VPN Fritz Kopplung, Wie das Routing?

[Zarathustra88]

Hallo zusammen,
Ich versuche zwei Netzwerke per VPN zusammenzuführen. hoffe das is hier thematisch im richtigen Unterforum.

Es handelt sich um zwei Fritzboxen 7490 mit neuestem update und die VPN Kopplung an sich klappt auch.
Netz 1 : 192.168.10.1 -fritzbox 1
Netz 2: 192.168.20.1 -fritzbox 2

Subnetz 255.255.255.0 bei beiden.
ich kann die Fritzboxen gegenseitig pingen. die VPN Sache steht also soweit.
Im Netz 2 existiert eine zweite fritzbox als dect bridge, diese kann ich erfolgreich pingen und zugreifen. Dachte also Routing funktioniert.

Aber das Problem:
Ich kann keine Rechner pingen.

Auf allen Rechnern läuft win10 64 professionel, aber ohne eigene firewall oder dergleichen.
An sich sind seperat beide Netze stabil und ohne Probleme.

Ich vermute also dass die Datenpakete von extern im jeweiligen Netz verloren gehen und ich finde bei einer fritzbox keine Einstellungen, die mir irgendwie weiterhelfen. Bin für jede Belehrung dankbar und möchte lernen.

freue mich auf Tips

 

[d2boxSteve]

Windows 10 hat eine eingebaute Firewall, die blockiert standardmäßig den Ping ... hast du die deaktiviert oder nur keine zusätzliche installiert?
Eigentlich musst du in deinem Szenario nichts weiter unternehmen.
PS: Namensauflösung kann nicht gehen, du musst den PC per IP ansprechen.

 

[darkange_1]

Im gleichen Subnetz also sprich 192.168.20.0/24 oder sind die Rechner hinter der dritten Fritzbox und haben ein eigenes Netz?
Stell die Frage nur um auf Nummer sicher zu gehen.

 

[Zarathustra88]

Oh das ging ja fix. vielen Dank für euer Interesse.

Also WIN 10 is im security Center alles explizit deaktiviert. Firewall... meldungen für die Firewall.. alles
An sich ist pingen innerhalb der Netzwerke kein Problem. Auch Zugriff ist möglich.


Darkange: du meinst ob die dritte fritzbox? Diese ist als Mesh Client hinter der 192.168.20.1
Ich wollte diese nur erwähnen, damit man sieht, es gehen Pakete vom Gateway immerhin noch bis zu dieser angehängten Fritzbox in reihe 2.
zars.my-gateway.de
192.168.20.0 /24
192.168.10.0 /24

 

[Sephe]

Die Windows Firewall ist normalerweise so eingestellt, dass nur PING aus dem lokalen Subnetz beantwortet wird. Da der Ping aus einem anderen Subnetz kommt, gibt es keine Antwort.
https://community.spiceworks.com/to...cal-subnet-but-not-to-hosts-on-another-subnet

 

[Olunixus]

@Sephe d. H. Netzwerk Freigabe funktioniert ohne weitere Einstellungen bzgl der subnets, obwohl der Ping nicht klappt?

 

[Sephe]

Ja

 

[Raijin]

Das Abschalten der Windows-Firewall ist keine gute Idee. Es hat schon seinen Sinn, dass zB die SMB-Ports (=Netzlaufwerk) so voreingestellt sind, dass sie nur im lokalen Netzwerk erreichbar sind. Wenn nu jemand auf die Idee käme, die SMB-Ports im Router weiterzuleiten, blockt eben die Windows-Firewall. Schaltet man die Firewall ab, schaltet man auch diesen Sicherheitsmechanismus ab und hat sich mit einer simplen Portweiterleitung ein Sicherheitsloch von der Größe des BER in den Router gebaut, weil das Ziel der Portweiterleitung - der PC - einfach stupide auch auf etwaige Zugriffe aus dem www reagiert.....

Bei der Vernetzung mehrerer Netzwerke ist es daher essentiell, dass man gezielt die richtigen Einstellungen wählt und nicht blauäugig einfach alles abschaltet.

Konkret heißt das, dass bei eingeschalteter Firewall der Ping - oder welche Dienste der PC auch immer zur Verfügung stellen soll (zB SMB) - so konfiguriert werden muss, dass er auch vom jeweils anderen Subnetz erlaubt wird. Dazu geht man in die erweiterten Firewall-Einstellungen, eingehende/inbound Regeln, sucht ICMPv4 Echo Request (<-- das ist der Ping), Doppelklick und im Parameterfenster im Reiter Bereich/Scope die vertrauenswürdigen Subnetze eintragen (also Subnetz Standort A und B).


Wenn du bereits ein Gerät im anderen Subnetz erreichen kannst (die zusätzliche Fritzbox), ist vom VPN her eigentlich alles korrekt. Die Hauptfritzbox leitet die Verbindung einfach nur durch, egal ob da nu noch ne Fritzbox sitzt oder ein anderes Gerät.

 

[cb_darkman]

Da gibt es eine Super Anleitung von AVM:
https://avm.de/service/fritzbox/fri...wischen-zwei-FRITZ-Box-Netzwerken-einrichten/

 

[Zarathustra88]

intressant. wenn ich von anderen VPNs zugreife, ging Pings eigentlich immer. werd mich da morgen mal drum kümmern.

Was die Firewall angeht... ich konfiguriere mir nen Elche wenn die aktiv ist. Sei es drum. Wenn alles mal funktioniert kann ich die gerne mal wieder aktivieren. Deine Tips beziehen sich also für den theoretischen Fall, dass die firewall aktiviert wäre. Aber das sind Probleme die ich mir für die Zukunft aufhebe.

Wieso kann ich dann auf keinen Rechner zugreifen und bekomme dann ohne firewall keine Ping?

Ergänzung (21. Juni 2019)

ja die üblichen AVM leitfäden hab ich alle durch. danke

soweit ich das beurteilen kann steht der VPN an sich ja auch. ich vermute nur ein routing problem und finde die Einstellungen nicht.

 

[till69]

Schau Dir die VPN Configs an (Sicherung der FB erstellen), dort ist folgendes interessant:

accesslist = "permit ip any 192.168.x0.0 255.255.255.0";

Wenn dort statt "ip" "tcp" steht, geht zwar das meiste, aber kein PING

Ergänzung (21. Juni 2019)

ich vermute nur ein routing problem und finde die Einstellungen nicht.

Wenn beide Rechner als Standard-Gateway die Fritzbox mit VPN Endpunkt haben, brauchst Du kein spezielles Routing, das wird in der accesslist festgelegt.

Fritzbox1:

accesslist = "permit ip any 192.168.20.0 255.255.255.0";

Fritzbox2:

accesslist = "permit ip any 192.168.10.0 255.255.255.0";

 

[Raijin]

Im Netz 2 existiert eine zweite fritzbox als dect bridge, diese kann ich erfolgreich pingen und zugreifen. Dachte also Routing funktioniert.

Wenn diese zusätzliche Fritzbox bereits über das VPN anpingbar ist, kann es ja eigentlich nicht am VPN-Tunnel liegen.

Was die Firewall angeht... ich konfiguriere mir nen Elche wenn die aktiv ist.

Aha. Also dann lieber gar nicht erst damit beschäftigen? Da ein normaler PC in der Regel sowieso eher wenig Server-Dienste anbietet, konfiguriert man sich auch keine Elche... Man kann die Firewall-Regeln auch einmal einstellen und dann ex- bzw. importieren.

 

[hildefeuer]

Du willst in einem VPN Clients erreichen. Dazu muss man auf jeden Fall bei Windows10 Software installieren. Den Cisco VPN Client z. B. Den gibt es auch für Linux. Versuche es doch mal mit einem Androiden. Das kann man VPN direkt einrichten, weil Android im Gegensatz zu Win10 das Protokoll unterstützt.
Es ist auch nicht so, das via VPN die Clients identische ips im Heimnetz haben, sondern die bekommen andere ips weil ja eine virtuelle LAN Karte erzeugt wird fürs VPN.
Clients mit Webinterface erhalten keine ip oberhalb 100. Mein PV-Wechselrichter (192.168.66.10) ist ebenso erreichbar wie der Netzwerkdrucker(192.168.66.100) und die dbox (192.168.66.20).
Deshalb sind in Deinem VPN auch alle Fritzen erreichbar via Webinterface. Die Webinterfaces behalten die ips.

In diesem Thead merkt man schnell, ob jemand so etwas schon einmal eingerichtet hat oder nicht. Wer als Antwort die Windows Firewall ins Spiel bringt, ist völlig ahnungslos. Die braucht man nicht anfassen.
Man kann halt nur die ip der virtuelle LAN Karte, die die Cisco Client Soft einrichtet anpingen.
Wenn man also einen PC hat der z. B. im LAN 192.168.66.55 hat an-pingen will, muss man via VPN 192.168.66.155 pingen.
Das VPN setzt halt auf den SMB Freigaben auf, schaltet quasi eine zusätzliche Freigabe via virtueller LAN karte mit separatem ip Bereich.
Wenn Du die Freigaben browsen wills must Du ja auch die ip des virtuellen LAN Adapters eingeben.
Bei mir (FB7490) sind die Clients dann oberhalb 100. So sieht das bei mir dann bei 2 Android Clients aus:

 

[till69]

Du willst in einem VPN Clients erreichen. Dazu muss man auf jeden Fall bei Windows10 Software installieren.

Völliger Blödsinn

In diesem Thead merkt man schnell, ob jemand so etwas schon einmal eingerichtet hat oder nicht. Wer als Antwort die Windows Firewall ins Spiel bringt, ist völlig ahnungslos.

Und damit beantwortest Du die Frage (und das recht eindeutig) , wer hier der ahnungslose ist ... herrlich

Etwas Nachhilfe worum es hier eigentlich geht (hätte man aber schon in #9 lesen können):
https://avm.de/service/fritzbox/fri...wischen-zwei-FRITZ-Box-Netzwerken-einrichten/

 

[Datax]

Oh das ging ja fix. vielen Dank für euer Interesse.

Also WIN 10 is im security Center alles explizit deaktiviert. Firewall... meldungen für die Firewall.. alles
An sich ist pingen innerhalb der Netzwerke kein Problem. Auch Zugriff ist möglich.


Darkange: du meinst ob die dritte fritzbox? Diese ist als Mesh Client hinter der 192.168.20.1
Ich wollte diese nur erwähnen, damit man sieht, es gehen Pakete vom Gateway immerhin noch bis zu dieser angehängten Fritzbox in reihe 2.
zars.my-gateway.de
192.168.20.0 /24
192.168.10.0 /24

Du erwähntest "Mesh Client" ... kann es sein, dass du den "IP-Client"-Modus meinst!?

Beim IP-Client-Modus ist die betreffende FritzBox selbst Client im Netz des vorgeschalteten Routers (IP-Konfiguration kann wahlweise per DHCP oder manuell erfolgen).

Dann müssten die Clients hinter dieser "FritzBox in Reihe 2" per DHCP also jeweils IP-Adressen von "FritzBox 2"
bekommen, also IP-Adressen aus dem 192.168.20.0/24-Netz.

Wenn dem so ist, dann haben die Clients auch die "FritzBox 2" als Gateway,
das Routing sollte dann also auf jeden Fall passen (Hin- und Rückweg sind abgedeckt).

Kannst du von einem Client, der an der "FritzBox in Reihe 2" angeschlossen ist,
ein "ipconfig /all" hier posten?

Per "Wireshark" kannst du ja schon mal schauen,
ob die Ping-Pakete am Client ankommen.