VPN-Router "Plug & Play" - Welche Möglichkeiten gibt es?

[speedcOre]

Hallo allerseits,

für mich wäre es interessant, per Smartphone und Laptop (MacOS sowie Windows vorhanden) aus der Ferne auf mein heimisches Netzwerk zuzugreifen. Insbesondere auf Netzlaufwerke / Serverfreigaben.

Ich würde nun gerne einmal von der Pike auf erfragen, wie ich das auf die Beine stelle. Welchen Router empfehlt ihr, insbesondere hinsichtlich komfortabler Einrichtung und Kompatibilität mit VPN-Clients (OpenVPN, Tunnelblick o.ä.)?

Die Eckdaten und Anforderungen fasse ich am besten stichpunktartig zusammen:

--> Vorhanden ist eine Telekom-Leitung mit einem Speedport W721V-Router

--> Es soll/muss im verbundenen Zustand nicht über die Leitung und mit der IP des heimischen Netzes gesurfed werden, nur "tunnelrelevante" Pakete sollen auch tatsächlich durch den Tunnel

--> Konfiguration soll möglichst "einfach" sein, sowohl routerseits als auch am Client später

Vielleicht können wir das ja einmal zusammen abrattern. Danke im Voraus! :-)

 

[derChemnitzer]

Fritzboxen können das

Empfehlung 7490

 

[Raijin]

nur "tunnelrelevante" Pakete sollen auch tatsächlich durch den Tunnel

Was heißt das für dich genau?

Wenn du gezielt einzelne Anwendungen über das VPN routen willst, ist das nicht so trivial wie man es sich evtl. vorstellt. Es muss irgendwo entschieden werden was wie wohin geroutet wird. Windows kann das zB nicht, weil Microsoft ausschließlich zielbasiertes Routing anhand der IP vorgesehen hat. Will heißen, dass man zB gezielt bestimmte IPs bzw. Subnetze über das VPN routen kann, zB das private LAN hinter dem VPN-Server über die IP des Servers routen. Man kann NICHT die Daten von Programm xy (zB Torrent, Browser, etc) via VPN tunneln und die Daten von Programm yz via Provider, zumindest nicht mit Bordmitteln.

Im Router kann man sowas zwar schon bewerkstelligen, allerdings ist das auf den meisten Consumer-Geräten (mit Hersteller-Firmware) nicht möglich. Das ganze nennt sich Policy Based Routing, kurz PBR. Dabei kann man an beliebigen Kriterien (Quell-IP, Ports, etc.) festmachen wohin geroutet werden soll - zB Port 80 (=Browser) via VPN, Rest via Provider.

Ob das mit einer Fritzbox möglich ist, weiß ich nicht. Im Speedport geht sowas unter Garantie nicht. Ich persönlich würde das mit einem Raspberry PI oder einem Router mit OpenWRT/DD-WRT lösen. Unter Linux kann man PBR einrichten, muss aber wissen was man tut. Das ist fortgeschrittene Netzwerktechnik und setzt ein gewisses KnowHow voraus.


Von welchen Anwendungen reden wir denn? Also was soll über das VPN gehen und was nicht?

 

[lakekeman]

Ich glaube du bist etwas übers Ziel hinaus.

Er möchte auf Netzwerkfreigaben im Heimnetz zugreifen, ohne dabei auch seinen gesamten anderen Traffic durch das VPN zu routen.

Somit wären "tunnelrelevante" Pakete einfach alles was in das Heimnetz soll.

Das kannst man problemlos mit jedem simplen VPN abbilden.

 

[Raijin]

Das ist ja gerade der Knackpunkt. Daher die Frage am Ende was denn nu genau via VPN gehen soll und was nicht. Wenn's wie beschrieben anwendungsspezifisch sein soll, wäre es aus besagten Gründen vergleichsweise kompliziert. Im einfachsten Falle, wenn beim Zugriff von außen ausschließlich der Traffic ins Heimnetz (zB zum NAS) über das VPN laufen soll und der Rest normal via Provider, dann ist das natürlich etwas anderes ;-)

Warten wir mal ab was der TE nu genau vorhat. Dann sehen wir weiter.

 

[speedcOre]

Hallo!

Vielen Dank für die hilfreichen Rückmeldungen. :-)

Es ist im Prinzip so, wie lakekeman es sagt: nur der Zugriff auf die Freigaben des heimischen Servers soll über den Tunnel laufen, der Rest über die lokale Internetleitung.
Wenn das aber nicht all zu trivial ist, dann macht das nichts. Dann kann auch gerne "alles" über den Tunnel laufen.

Hauptsache, ich kriege ein VPN zustande.

Wie groß ist denn der Aufwand am Client, wenn ich es über die empfohlene Fritzbox einrichten würde? Gibt es dort dann openVPN-Konfigurationsdateien? Oder muss im Windows eine neue Schnittstelle angelegt werden?

 

[Raijin]

Nichts leichter als das.

Je nach VPN-Technik (IPsec, OpenVPN, etc) kann man im Client angeben welche Subnetze bzw. IPs über den Tunnel geroutet werden sollen. Entweder man stellt das am Client ein oder aber man steuert das zentral über den VPN-Server, der die Einstellungen an die Clients weitergibt. Dann gehen nur die dort eingestellten IP-Adressen über das VPN, der Rest geht weiterhin über das Standard-Gateway, den Internetrouter vor Ort.

Da Speedports kein VPN bieten, hast du zwei Optionen:

1) Speedport komplett gegen eine Fritzbox tauschen und FritzVPN nutzen
Da Fritzboxxen nun mal Geld kosten, ist diese Variante natürlich mit höheren Kosten verbunden, weil man zB für VoIP und Entertain schon Richtung Flaggschiff greifen sollte/muss, 7490. Die kostet ab 160€ wenn ich das noch richtig im Kopf habe. Dafür ist FritzVPN (IPsec) mit wenigen Handgriffen eingerichtet (gibt gute Tutorials dazu) und funktioniert recht benutzerfreundlich.
Hat man noch keinen IP-Telefon-Anschluss, kann man auch den Speedport als reines Modem nutzen und sich eine günstigere Fritzbox ohne Modem kaufen. Telefoniert man schon via Telekom-IP und hat die Telefone am Speedport angeschlossen, muss zwangsläufig eine 7490er her, weil die Telefonports am Speedport im Modembetrieb abgeschaltet sind, das muss dann die Fritzbox übernehmen.

2) Zusätzlichen Router oder zB Raspberry PI mit OpenVPN (o.ä.)
Ist günstiger, da man entweder bestehende Hardware nutzt - zB alten Laptop oder eben den PI, der eh schon ein Jahr in der Ecke liegt - oder sich günstig Hardware besorgt. PI bzw. Router mit OpenWRT liegen so in etwa bei 20-50€, je nach Gerät. Das VPN muss man mehr oder weniger von Hand installieren und konfigurieren. Ist auch kein Hexenwerk und Tutorials gibt es auch en masse, aber ist halt zum Teil Kommandozeile (Stichwort: Linux). Kriegt man auch hin, haben hier im Forum auch schon genug Laien geschafft.



Welchen Weg du gehst, musst du selbst wissen. Budget sowie vorhandenes KnowHow und etwas Basteltrieb sind entscheidend.

 

[speedcOre]

Hallo,

zuerst einmal VIELEN DANK für Deine Mühe! Das ist großartig!

Zur Sache zurück: es ist eine Fritzbox vorhanden. Modell 6360. Ein wenig Google-Recherche hat mir nun die restlichen Infos verschafft.

Vielen Dank für den Denkanstoß - ich hätte nicht auf dem Schirm gehabt, dass ich es ohne Zukauf neuer Hard- und ggf. Software auf die Beine stellen kann.

Beste Grüße!