Willkommen in der Business Community

Die Telekom Community für Geschäftskunden

Aktueller Hinweis

vpn zwischen Digibox premium und DB smart steht, ping geht aber nur in eine Richtung

Ich habe eine Lan2Lan-Verbindung zwischen einer DigiboxPremium und DigiboxSmart erstellt. Sie funktioniert und ist stabil (grünerHaken und "1");

Von der DB-Premium komme ich auch ins Netzwerk am DB-Smart-Standort; Umgekehrt gelingt es nciht; Ich kann ncihtmal von der DBSmart aus die DBPremium anpingen; Trace ins NW hinter der Premium beibt an der Premium "hängen". Keine besondere Firewalleinstellungen, keine Filter, Schnittstelle vertrauenswürdig usw. VPN mit dem neuen Assistenten eingerichtet, dann gelöscht, und neu eingerichtet mit anderem Namen, keine Änderung.

Konfigurationen an beiden Digiboxen gleich. HAt jemand eine Idee?. KAnn es ein Defekt der Premium sein?

 

Hallo @Praxisschu ,

hast du in der Premium unter Administrativer Zugriff -> Zugriff die VPN-Schnittstelle hinzugefügt und den Ping erlaubt?

Zu dem Zugriff auf das interne Netzwerk der Premium fällt mir nur die Einstellung Proxy ARP in den jeweiligen Schnittstellen ein.

 

Telekom hilft Team
Hallo @Praxisschu,

schön, dass Sie mit Ihrem Anliegen den Weg in unserer Community gefunden haben. Herzlich Willkommen!

Hat Ihnen der Hinweis von @wari1957 schon weiter geholfen? Vielen Dank von meiner Seite an wari1957! Wenn weitere Unterstützung benötigt wird, dann geben Sie bitte Bescheid.

Viele Grüße aus Kiel
Angela G.

Danke für die rasche reaktion, ich musste aber erst zum 2. Standort um Zugriff auf die Premium zu haben.

Mit dem administrativen zugriff kann ich jetzt die Premium pingen, weiterhin aber nicht die PCs, die dahinterliegen,...

Trace von der DB-Smart kommt zur DB Premium, bricht dann ab. ICh verstehe nciht, warum die Route nicht durchgeleitet wird.

Mit einem Bintec-Secur-client komme ich über die DB Premium in das Netzwerk mit den PCs; Bei der LAN2LAN-Verbindung geht dies nicht.

Der DHCP-Bereich der Premium ist auf den Bereich x.y.z.100-255 eingestellt. In den IP-Sec-Einstellungen der VPN-Verbindungen findet sich unter IP-Pool eben dieser Bereich, was ja eigentlich nciiht sein müsste, da im IP-Sec nicht als Server konfiguriert?

ISt das eine Spur? ich verstehe es nicht. 

Proxi ARP habe ich bei der Premium aktiv geschaltet, keine änderung, habe es wieder rückgängig gemacht.

 

@Praxisschu 

- Der DHCP-Bereich der Premium ist auf den Bereich x.y.z.100-255 eingestellt.

Warum schreibst du die IP-Adresse nicht komplett hin?

Die 255 am Ende ist ja auch nicht richtig.

- In den IP-Sec-Einstellungen der VPN-Verbindungen findet sich unter IP-Pool eben dieser Bereich, 

Dein Client soll bei der Einwahl offensichtlich eine Adresse aus diesem Pool erhalten.

 

Ohne entsprechende Screenshots beider Digitalisierungsboxen kommen wir hier nicht weiter.

 

@wari

OK, der pool war 192.168.2.100-199, Hat der Telekomeinrichter so eingestellt.

Ich füge eineige Scrrenshots bei, ich hoffe es hilft weiter.

 

Hier noch weitere Anhänge, meist von der Premium

@Praxisschu 

Screenshots von den IPv4-Routen wären interessant.

 

Hier der Screenshot

Laufen beide Digitalisierungsboxen mit unterschiedlichen Netzwerksegmenten? Denn wenn beide mit 192.168.2.x installiert wurden, was ja Standard ist, dann kann der VPN - Tunnel nicht funktionieren.

@Kalle:

Segmente 192.168.192.x und 192.168.2.x also 2 untersciedliche Netze

@Praxisschu 

Ich meinte die IPv4-Routen unter Netzwerk -> Routen -> IPv4-Routing-Tabelle.

 

@wari

Anbei die Routing-Tabellen; (das "Smartnetzwerk" 192.168.192.x ist erreichbar, das "PremiumNW" 192.168.2.x nicht)

 

Digibox Smart hat die 192.168.192.20, DHCP in diesem Netz geht über 192.168.192.10, das ist ein Windows server

@Praxisschu 

Die Routen passen, soweit ich das beurteilen kann.

Das Einzige, was mir jetzt noch einfällt ist die Firewall.

Sind alle Schnittstellen vertrauenswürdig, mit Ausnahme der WAN-Schnittstellen natürlich?

 

Vertrauenswürdig sind: LAN_EN 1-4, die beiden VPN-Tunnel und Bridge_BRO

NICHT vertrauenswürdig: LAN_EN 1-4-1, WAN DTAG Internet, WAN_ETHOA35-5, WAN_ETHOA35-5-1, efm35-60, WAN_EFM35-60-1,

Bei beiden Boxen.

Dass die Smart keine DHCP-Serverfunktion hat, daran dürfte es doch nicht liegen, oder?

Die Einstellungen bezüglich VPN hat eigentlich alle der Assistent selbst vorgenommen;

Ist ein Defekt vorstellbar?

@Praxisschu 

Einen Defekt kann ich mir nicht vorstellen.

Wenn du auf der Premium einen Trace auf br0 startest, dann von einem Gerät aus dem Netz der Smart einen ping auf ein Gerät aus dem Netz der Premium ausführst, den Trace beendest, siehst du nicht mal ARP-Pakete?

 

Die Ursache wird zu 99 % irgendwo im Netzwerkrouting liegen, und dies gilt insbesondere auch für die Rückroute. Bitte kontrollieren Sie, welche Adressen jeweils als Standardgateway angegeben sind.
Was mich noch irritiert ist der Routingeintrag mit LAN_LOCAL, den gibt es auf meinen Systemen nicht.
Und die Verbindung "IPSEC_REICHENBERG" irritiert mich auch. Denn diese ist im gleichen Netzwerk.

@Kalle2014 

IPSEC_REICHENBERG ist eine Client-Einwahlverbindung, das passt schon.

 

@ Kalle

Die Gateways sind ja in den Routentabellen angegeben; oder was meinen Sie mit Standardgateway (wo eingetragen?)

Woher LAN_LOCAL kommt weiß ich nicht, die Schnittstelle ist aber bei beiden DB vorhanden;

IPSEC_Reichenberg ist ein VPN-Tunnel über den Digitalisierungsbox-cecure-Client, mit dem ich vom Notebook auf die DB Premium zugreife. Das funktioniert, auch komme ich so auf die PC des Premium-NW und ich komme per LAN2LAN-VPN-Tunnel auch hinter die Smart in deren NW. Nur eben nicht von der Smart (bzw. deren NW-PCs) auf die PCs im NW der Premium.

@wari1957 

Die Interpretation des Trace-Protokoll (über)fordert mich etwas,

ich schicke einen snap, Finde in dem zusammenhang keine ARP-PAkete

@Praxisschu 

Hast du jetzt von der Smart ein Gerät mit der 192.168.2.166 angepingt?

 

@wari1957 

Ich habe denPC 192.168.2.166 gepingt,

In diesem Snap noch Aktivitäten mit dieser IP, wohl nach dem ersten Ping

@Praxisschu 

Ich sehe den Ping-Request, aber keine Antwort von dem PC.

Warum antwortet der nicht?

Windows-Firewall?

 

der Ping gign von der Smart (192.168.192.20) an den PC 192.168.2.166 hiner ter Premium(192.168.2.1)

Trace auf der Premium laufen lassen (BR0)