VPN Problem Digitalisierungsbox Premium, https-Seiten im remote Netz nicht erreichbar

[#1]

Grüße an die Community.

Folgender Fall tritt ein:

- VPN-Verbindung ist in der Digitalisierungsbox eingerichtet - läuft

- Zugriff auf Webseiten und Ressourcen, die kein SSL benötigen funktioniert, beispielweise kann ich mich wunderbar mit Jitsi über den Router einloggen und IP-Telefonie nutzen (keine Verschlüsselung, "einfach VPN") - läuft

- Zugriff auf Ressourcen, die nur mit Verschlüsselung zu erreichen sind funktionieren nicht (bespielsweise einige Drucker-Weboberflächen, die nurr mit https:// zu erreichen sind... die Synology ... fehlanzeige)

- Mit IPSec auf dem MAC funktioniert alles einwandfrei, voller Zugriff auf alle Resssourcen (https://192.168....)

- auf Windows 10 - Fehlanzeige, ich kann nur die Digitalisierungsbox von außen und VPN via https://192.168.... erreichen

- Portweiterleitungen zeigen keine Wirkung

- Ob SHREW-VPN-Client oder elmeg-VPN-Client oder OpenVPN-Client, egal, kein Zugriff auf die Verschlüsselten Webseiten unter Windows 10 (MacOS mit "CISCO"...läuft allesm voller Zugriff...)

- PING ist generell ein Problem, aber das scheint eh etwas anders zu funktionieren

Meine Frage:

- gibt es eine Möglichkeit ohne größeren Aufwand und Kosten einen Client (CISCO?) für Windows 10 einzurichten. Es sollen einige externe Mitarbeiter auf die internen Ressourcen Zugreifen können (auch die mit den Windows Rechnern...)?

- Was ist der Unterschied zwischen den beiden Systemen (Windows und Mac) - meine Recherche lässt mich immer wieder auf die "CISCO-Unterstützung" stoßen und das "Apple eben dafür zahlt und Microsoft nicht...!?"

- Warum kann ich auf http-Seiten zugreifen aber nicht auf https-Seiten?

- Das Verrückte ist, dass es auch schon einmal unter Windows 10 funktioniert hat, was mich vermuten lässt, dass es eventuell gar kein Digitalsierungsbox-Problem ist sondern vielleicht ein Remote-Client-Problem? Aber ich konnte keinen Unterschied erkennen...

- Die VPN-Clients habe ich mit diversen Einstellungen getestet, leider ohne Erfolg. VPN- Verbindungen läuft, aber es scheint, dass unter Windows 10 ohne weitere Konfiguration nur unverschlüsselte Verbindungen zugelassen werden?

- Kann es sein, dass der Administrative Zugriff zur Digitalsierungsbox (HTTPS) mit hier einen Strich durch die Rechnung macht? Aber warum funktioniert es dann unter MacOS...?

Ich denke, ich habe das Internet nach einer möglichen Lösung dursucht und gefühlt alle Portweiterleitungen und Freischaltungen durchgeführt - das GANZE Internet auf diesen Planeten

Für einen Schubs in die richtigen Richtung bin ich sehr dankbar!

Liebe Grüße

Banno

[#2 · Accepted solution]

@Pydia 

Hast du Proxy ARP auf der Schnittstelle br0 aktiviert?

Hast du IPv4 Proxy ARP für die VPN-Schnittstelle auf Aktiv oder Ruhend gestellt?

Dann sollte der Ping auf deine Geräte hinter der Digitalisierungsbox auch funktionieren.

Oft spucken einem ja auch irgendwelche Firewalls in die Suppe.

[#3]

Hallo @Pydia ,

ich kann deine Probleme nicht nachvollziehen.

Shrewsoft funktioniert bei mir auf Windows 7/Windows 10, in Verbindung mit der Digitalisierungsbox, ohne Probleme.

Irgendwelche "eigenmächtige" Portweiterleitungen benötige ich auch nicht.

[#4]

Hallo @wari1957,

Danke erst einmal für dein schnelles Feedback.

Ich konkreten Fall möchte ich über VPN auf die Nextcloud im Firmennetz zugreifen, die unter https://192.168... zu erreichen ist.

Im lokalen Netz funktioniert es, mit dem Mac kein Problem.

Unter Windows mit VPN egal welcher Client kann ich weder die Seite (https) aufrufen, noch mich beispielsweise per SSH auf den Server verbinden. Anpingen kann ich den Server unter Windows auch nicht...

Nächste IDEE die hosts-Datei unter Windows anzupassen...?

LG

Banno

[#5]

@Pydia 

Kannst du die Oberfläche der Digitalisierungsbox mit https erreichen?

Der Ping auf die einzelnen Geräte funktioniert?

Ein Remote Desktop auf einen Windows Rechner funktioniert?

[#6]

@wari1957 

> Kannst du die Oberfläche der Digitalisierungsbox mit https erreichen?

Ja, läuft sehr flüssig und schnell, gefühlt noch schneller als über die feste-IP. Aber ich komme nicht "hinter" die Digitalisierungsbox.

> Der Ping auf die einzelnen Geräte funktioniert?

nein - meistens nicht - in etwa 2% (gefühlt) der Verbindungsversuche funktioniert es unter Windows auch - aber in 98% kann ich mit einem PING keine Geräte/Server erreichen, kann keine interne Webseite aufrufen. Das ist natürlich nicht akzeptabel für den normalen Nutzer...

Das selbe Verhalten tritt mit SHREW oder bintec auf...

Sprich: 2% Verbindungsaufbau mit SHREW oder bintec .... alles läuft... Zugriff auf alle Ressourcen, nexcloud-Client synchronisiert ect..

98% VPN-Verbindung wird aufgebaut und kein Zugriff auf die Ressourcen, die "verschlüsselt" sind. Zugriff zur Telefonanlage, die unverschlüsselt über das VPN läuft funktioniert aber einwandfrei...

Das Routing sieht in beiden Fällen identisch und gut aus.

> Ein Remote Desktop auf einen Windows Rechner funktioniert?

Sind leider aktuell nur Mac-Rechner im Netzwerk aktiv, kann das nicht testen.

Ich werde dies mal an einem anderen Windows-Rechner testem ob ich dort das selbe Fehlverhalten habe... Mir gehen nur langsam die Ideen aus.

Grüße und Danke für die Hilfe

Banno

[#7 · Accepted solution]

@Pydia 

Hast du Proxy ARP auf der Schnittstelle br0 aktiviert?

Hast du IPv4 Proxy ARP für die VPN-Schnittstelle auf Aktiv oder Ruhend gestellt?

Dann sollte der Ping auf deine Geräte hinter der Digitalisierungsbox auch funktionieren.

Oft spucken einem ja auch irgendwelche Firewalls in die Suppe.

[#8]

@wari1957

>> Hast du Proxy ARP auf der Schnittstelle br0 aktiviert?

Ja (LAN -> IP-Konfiguration -> Schnittstellen -> br0 -> Erweiterte Einstellungen -> Proxy ARP -> aktiviert

>> Hast du IPv4 Proxy ARP für die VPN-Schnittstelle auf Aktiv oder Ruhend gestellt? Dann sollte der Ping auf deine Geräte hinter der Digitalisierungsbox auch funktionieren.

Nein, habe ich soeben angepasst. Werde das gleich weiter testen, sobald das Webinterface wieder verfügbar ist...Sehe gerade, dass ich auf den Apache-Server zugreifen kann, rufe ich dessen Webseite auf (http://192.168...) komme ich problemlos auf die "Default Page"

(VPN -> IPSec -> IPSEC-PEERS -> <VPN auswählen> -> Erweiterte Einstellungen -> Erweiterte IP-Optionen -> IPv4 Proxy ARP -> Aktiv oder Ruhend

>> Oft spucken einem ja auch irgendwelche Firewalls in die Suppe

Als nächstes würde ich mal die Firewall an der Digitalisierungsbox zurücksetzen und einen nähere Blick auf die remote Firewall werfen.

[#9]

@Pydia 

Die Firewall der Digitalisierungsbox hat mir noch nie in die Suppe gespuckt.

Die Firewall von Windows 10 dagegen schon öfters.

[#10]

@wari1957 

Also, das mit dem Proxy scheint zumindest für Port 22 (SSH) geholfen zu haben, der Ping scheint auch stabiler zu sein, allerdings besteht immer noch das selbe Problem mit Port 443 (https)...

Diese beiden Artikel geben mir etwa szu Grübeln

• VPN Client Ports über OpenVPN Server as Proxy erreichen
• spezieller Port über VPN nicht erreichbar

Ich bleibe weiter dran. Danke noch einmal für deine Gedanken zu dem Thema.

[#11]

@Pydia 

Wegen dem https-Problem, schon mal einen Wireshark-Trace von br0 in der Digitaliserungsbox erstellt?

[#12]

---

@wari1957  schrieb:

@Pydia 

Wegen dem https-Problem, schon mal einen Wireshark-Trace von br0 in der Digitaliserungsbox erstellt?

---

Noch nicht, habe bei meiner Recherche darüber gelesen, muss mir das aber erst noch aneignen.

Neues Verhalten:

Ich baue den VPN-Tunnel auf und erst einmal das selbe Problem. Erst einmal keine Verbindung zu den verschlüsselten Inhalten. Nun warte ich einige Sekunden (bis zu einer Minute) und siehe da.... läuft ...teilweise sofort, auf jeden Fall viel stabiler!

Ich hab das nun 10x mit dem SHREW-VPN-Client nachgestellt und jedes Mal mit dem selben positiven Ergebnis. Die Umstellung des Proxies hat definitiv etwas verwändert, leider habe ich nich nicht verstanden, was genau hier passiert, aber das ist nur eine Frage der Zeit.

Ich werde das noch enige Tage testen und beobachten und berichten. Zu erwähnen wäre, dass damit über mit der Digitalisierungsbox und VPN ein Zugriff auf die Geräte im Firmennetzwerk möglich ist, ohne irgend welche Portweiterleitungen, Filterregeln, Reverse Proxies, VPN-Server oder sonst andere Verrenkungen.

Bis dahin noch einmal herzlichen Dank für deine Hilfe, Das HTTPS-Bier gibt es wahlweise in Stuttgart oder Frankfurt

Banno

[#13]

Digibox einmal neustarten, dann geht es.