Static Route ?

[haeuslebauer]

Hi,

ich habe ein LAN mit dem Addressbereich 192.168.0.1 - 192.168.0.255

Für VPN Verbindungen von extern ein Subnetz 10.10.10.1

Vom VPN kann ich von aussen auf das Internet / WAN zugreifen, aber nicht auf das LAN.

Wie muss eine Static Route aussehen, so dass ich auf die lokalen Geräte im LAN zugreifen kann, also z.b. 192.168.0.155 ?

Grüße!

 

[Sandro_Suchti]

ip route add 192.168.0.0 via 192.168.0.1 (sofern das dein Router ist)
Ansonsten: https://www.cyberciti.biz/faq/ip-route-add-network-command-for-linux-explained/

 

[haeuslebauer]

Danke, werde ich gleich testen.

Zum Verständnis, das Subnetz 10.10.10.1 muss nicht in der Route stehen?

 

[Sandro_Suchti]

Nein, in dem Netz befindest du dich ja (idealerweise) schon

 

[haeuslebauer]

Ahhh, langsam dämmert es mir.... wenn ich dann die Adresse aufrufe wird die geroutet.

Sorry, irgendwie hat mir das gerade Denkprobleme bereitet

 

[Raijin]

ip route add 192.168.0.0 via 192.168.0.1 (sofern das dein Router ist)

Ähm, nein? Wie soll das denn gehen?

Route so: "192.168.0.0 /24 findest du hinter 192.168.0.1"
PC so: "Ok, und wo genau ist nun 192.168.0.1?"
Route so: "Naja, im Subnetz 192.168.0.0 eben, also hinter 192.168.0.1"
PC so: "Schon klar, aber wo ist denn 192.168.0.1?"
Route so: "Sag ich doch, hinter 192.168.0.1!!"
PC so: "What?!?"

Eine Route führt stets in ein anderes Subnetz, aber das Gateway dahin liegt im lokalen Subnetz. Deswegen zeigt das Navi auch stets die nächste Kreuzung an. Wenn man im Auto in der Bahnhofstraße steht und im Navi "Autobahn" eingibt, sagt das Navi "Am Ende der Straße links" und eben nicht "Über die Autobahnauffahrt, du Trottel"
Das Gateway einer Route kann also nicht bereits im Ziel liegen...

ich habe ein LAN mit dem Addressbereich 192.168.0.1 - 192.168.0.255

Für VPN Verbindungen von extern ein Subnetz 10.10.10.1

10.10.10.1 ist nicht das Subnetz, sondern eine IP-Adresse. Das Subnetz ist mutmaßlich 10.10.10.0 mit Subnetzmaske 255.255.255.0, also nutzbaren IPs von .1 bis .254 am Ende (.0 und .255 sind Spezialadressen).

Wenn dein Router nun im LAN die 192.168.0.1 hat und als VPN-Server fungiert, wird er im VPN die erwähnte VPN-IP 10.10.10.1 haben. Die Gegenstelle, also der VPN-Client, wird zB die 10.10.10.2 bekommen. In eben diesem Gerät muss nun eine Route hinterlegt werden. So sähe das aus:

Hinweg:
VPN-Client (10.10.10.2) ---------> (10.10.10.1) Router (192.168.0.1) --------> (192.168.0.155) Ziel

VPN-Client: Route = 192.168.0.0 /24 findest du hinter 10.10.10.1 (Router-IP im VPN).
Router: Ist selbst Teil von 192.168.0.0 /24 und reich direkt zu 192.168.0.155 durch.

Rückweg:
VPN-Client (10.10.10.2) <--------- (10.10.10.1) Router (192.168.0.1) <-------- (192.168.0.155) Ziel

Ziel: Route = 10.10.10.0 /24 findest du hinter 192.168.0.1 (Router). Vorhanden durch Standardgateway.
Router: Ist selbst Teil von 10.10.10.0 /24 und reicht direkt zu 10.10.10.2 durch.


Wenn du uns verrätst welche VPN-Technologie (zB OpenVPN oder WireGuard) und welche Geräte du verwendest, kann man dir gezielter helfen. Normalerweise ist es nicht notwendig, händisch Routen hinzuzufügen. Dies wird in der Regel durch das VPN-Profil erledigt.

 

[haeuslebauer]

@Raijin vielen Dank für die tolle Erklärung. Die andere Variante hatte ich gestern getestet, ohne Erfolg.

Ich nutze ein Omada SDN mit ER605 Router, und würde gerne verschiedene VPNs testen, also auch openvpn und wireguard, aktuell nutze ich Zerotier und L2TP. Ich will dabei auch einfach dazulernen, wie das alles funktioniert.

Grüße!

 

[Raijin]

Bei OpenVPN wäre es in der client.ovpn folgende Option:

route 192.168.0.0 255.255.255.0

Das Gateway wird hierbei implizit auf den VPN-Server gesetzt. Man kann das Gateway aber auch explizit angeben (einfach die Gateway-IP hinten anfügen), zB wenn die Route eben nicht über den VPN-Server gehen soll, sondern über einen zweiten VPN-Client.

Bei einem erfolgreichen Verbindungsaufbau wird der VPN-Client nun automatisch diese Route im Betriebssystem einfügen und wieder entfernen, wenn die Verbindung geschlossen wird. Man kann die Route auch händisch im System erstellen, aber besser ist es über das VPN-Profil.
Man kann diese Option auch in der server.ovpn hinterlegen und mittels push zum Client schieben. Der Server bestimmt dann sozusagen das Standard-Routing und teilt dem Client diese Route(n) mit.


Bei WireGuard definiert man diese Routen so: AllowedIPs = 192.168.0.0/24