber auch wissen, dass das Netz größer ist als nur die beiden Endpunkte. So stell ich mir das zumindest als Laie vor.

Richtig. Und genau das machst du über die Allowed IPs, aber nicht über die Adresszeile. Da kannst du Zugriff auf einzelne Hosts erlauben oder aufs ganze Netz oder auf Teilbereiche davon, in aller Flexibilität.

Ja genau, nur wie funzt das Routing über IPv4 @CGNAT frage ich mich.

Wenn eine ausgehende Verbindung über einen NAT Router initiiert wird, dann merkt der sich für eine gewisse Zeit, welchen ausgehenden Port er dafür verwendet hat. Kommt dort eine Antwort an, dann leitet er sie an den Client in seinem Heimnetz weiter. Zeiträume für solche NAT Tabellen Einträge sind 30 Sekunden bis 5 Minuten nach dem letzten Paket, danach ist die Zuordnung üblicherweise weg. Konfrontiert wird man damit häufig bei VoIP Telefonen, die oft eine Einstellung haben "Portweiterleitung im Router offen halten" und man kann dort eine Zeit zwischen einigen Sekunden und einigen Minuten einstellen. Dann schickt das Telefon z.B. alle 30 Sekunden ein Paket los, damit der Router den Eintrag nicht vergisst. Sonst ist man irgendwann von außen nicht mehr erreichbar.

 

[Bob.Dig]

Richtig.

Ok. Aber selbst auf der Demo-Site ist es so zu sehen. Also im Zweifel besser so, auch wenn der Nutzen nicht erkennbar ist.

 

[riversource]

Naja, der Punkt ist aber doch folgender: Durch die /24 im Adressfeld räume ich dem Client Zugriff auf gesamte Transportnetz ein, auch wenn ich das gar nicht will. Wenn ich es will, kann ich es über die Allowed IPs immer noch erreichen, aber einschränken kann ich es da nicht mehr. Also besser /32 im Adressfeld, und dann über die Allowed IPs sauber definieren, wohin der Zugriff erlaubt ist. So hab ich es mal gelernt, und ich hatte bislang keinen Grund, daran zu zweifeln.

 

[Bob.Dig]

Durch die /24 im Adressfeld räume ich dem Client Zugriff auf gesamte Transportnetz ein

Tust Du das wirklich, wenn Du gleichzeitig die allowed IPs einschränkst?