AW: Digitaliserungsbox Premium - Routing in VPN-Netz über anderen Router

[#1]

Hallo

Ich habe mal eine Frage zum einrichten einer zusätzlichen Route, welche sich im VPN befindet.

Die VPN-Verbindung selbst stellt ein Draytek-Router zur Verfügung, dieser hat die IP: 192.168.1.3

Das VPN-Netz selbst hat Netzbereich 10.112.0.0

Die Digitaliserungsbox hat die IP: 192.168.0.1/24

Der Draytek-Router wurde an die ETH1-5 angeschlossen und bei der Digibox habe ich die Schnittstelle mit den Daten 192.168.1.1/24 Gateway 192.168.1.3 konfiguriert.

Den Draytek-Router kann ich im Wartungsmenü anpingen.

Jetzt möchte ich das die Clients der Digibox, welche sich alle im Netz 192.168.0.0/24 befinden, auch auf den VPN-Tunnel zugreifen können. Ich habe eine neue Netzerkroute über Gateway eingerichtet mit den Daten: 10.112.0.0/24 Gateway 192.168.1.3.

Aber es funktinoniert nicht, vom Client aus, kein Ping möglich in das 10.112.0.0 Netz.

Woran kann es liegen?

Danke für die Antwort!

Marcus

[#2 · Accepted solution]

Hallo!

So ich will mal noch eine Rückmeldung geben, es funktioniert jetzt alles wie es soll, der Fehler war gewesen das ich die Schnittstelle noch maskieren (NAT) musste, sonst kann ja der Draytek-Router mit den 192.168.0.0/24-Adressen nichts anfangen und verwürft die Anfragen.

Der Draytek wurde inzwischen zurückgesetzt und neu konfiguriert, dann keiner mehr das Passwort hatte. Eine Route ist auf dem Draytek nicht notwendig gewesen, da die Digibox ja eine IP aus dem Adressbereich des Draytek bekommen hat.

Marcus

[#3]

Hallo @mreissma ,

ich habs nicht so mit Routing und VPN, deshalb kann jetzt auch Unfug kommen:

Wenn ich dich richtig verstanden habe, dann willst du - vom VPN-Router aus gesehn - von der "bösen" WAN-Seite in das VPN-Netz. Das würde ja dem Sinn eines sicheren Tunnels widersprechen und von der Firewall/Paketfilter/was auch immer, des VPN-Routers geblockt.

Unter Umständen fehlt aber im VPN-Router auch nur die Rückroute.

[#4]

Hallo!

Der Draytek-Router (VPN) das haut alles hin, die Digibox soll halt einen LANCOM-Router ersetzen, momentan mit diesem funktioniert das alles so!

Der "WAN"-Schnittstelle habe ich eine IP aus dem 192.168.1.0/24 Netz zugewiesen mit dem Gateway (Draytek-Router 192.168.1.3).

Die ETH5 ist auch als vertrauendswürdig definiert.

Die Rückroute vom VPN ist nicht notwendig, da bereits alles mit dem LANCOM so funktioniert.

[#5]

Hallo @mreissma ,

ein Screenshot der IPv4-Routen wäre nicht schlecht.

Du kannst unter Lokale Dienste -> Trace -> Trace-Schnittstelle einen Wireshark Trace erstellen.

Siehst du dort irgendwelche ARP-Anfragen, wenn ein Client auf die 10.112.x.y pingt?

[#6]

Hallo!

Also ich habe mal noch die Schnittstelle getauscht auf ETH1-1, trotzdem das selbe Problem, über die Box selbst kann ich den Adressbereich im VPN via Ping erreichen, die Clients (192.168.0.1/24) die an der Digibox hängen jedoch nicht.

Oder fehlt hier noch eine Route oder eine entsprechende Route im Draytek?

Hier die Routen:

Hier die Trace von br0 und eth1-1 mal:

Marcus

[#7]

@mreissma 

Ich sehe da nur, daß vom draytek keine Antwort kommt.

Du nutzt das eingebaute VDSL-Modem?

Du hast ursprünglich für ETH5 mittels Assistenten eine neue Internetverbindung angelegt (mit fester lokaler IP und Gateway IP) oder nur die Eigenschaften von en1-4 angepasst?

[#8]

Hallo!

Ich habe jetzt erstmal die zweite LAN-Schnittstelle genommen und der eine IP aus dem Draytekbereich (192.168.1.10) gegeben, LAN-konfig wie folgt:

Wie schon vorher gesagt mit der Digibox geht alles klar, da kann ich den VPN-Tunnel erreichen auch die Tracerouteausgabe passt.

Nur die Clients die an der Digibox br0 hängen kommen nicht drauf, Firewall habe ich schon ausgeschalten gehabt.

Via Assistent habe ich nichts konfiguriert. Internetzugang für die Digibox ist ganz normal Telekom VDSL was auch soweit funktioniert.

Bitte nicht wundern, hatte für den Screen kein NW-Kabel für den Client dran gehabt!

Marcus

[#9]

@mreissma 

Wenn der draytek irgendwelche Trace-Möglichkeiten bietet, würde ich die jetzt nutzen.

[#10 · Accepted solution]

Hallo!

So ich will mal noch eine Rückmeldung geben, es funktioniert jetzt alles wie es soll, der Fehler war gewesen das ich die Schnittstelle noch maskieren (NAT) musste, sonst kann ja der Draytek-Router mit den 192.168.0.0/24-Adressen nichts anfangen und verwürft die Anfragen.

Der Draytek wurde inzwischen zurückgesetzt und neu konfiguriert, dann keiner mehr das Passwort hatte. Eine Route ist auf dem Draytek nicht notwendig gewesen, da die Digibox ja eine IP aus dem Adressbereich des Draytek bekommen hat.

Marcus

[#11]

Hallo @mreissma,

herzlich Willkommen in unserer Community.

Vielen Dank für die Rückmeldung, dass alles funktioniert.
Wünsche Ihnen noch schöne Pfingsten.

Viele Grüße Heike Ha.