VPN Verbindung - Zugriff auf Geräte hinter Fritzbox nicht möglich

[riversource]

Ich komme auf den Vigor drauf, auf einen testweise angeschlossenen managed Switch jedoch wieder nicht auf die "vorgeschaltene" Fritzbox, die über einen freien LAN-Port direkt am Vigor hängt.

D.h. die Fritz hängt jetzt sowohl am WAN als auch am LAN Port des Vigors? Das kann nicht funktionieren. Damit vermischt du WAN und LAN.

Das Problem bei deinen Eltern war, dass der Vigor als NAT Router arbeitet. Damit ist von außen natürlich kein Zugriff möglich.

Übrigens:179 darfst du nie als Subnetz verwenden, wenn eine Fritzbox im Netz ist, denn das ist deren Gastnetz.

 

[holdes]

LAN und WAN mischen ist die eine Sache, bitte niemals machen. Wenn die IP tatsächlich für das Gastnetz reserviert ist dann natürlich sowieso hinfällig aber das kann ich mangels Fritz!Box nicht prüfen wie die sich da verhält wenn man es trotzdem nutzt.

Es hängt in diesem Aufbau den du getestet hast davon ab, ob die Fritz!Box als IP Client konfiguriert war und als Default Gateway den Vigor genutzt hat oder ob sie selbst Router gespielt hat und damit ihre eigene Routing Tabelle nutzt. Wenn letzteres der Fall ist braucht sie die Rückroute da sie selbst ihr Gateway ist und nur die Default Route zu 0.0.0.0/0 (wenn überhaupt) und logischerweise Netz 192.168.179.0/24 kennt. Wenn sie als IP Client konfiguriert war hätte es gehen müssen, außer der IP Bereich ist tatsächlich reserviert und AVM lässt dann was nicht durch.

Sollte sie aber im Router Modus gelaufen sein, dann muss die Route 192.168.175.0 / 255.255.255.0 über 192.168.179.1 in die Fritz!Box rein um bei deinem Testaufbau Beispiel zu bleiben.

 

[Andy81]

Der Vigor braucht den Anschluss WAN zur Fritzbox für den Aufbau des VPN. Über dieses Kabel kommt aber keine echte Verbindung zustande über die mit einem angeschlossenen PC auf den Vigor oder Fritzbox zugreifen kann, deshalb müssen die beiden Geräte auch nochmal über einen LAN-Port miteinander verbunden werden. Ich habe es doch bei mir zuhause auch so laufen.
Vom Vigor LAN-Port Verbindung ins Heimnetz, WAN1 vom Vigor auf die Fritzbox und WAN2 auf den LTE-Router. Die Anschlussweise passt schon so, da es bei mir ja wie soeben geschrieben angeschlossen ist.

Nur über LAN mit der Fritzbox verbunden gibts keine VPN-Verbindung, da für den Vigor kein Internet verfügbar ist. Das muss entweder über einen evtl. ingriertes Modem erfolgen, externes DSL-Modem oder über ein Gerät das über WAN angeschlossen ist.
192.168.179.0 habe ich heute nur bei mir zuhause zu testen verwendet, aber auch den IP-Bereich 192.168.178.0. Geht beides nicht, daher kann ich das Gastnetz ausschließen.

Fritzbox läuft nicht als Client, sondern als Router, aber das tut er bei mir zuhause auch und ich komme von außen auf alle Geräte (Fritzbox, Vigor, NAS usw.) und habe hier auch keine Route in der Fritzbox eingestellt.

 

[holdes]

Ist die Fritz!Box bei dir zuhause im IP Client Modus oder tatsächlich als Router? Wenn du dich von außen drauf schaltest, in welchem Subnetz ist denn dein VPN Client? Ist er im gleichen wie dein Heimnetz also 192.168.175.0 braucht es die Route logischerweise nicht und du kommst genau deshalb drauf.

Wenn du aber ein Gerät am Netzwerk deiner Eltern hängen hast, hat der jeweilige Client/Gerät eine andere IP und dieses Subnetz kennt sie nicht.

 

[riversource]

Über dieses Kabel kommt aber keine echte Verbindung zustande über die mit einem angeschlossenen PC auf den Vigor oder Fritzbox zugreifen kann, deshalb müssen die beiden Geräte auch nochmal über einen LAN-Port miteinander verbunden werden. Ich habe es doch bei mir zuhause auch so laufen.

Nein, müssen es nicht. Wenn das nicht geht, ist das nur ein Zeichen dafür, dass das Routen Setup des VPNs nicht stimmt. Aber du darfst NIEMALS Lan und Wan vermischen!

Vom Vigor LAN-Port Verbindung ins Heimnetz, WAN1 vom Vigor auf die Fritzbox und WAN2 auf den LTE-Router. Die Anschlussweise passt schon so, da es bei mir ja wie soeben geschrieben angeschlossen ist.

Das klingt gut. Aber keine Verbindung vom Lan des Vigors zur Fritzbox. Das kann und darf nicht nötig sein.

Mach doch mal eine Skizzd6 deines Netzes inkl. aller Subnetze und Routen. Da muss irgendwo ein Bock drin sein.

 

[Andy81]

Das klingt gut. Aber keine Verbindung vom Lan des Vigors zur Fritzbox. Das kann und darf nicht nötig sein.

Doch, mein Vigor ist mit einem 24er Netzwerkswitch verbunden, der natürlich auch mit der Fritzbox verbunden ist. Und bei mir funktioniert das seit mehreren Wochen ohne Probleme.

 

[riversource]

Du hast Glück, dass das alles hinter der Fritzbox stattfindet, denn sonst hättest du eine gigantische Sicherheitslücke gebaut.

Vermische niemals WAN und LAN eines Routers. Ich wiederhole: bei einer sauberen Konfiguration ist das nicht nötig. Du hast gewaltigen Bockmist gebaut, und das fällt dir früher oder spöter auf die Füße.

 

[Andy81]

Kennst du die Vigor Geräte? Du kannst keinen WAN Anschluss gleichzeitig zum LAN machen.
Wenn du anderer Meinung bist, schreib mir wie und ich versuche es...

 

[DLMttH]

Riversource möchte sagen: WAN ist WAN, LAN ist LAN. Die darf man nicht mittels Switch miteinander verbinden = mischen.

 

[Andy81]

Beide sind doch nicht miteinander vermischt. Ich hab doch nirgends geschrieben, dass WAN und LAN beide am Switch angeschlossen sind. Vigor LAN hängt am Switch, WAN ist eine direkte Leitung zur Fritzbox.

 

[holdes]

Im Grunde bräuchte man den WAN Port nicht, könnte alles über LAN bezeichnete Buchsen stattfinden. Wenn man da WAN nutzt kann es sonst ebenfalls sein, dass da ne Firewall werkelt die es da gar nicht müsste. Zumindest ist dann natürlich genannte Sicherheitslücke hinfällig .

 

[Andy81]

Wenn ich nur LAN nutze, heißt es für den Vigor ich habe keine Internetverbindung... dann gibt es auch kein VPN u. auch Loadbalancing funktioniert nicht, denn das macht er zwischen beiden WAN-Anschlüssen.

 

[riversource]

Beide sind doch nicht miteinander vermischt. Ich hab doch nirgends geschrieben, dass WAN und LAN beide am Switch angeschlossen sind. Vigor LAN hängt am Switch, WAN ist eine direkte Leitung zur Fritzbox.

Ja, aber der Switch hat dann auch wieder eine Verbindung zur Fritzbox, und damit ist es dann wieder vermischt.

Kennst du die Vigor Geräte?

Seit 20 Jahren. Die Frage ist aber nicht Vigor-spezifisch, sondern bei allen NAT Routern so.

Du kannst keinen WAN Anschluss gleichzeitig zum LAN machen.

Brauchst du auch nicht, denn bei korrekter Einrichtung kannst du die Fritzbox auch direkt über den WAN Port erreichen.

 

[Andy81]

Bei korrekter Einrichtung.... das habe ich jetzt schon mehrfach gelesen. Vielleicht schreibt auch mal jemand ausführlich wie...

 

[Andy81]

Sollte sie aber im Router Modus gelaufen sein, dann muss die Route 192.168.175.0 / 255.255.255.0 über 192.168.179.1 in die Fritz!Box rein um bei deinem Testaufbau Beispiel zu bleiben.

Die Route in der Fritzbox eingetragen, funktioniert tatsächlich dann auch der Zugriff auf die Fritzbox... verstehe glaube ich jetzt auch warum das bei mir ohne funktioniert. Vermutlich weil mein Draytek die VPN-Verbindung zum anderen Router aufbaut (Dial-Out)...

 

[holdes]

Korrekt, wie schon erwähnt . Nicht nur weil er aufbaut sondern weil er VPN und Default Gateway in einem macht, somit kennt das Gateway die Route logischerweise bereits und braucht keine extra. Sobald ein zweiter Router im Netz ins Spiel kommt und als Gateway genutzt wird muss er aber davon in Kenntnis gesetzt werden.

 

[Andy81]

Dadurch, dass bei mir und meinen Eltern der Draytek jetzt als Gateway hinter der Fritzbox läuft, musste ich jetzt auch bei mir eine Route anlegen 192.168.178.0/255.255.255.0 über 192.168.175.1, da sonst bei mir die Geräte dahinter von der anderen Seite auch nicht mehr erreichbar waren. Aber jetzt läuft es...

Danke vor allem an "holdes"! Du hast mir wenigestens deutlich geschrieben was ich als Route anlegen muss. So kommt man auch voran.

Das einzige was mir gerade noch aufgefallen ist, dass die VPN-Verbindung sich immer mal wieder trennt (muss ich mal schauen ob das immer nach einer bestimmten Zeit ist. Eigentlich ist eingestellt, dass diese dauerhaft gehalten wird.

Und wenn noch jemand Interesse hat mir zu erklären wie ich den Draytek und Fritzbox nur über WAN verbinde und über deren IP erreichbar sind, dann würde ich mich darüber freuen. Ich probiere es dann aus.
Wenig hilfreich ist es allerdings, wenn man mir schreibt, dass alles sch... oder Bockmist ist was ich mache, aber man nicht in der Lage ist oder vielleicht auch keine Lust hat (ausführlichs so dass man es auch versteht) zu schreiben, wie man es richtig einstellt.
Auf andere nur "draufhauen" und auf ihre Fehler hinweisen, ohne eine vernünftige andere Lösung anzubieten, kann ich auch...

 

[holdes]

Naja bei vielen Routern kann man die WAN Schnittstelle ganz weglassen, da man sonst die Firewall aufbohren muss. Oft reicht auch LAN Port und eine 0.0.0.0 Route, da ich persönlich aber nur Draytek Modems und keine Router habe, kann ich das dort gerade nicht testen.

Was VPN allgemein angeht bin ich persönlich bei Wireguard nicht im Thema sondern hauptsächlich IPSec in Enterprise Umgebungen und da baut sich ein Tunnel in 2 Phasen auf. Die eigentliche Übertragung von Daten findet dort in der späteren statt und die bauen sich ab sofern nicht genutzt und bauen sich wieder auf sobald Daten gesendet werden.

 

[Andy81]

Wie müsste dann die 0.0.0.0 Route aussehen? Draytek hat die 192.168.175.1/255.255.255.0, WAN-Port aktuell 192.168.175.110/255.255.254.0

 

[holdes]

Ziel 0.0.0.0 als Gateway der Router der das Internet dran hat. Wenn er der erste Router sein sollte müsste es diese default Route schon geben. Ansonsten zeigt die 0.0.0.0 im ersten Gerät auf den Provider Gateway.