Verständnisfrage VPN Tunnel (Zugeordnete IP)

[vocaris]

Hallo,
ich habe folgende Verständnisfrage.
Erst einmal das Setup:
Ich befinde mich im Ausland und habe hier einen ASUs Router RT-AX86U. In diesem kann man u.a. direkt ein VPN Client hinterlegen und diesen Verbindungsweg z.B. bestimmten Geräte zuordnen. Der IP Bereich hier im Ausland ist 192.168.8.x
Im Router sind die CFG Daten einer WireGuard Verbindung zu meiner heimischen Fritz-Box hinterlegt.
Zusätzlich habe ich auf meinem Notebook (Ausland) auch die WireGuard PC App. Dort sind ist das gleiche cfg File hinterlegt.

Zu Hause ist der IP Bereich ebenfalls 192.168.8.x

Wenn ich nun im Ausland NUR eine VPN Verbindung via WireGuard (PC App) erstelle, dann kann ich bei Aufruf der IP Adressen auf alle Geräte zu Hause zugreifen. Auch wenn ich die 192.168.8.1 aufrufe, bekomme ich die FB zu Hause angezeigt und nicht die im Auslandsnetzwerk. Da wäre die 192.168.8.1 der Asus Router. Ergo bekomme ich alle Geräte zu Hause, aber keins im Auslandsnetzwerk.

Stell ich die Verbindung nicht via der WG App her sondern über den Asus Router. Dann kann ich keine Geräte im Heimnetz aufrufen. Es öffnen sich nur die Geräte im Ausländischen Netzwerk. Eine VPN Verbindung mit "Zu Hause" muss aber bestehen. Denn beim Aufruf "https://www.wieistmeineip.de/" erhalte ich die IP Adresse der FB zu Hause.
Es hat bestimmt was mit dem gleichen IP Nummernkreis zu tun. Aber wieso klappt es via der WG App aber nicht über den Router VPN Weg?
Danke vorab.

 

[derchris]

das LAN Subnetz von source und destination sollte nicht das selbe sein ...

 

[vocaris]

Yeep. Gebe dir dem Grund recht. Aber wieso klappt es bei der App aber nicht via Router. Beide haben das gleiche cfg File.

 

[Nilson]

Wenn du die App lokal auf dem PC aufmachst, geht der gesamte Traffic durch den Tunnel und erreichst damit alle Geräte im Zielnetz, aber keins im Quellnetz.
Wenn du den Router benutzt gehen nur Pakete zum Zielnetz, die du expliziert zum Router schickst. Der Rest bleibt im Quellnetz. Damit erreichst du die Geräte im Quell-, aber nicht im Zielnetz.
Lösung sind zwei verschiedene IP-Ranges und dann eine Route zum Zielnetz über den VPN-Router.

 

[vocaris]

Wenn du die App lokal auf dem PC aufmachst, geht der gesamte Traffic durch den Tunnel und erreichst damit alle Geräte im Zielnetz, aber keins im Quellnetz.

Genau so ist es.
Wieso kann ich bei der Router Lösung nicht "alles" durch den Tunnel schicken?

Wenn du den Router benutzt gehen nur Pakete zum Zielnetz, die du expliziert zum Router schickst. Der Rest bleibt im Quellnetz. Damit ereichst du die Geräte im Quell, aber nicht im Ziel netz.

So ist es. Wie kann ich denn hier etwas "expliziet" zum Router schicken?

Lösung sind zwei verschiedene IP-Ranges und dann eine Route zum Zielnetz über den VPN-Router.

Bedeutet ich muss das Auslandsnetzwerk z.B. 192.168.1.x nennen.
Aber dann kann ich beim VPN Aufbau durch den Router bestimmt alles im Zielnerzwerk (192.168.8.x) aufrufen. Aber nix im Quellnetzwerk 192.168.1.x?

 

[Nilson]

Wieso kann ich bei der Router Lösung nicht "alles" durch den Tunnel schicken?

Weil der Router nur das routen kann, was er bekommt. Wenn du im Quellnetz eine lokale IP aufrufst geht das Paket direkt zu dem Gerät, ohne Umweg über den Router

Wie kann ich denn hier etwas "expliziet" zum Router schicken?

In dem du für die IP-(Range) eine Route über den Router angibst (oder den Router als Standardgateway einrichtest)

Bedeutet ich muss das Auslandsnetzwerk z.B. 192.168.1.x nennen.

Ja

Aber dann kann ich beim VPN Aufbau durch den Router bestimmt alles im Zielnerzwerk (192.168.8.x) aufrufen. Aber nix im Quellnetzwerk 192.168.1.x?

Dann geht beides. 192.168.1.0/24 wird direkt versendet. Für 192.168.8.0/24 liegt eine Route über den VPN-Router vor.

 

[vocaris]

@Nilson
Oder kann ich damit noch etwas entsprechende anstellen?

 

[Raijin]

Routen spielen in diesem Kontext keine Rolle. Fakt ist, dass VPN-Verbindungen zwischen zwei Netzwerken, die dasselbe Subnetz verwenden, die genannten Probleme hervorrufen. Die Lösung sind schlicht und ergreifend eindeutige Subnetze an den jeweiligen Endpunkten der VPN-Verbindung.

RFC 1918 sieht für private Netzwerke folgende Bereiche vor:

10.0.0.0 - 10.255.255.255
172.16.0.0 - 172.31.255.255
192.168.0.0 - 192.168.255.255

Man kann sich dort beliebig austoben und wenn man mit VPNs hantiert, sollte man möglichst kreativ sein, um nicht gleich bei der nächsten Gelegenheit (zB Urlaub) wieder in dieselbe Falle zu laufen..
Ich lehne meine Subnetze beispielsweise an Geburtstage an. zB 172.23.4.0 für den 23.4. So hat man ein "seltenes" Subnetz, kann es sich aber dennoch gut merken.