Fragen zu VPN/WAN und Internetanschlüssen

[Pandora]

Ich stehe gerade ein wenig auf dem Schlauch wie ich ein Szenario am besten realisieren soll.

Ziel ist das die Geräte an 3 Standorten und ein Dutzend mobiler Geräte sich alle permanent gegenseitig erreichen. Wobei es primär um Server an zwei der Standorte und ein PiHole geht. Dabei sollen die Geräte immer die an ihrem Standort vorhandene Internetverbindung nutzen und für die Mobilen würde ich aufgrund beschränkter Bandbreite noch ein VPN Gateway in der Cloud klicken (da evtl auch den PiHole hosten)

Nach meinem Verständnis benötige ich vier Netze und je einen Router für diese. Aber welche und wie stelle ich diese ein, vor allem der Übergang der mobilen Geräte in die lokalen Netzwerke.

PS: Alle Standorte hängen hinter DSLite

 

[Raijin]

Bei DSLite hat man keine eigene IPv4. Das heißt man kann diesen Anschluss nicht von außen erreichen. Du musst mindestens einen der Anschlüsse daher auf IPv4 umstellen lassen und dann dort den VPN-Server hosten oder du hostest den VPN-Server irgendwo im www, zB auf einem Mietserver.

Wenn du nun einen Standort für den VPN-Server hast, verbinden sich alle übrigen Standorte als VPN-Client mit diesem VPN-Server. Je nach Router kann der das sogar selbst, ansonsten musst du den Client auf einem anderen Gerät im Netzwerk einrichten. Da du ja bereits von Servern sprichst, kann dieser auch die Rolle des VPN-Clients übernehmen.

Bei der Verbindung mehrerer Netzwerke via VPN muss man darauf achten, dass sich die Subnetze der Standorte nicht überschneiden. D.h. es darf zB nicht überall 192.168.1.x verwendet werden, sondern muss sich von Standort zu Standort unterscheiden.

Ich hoffe allerdings, dass es sich hier nicht um ein Firmennetzwerk ohne IT Admin handelt. Denn das ist eine ganz schlechte Idee.

 

[Skaro]

Bei DSLite hat man keine eigene IPv4. Das heißt man kann diesen Anschluss nicht von außen erreichen. Du musst mindestens einen der Anschlüsse daher auf IPv4 umstellen lassen und dann dort den VPN-Server hosten

Sofern alle Anschlüsse IPv6 haben kann man doch einfach das nutzen? Für den VPN spielt es ja keine rolle ob der nun über v4 oder v6 läuft.

 

[SKYBW]

Hallo, habe bereits genau das am Laufen, wie du es benötigst. Ich habe es über ipv4 am laufen. Geht aber genau so über v6. Es lässt sich super mit Sophos UTM oder XG realisieren. Es ist sogar kostenlos für Heimanwender. Die einzige Beschränkung liegt bei den 50 IP Adressen pro Standort. Lässt sich aber austricksen. Einfach wäre es mit einem VServer als zentralen Router. Geht aber auch ohne. Bei Interesse und mehr Details einfach per PM melden.

Gruß

Skybw

 

[Raijin]

Für den VPN spielt es ja keine rolle ob der nun über v4 oder v6 läuft.

In der Theorie ja, in der Praxis nicht ganz so einfach wie es klingt. Auch wenn die Presse uns suggeriert, dass wir auf den digitalen Super-GAU zusteuern, sehen Provider und Hersteller das scheinbar noch sehr entspannt. Die Katastrophen-Meldungen zu IPv4 und die vermeintliche Lösung IPv6 ist schon seit 1999 in Betrieb, seit knapp 20 Jahren. Wenn man aber genauer hinschaut, ist es bis dato nur stark eingeschränkt nutzbar, wenn überhaupt.

 

[KuanYin]

In der Theorie ja, in der Praxis nicht ganz so einfach wie es klingt. Auch wenn die Presse uns suggeriert, dass wir auf den digitalen Super-GAU zusteuern, sehen Provider und Hersteller das scheinbar noch sehr entspannt. Die Katastrophen-Meldungen zu IPv4 und die vermeintliche Lösung IPv6 ist schon seit 1999 in Betrieb, seit knapp 20 Jahren. Wenn man aber genauer hinschaut, ist es bis dato nur stark eingeschränkt nutzbar, wenn überhaupt.

Jubb... da hatta recht...

Versuch mal reines IPv6 VPN zu nutzen - scheitert zur not daran das einer deiner Hops vom ISP das ignoriert und du ums verecken mitten auf der Strecke liegenbleibst. *HUST**telekom**HUST*

Würden die ISP das wollen wäre es schon reines IPv6 und ja - dann wäre v4=v6 - bis dato ist das Glückspiel, und mit DSLite kannste das eigentlich fast knicken - vorallem im produktivem Umfeld.

Da solltet ihr vom privat Anschluss auf einen gewerblichen wechseln, kost meistenst nur das doppelte (UM z.B.) und man bekommt 1-3 feste ipv4 Adressen. Damit kannste dann auch arbeiten mit deinen Routern und VPN

 

[brainDotExe]

Versuch mal reines IPv6 VPN zu nutzen - scheitert zur not daran das einer deiner Hops vom ISP das ignoriert und du ums verecken mitten auf der Strecke liegenbleibst. *HUST**telekom**HUST*

Rein interessehalber, welches Protokoll hast du verwendet?
Ich habe eben testweise auf der Arbeit ein EoIPv6 Tunnel mit IPSec von einem Telekom Anschluss aufgebaut, das hat ohne Probleme funktioniert.

Mit wäre auch nicht bekannt, dass die Telekom große Probleme bei IPv6 hat. Meist scheitert es an der Hardware auf einer der beiden Seiten.

 

[Raijin]

Wenn ich mich nicht irre, ist die Telekom in Deutschland auch einer der wenigen Provider, die überhaupt echtes DualStack bieten, oder? Wenn überhaupt, dann sollte IPv6 also mit der Telekom funktionieren. Getestet habe ich es aber selbst nicht.

 

[KuanYin]

Rein interessehalber, welches Protokoll hast du verwendet?
Ich habe eben testweise auf der Arbeit ein EoIPv6 Tunnel mit IPSec von einem Telekom Anschluss aufgebaut, das hat ohne Probleme funktioniert.

Mit wäre auch nicht bekannt, dass die Telekom große Probleme bei IPv6 hat. Meist scheitert es an der Hardware auf einer der beiden Seiten.

OpenSSL VPN pfsense site2site

Wenn ich mich nicht irre, ist die Telekom in Deutschland auch einer der wenigen Provider, die überhaupt echtes DualStack bieten, oder? Wenn überhaupt, dann sollte IPv6 also mit der Telekom funktionieren. Getestet habe ich es aber selbst nicht.

Ja da hast du recht - allerdings war das damals auch so ne hybrid krücke - ip6 bis zu deren backbone dann ip4 ins rest der welt oder du hattest ne ip6vpn zu deren backbone und dort ne eigenständige ip4. (alles völlig transparent natürlich und erst nach x rückfragen erfahren über interne kontakte...) Wenn dir selbst ne bluecoat am WAN sagt hier is was komisch... XD
die heissen nicht umsonst Telekomiker - was die sich manchmal einfallen lassen - das wurde ja dann u.a. in deren Hybridroutern dann auch so gemacht (LTE/DSL turbo und so..)

MPLS is schon was feines!