VPN mit Fritzbox - lokales Gerät soll Internet nur via VPN erreichen dürfen

[Mega-Bryte]

Guten Abend, vermutlich nur ein kleines Problem - dafür aber mit ausreichend Wirkung ...

Ein lokales Gerät soll das Internet zwar erreichen, aber es darf dabei die Daten nur via VPN übermitteln/empfangen. Leider erlaubt es die Software nicht, von zwei verschiedenen öffentlichen IPs "aufzutreten", daher muß das leider anders, also:

VPN Site2Site IPsec

FB@Ferne: 192.168.178.x
FB@Lokal: 192.168.0.x

VPN-Verbindung steht und man kann sogar die entfernte FB per IP im Browser ansteuern, sich anmelden etc bummbumm.

Der lokalen FB wurde in der Config mitgeteilt, dass sämtlicher Datenverkehr von LAN3 via VPN gehen soll. Mein Verständnis ist dann aber, dass das Gerät dann auch eine IP aus dem entfernten Subnetz bekommt bzw. auch via Browser "wieistmeineip" die IP der entfernten FB auswirft.

(in der VPN FB@lokal wurden dafür auch Werte in den Feldern eingetragen:

Netzwerkpräfix: 192.168.178.0
Subnetzmaske: 255.255.255.0
primärer DNS: 192.168.178.x (IP der FB@Ferne)

Das Ergebnis ist leider enttäuschend, der PC meldet per DHCP eine IP auf dem Bereich 169.254.x.x mit Subnetzmaske 255.255.0.0. Was muß ich noch einstellen, damit der DHCP durch den VPN-Tunnel IPs vergibt für den PC hinter der lokalen FB?

Was mich noch stutzig macht: lokales Netz und entferntes Netz sind im selben Subnetz? Im Internet sehe ich da aber unterschiedliche Bereiche?! Ich habe das entfernte Netz schon auf den 180er Bereich geändert, um zu sehen, dass sich was ändert, aber auch nach FB-Neustart ist hier dasselbe zu sehen.

Eine VPN Einwahlverbindung soll aus anderen Gründen leider nicht zum Einsatz kommen.

Bitte macht Vorschläge. Testen kann ich das erst morgen Abend, danke.

 

[Tamron]

169.254 ist "keine" brauchbare Adresse. Damit hast du nur eine APIPA IP.

Ich glaube hier fehlen einfach viele Grundlagen bzgl. Netzwerk, Routing und DHCP.

Mir wird der Sinn der eigentlichen Frage auch nicht ganz klar und was du damit wirklich bezwecken willst.

 

[xxMuahdibxx]

VPN der Fritzbox ist doch um in das 2. Netz reinzukommen ... und nicht rein und gleich wieder ins Internet ..

 

[Mega-Bryte]

VPN der Fritzbox ist doch um in das 2. Netz reinzukommen ... und nicht rein und gleich wieder ins Internet ..

Klares Jein.

Wenn ich mich mit einem PC via VPN-Einwahl verbinde, dann wird alles aus dem Internet durch den entfernten Router aus dem Internet besorgt und mir durch den Tunnel präsentiert (Websites, Downlaods etc).

Bei dem beschriebenen Vorhaben möchte man aber nicht via VPN-Einwahl "anrufen", sondern den Router diese Aufgabe übernehmen lassen. Dabei ruft der lokale Router den entfernten an und schleust den kompletten Datenverkehr von (in diesem Fall) LAN3 via VPN durch. Der lokale PC erscheint ggü. dem Internet dabei, als würde er im Netz der entfernten FB stehen.

Du meinst die Variante, wobei der PC normal hinter der lokalen FB hängt und nur dann auf die VPN zugreift, wenn er was aus diesem IP-Bereich will.

Grüße

Ergänzung (24. Januar 2023)

169.254 ist "keine" brauchbare Adresse. Damit hast du nur eine APIPA IP.

Ich glaube hier fehlen einfach viele Grundlagen bzgl. Netzwerk, Routing und DHCP.

Mir wird der Sinn der eigentlichen Frage auch nicht ganz klar und was du damit wirklich bezwecken willst.

Der Sinn ist doch beschrieben. Der PC soll ggü. dem Internet auftreten, als wäre er hinter der entfernten FB.

 

[Poati]

Was du haben möchtest nennt sich full tunneling zwischen den beiden FritzBoxen.

Der lokalen FB wurde in der Config mitgeteilt, dass sämtlicher Datenverkehr von LAN3 via VPN gehen soll

Wie hast du das eingestellt, also welche Option soll das gewesen sein?

Mein Verständnis ist dann aber, dass das Gerät dann auch eine IP aus dem entfernten Subnetz bekommt

Das eine hat da mit dem anderen nichts zu tun.

Was muß ich noch einstellen, damit der DHCP durch den VPN-Tunnel IPs vergibt für den PC hinter der lokalen FB?

Kannst du dir schenken, daran liegt es nicht.

Grundsätzlich scheint dein Setup einfach nicht als Full Tunnel zu laufen, was genau das wäre, was du haben möchtest. Dafür ist es im Grunde aber unerheblich, was du mit deinen lokalen IPs anstellst. Am besten nichts, da du hier mehr durcheinander bringst. Irgendwo hat sich dein Client schon selbst eine IP zugewiesen, weil er keine mehr bekommen hat. Das ist hier alles eine reine Frage des Routings.

Im Professionellen Bereich kann man sowas von der Stange kaufen, von Sophos kenn ich das. Ganz vereinfacht verhält sich dann son kleiner VPN Router wie ein Switch, der an der großen Hauptfirewall angeschlossen ist.

Ich hab allerdings gar keine Ahnung, welche Möglichkeiten man mit der FB da hat. Ich meine, dass die eher lokale Geräte zwischeneinander erreichbar machen, was dann eben ein Split Tunnel ist. Ich vermute, dass dein Szenario für die Fritzboxen nicht gedacht ist, weil es bis auf die Nutzung einer anderen öffentlichen IP keinerlei Nutzen hat und nur Nachteile mit sich bringt.

Du solltest lieber mal mit Traceroute schauen, wo deine Pakete so hin wandern, als mit den IPs herum zu probieren.

 

[lukas12342]

Kenne mich mit IPsec nicht wirklich aus bezweifle aber einfach mal ob der entfernte DHCP Server überhaupt erreicht werden kann (broadcast domain & DHCPDISCOVER).
Das Thema Policy Routing allgemein kam auch letzte Woche im Forum hier auf:
https://www.computerbase.de/forum/t...m-geraet-nicht-moeglich.2125223/post-27799169

 

[prian]

Ich kann nur beschreiben wie es Firmen machen, also mein Arbeitslaptop im Homeoffice.
Dort läuft der VPN-Client auf dem Laptop und der Tunnel fängt dort an, somit geht sämtlicher Traffik durch den Tunnel (zwangsweise), Zugriffe im lokalen Netz sind dann Zugriffe im Netz der Firma, auf meine lokalen Geräte (NAS, Server, FritzBox, Drucker) komme ich so nicht ran.

Einen anderen Ansatz hatte ich mal mit LanCom Routern und deren Software für Clients, dort konnte man genau die IP-Range einstellen, die durch den Tunnel geschickt wurde und die lokal blieb.
Dazu hat der Lancom VPN Client den Tunnel aufgebaut zum Router auf der anderen Seite, ich denke dieser Ansatz ist das was Du suchst, und keine VPN-Verbindung zwischen zwei FritzBoxen, die ist dafür nicht nötig.

 

[chrigu]

Du kannst den dhcp Server nur lokal nutzen, also nur in deinem Netzwerk.
Lies doch bitte die Anleitung von avm/anderen Router nochmals genau durch, dort wird dein Fall ( über zweitbox via vpn surfen) auch aufgelistet und die genaue Konfiguration beschrieben.

 

[norKoeri]

Eine VPN Einwahlverbindung soll aus anderen Gründen leider nicht zum Einsatz kommen.

Bin mir nicht sicher, ob ich Dein Szenario verstanden habe, irgendwie nicht mein Tag heute, aber vielleicht dennoch: Wäre dies ein Weg?