Qualmender Kopf beim Routing

[tesla1337]

Hallo, ich muss gestehen nach einem langen Arbeitstag qualmt mir gerade der Kopf und ich bekomme es gerade nicht mehr auf die Kette.
Folgendes Szenario hat der Kunde:

Rechenzentrum:
Lokale LAN IP 10.100.17.X/24
Terminal-Server 10.100.17.206/24
pfSense 10.100.17.250
VPN: IPSec

Hauptstelle:
Lokale LAN IP 10.0.17.X/24
pfSense 10.0.17.250/24
VPN: IPSec
__


Die VPN Verbindung funktioniert schon ewig zwischen RZ und Hauptstelle. Die Mitarbeiter schalten sich per RDP drauf und arbeiten (und drucken auch ohne Probleme). Jetzt kam allerdings ein TI-Connector für die Krankenkassen und Co dabei. Die Einrichtung funktioniert auch super.

TI Connector steht in der Hauptstelle und hat die 10.0.17.240
Zusätzlich dazu gibt es noch Krankenkartenlesegeräte. Das Routing hier funktioniert auch alles da die Mitarbieter ein Programm nutzen (welches auf dem TS läuft) und das Programm Daten über den TI Connector rausschicken muss.



So und jetzt komm ich zu dem Teil der net funktioniert bzw ich ein Denkfehler habe.
Der Kunde will noch KV-SafeNet nutzen, eine Webseite die nur funktioniert wenn die Anfrage über den TI-Connector läuft.
Da das oben genannte Routing funktioniert, dachte ich mir, ich haue einfach nur ein route add -p <IP des KVSafeNet> <Netmask des KVSafenet> <Gateway> rein und es läuft ... leider weit gefehlt.
Da ich ja nicht über ein Gateway springen kann (Routen mässig beim eintragen meine ich), kann ich aus dem TS gesehen ja nur mein eigenes pfSense Gate, also 10.100.10.250 eintragen. Da die Pings ja funktionieren, dachte ich es reicht.

Wenn ich jetzt allerdings ein Tracert ausführe, läuft der Ping direkt über den WAN raus (nicht über die VPN wie beim normalen Ping) und verschwindet im nirgendwo.

Hat noch jemand eine Idee wo ich meinen Denkfehler habe ?

 

[Fraggball]

ich vermute die anfragen die über den ti-connector gehen sollen werden sollen sehen aus wie normale webserveranfragen und werden dann aufgrund einer policy ins internet geschickt anstatt über vpn auf den ti connector zu gehen.
die informationslage ist aber etwas dünn um das wirklich sagen zu können, ist nur eine idee.

Ergänzung (19. September 2019)

was auch immer ein ti connector ist!

 

[pmkrefeld]

Hat noch jemand eine Idee wo ich meinen Denkfehler habe ?

Sorry, aber dein Denkfehler liegt hier vor allem bei so einem Problem Hilfe in einem Internet-Forum zu suchen.
Du verbreitest hier unter Umständen Informationen die du garnicht verbreiten darfst, und deiner Posthistorie nach zu urteilen ist dass nicht das erste Mal.

 

[fruchtgehalt]

Was wird der Kunde denken, wenn er das hier sieht?

Hast du keine Kollegen, Vorgesetzten?

Wenn schon in einem Forum, warum nicht im korrekten für Informatiker, sondern hier?

Lass mich raten, du bist einer dieser exzellenten "Techniker"

Bevor sich einer beschwert, der TE bekommt GELD für das was er da tut und fragt jetzt in einem Forum mit Hobby-Leuten nach Hilfe.

Ich würde noch nicht mal meine Kollegen über einen Foren-Text beraten, da man so schlecht das gesamte Bild vermitteln kann, daher sowieso keine Hilfe von mir.

Kann hier nur jedem raten keine Tipps zu geben, im Business Bereich geht es außerdem um Gesetze und wie gesagt Geld! Das ist wirklich unlustig.

 

[d2boxSteve]

nicht: route add -p <IP des KVSafeNet> <Netmask des KVSafenet> <Gateway>

sondern: route add -p <IP der Website> <Netmask der Website> <Gateway= IP des TI Connectors>

 

[Fraggball]

bzw. es könnte auch ein dns problem sein wenn die leute im browser kv-safenet.de oder ähnliches eingeben wird die anfrage evtl nicht auf die ip des ti connector geleitet sondern ins netz geschickt.

 

[d2boxSteve]

@fruchtgehalt und @pmkrefeld : da habt ihr natürlich recht ...

 

[Fraggball]

@fruchtgehalt und @pmkrefeld ja, ihr habt recht, aber muss man immer direkt so forsch sein?
is ja nicht unser problem wenn der TE irgendwann damit aufs gesicht fällt.

 

[fruchtgehalt]

Stell dir vor du bist der Kunde und siehst das hier, kann er sogar ne fristlose kassieren, ich finde das noch recht harmlos wie wir das geschrieben haben, sage ich dir ehrlich.

 

[Fraggball]

im besten fall sind die IPs so geändert das es kein problem ist.
auch wenn das nicht wirklich relevant ist...
aber wie gesagt du hast in der sache recht, finde nur den ton etwas überzogen.
ich arbeite auch in der branche und würde sicher nicht auf die idee kommen meine probleme hier lösen zu wollen, aber jeder wie er will.

 

[pmkrefeld]

ich arbeite auch in der branche und würde sicher nicht auf die idee kommen meine probleme hier lösen zu wollen, aber jeder wie er will.

Gerade deshalb solltest du auch etwas mehr Verantwortung zeigen.
Zum einen wie du dein wissen nutzt und zum anderen dem TE gegenüber wenn du ihm dabei hilfst seinen Job loszuwerden.
Spätestens wenn du mit Menschen oder deren "Werken" arbeiten musst die die Einstellung des TE teilen merkst dass dich die Sache auch betrifft.

 

[fruchtgehalt]

Ich glaub du verstehst die Thematik nicht so ganz, jedenfalls wundere ich mich über deine Reaktion.
Versetz dich doch mal in die Lage der Gegenseite.
Also des Kunden oder seiner Vorgesetzten die vielleicht auch nicht wissen was er da tut.

Woher willst wissen wie er das gegenüber Dritten verkauft?
Am Ende geht er mit falschen Infos hausieren, wir können die Person nicht einschätzen und wissen auch nicht was er damit anstellt, man kann da mit "Tipps" auch für ganz schön viel Unheil sorgen. Finde das irgendwie daneben dann immer nur zu meinen ist halt deren Sache und ja eigentlich habt Ihr doch Recht und blabla... aber ich machs halt trotzdem... ja ne ist klar...
Genau genommen müsste man sogar sagen ist dreist von Ihm, er bekommt Geld, es ist sein Job!

 

[Fraggball]

@pmkrefeld joa jetzt lass aber mal die Kirche im Dorf. Ist jetzt nicht so als hätte ich hier Firmeninterna verbreitet oder irgendwas anderes falsch gemacht.
Ich habe 2 kurze Vermutungen angestellt die mich keine 30 Sekunden hirnschmalz gekostet haben und die vermutlich nochnichtmal das Problem sind.
Was der TE hier macht ist allein sein problem und betrifft mich nicht im geringsten.

 

[tesla1337]

nicht: route add -p <IP des KVSafeNet> <Netmask des KVSafenet> <Gateway>

sondern: route add -p <IP der Website> <Netmask der Website> <Gateway= IP des TI Connectors>

Danke ... Denke daran liegt mein Denkfehler, werde es morgen Mal überprüfen

@Fraggball
Danke, auch ne gute Idee, wobei die CoCo Box da net viel zulässt

@All
"Danke" für diese sinnvollen Hinweise und die Belehrung.

• sind keine echten IPs, selbst wenn, es sind LAN IPs, ist weder ne öffentliche IP noch Passwörter oder sonst was
• Testaufbau: Kunde war genannt um es besser erklären zu können
• TI ist so ne Sache, selbst sie Leute von der KV sind am Telefon überfordert wenn man nur fragt ob TI-Connector mit VLAN und Co umgehen kann

Kann zu gemacht werden bevor hier weiter gemeckert wird