VPN (un)möglich?

[YNimare 10]

Hallo zusammen,

 

Es stellt sich folgendes Szenario:

 

- Netzwerk I: Warenwirtschaftsserver (IP Bereich: 192.168.100.X)

- Netzwerk II: greift per VPN (Lancom Router) auf Netzwerk I zu (IP Bereich: 192.168.105.X)

- Netzwerk III: entstand unabhängig der beiden ersten Netzwerke (IP Bereich: 192.168.100.X)

- Netzwerk IV: entstand ebefalls unabhängig (IP Bereich: 192.168.100.X)

 

Folgende Anforderung stellt sich. Es soll mit sowenig Aufwand wie möglich der Zugriff von Netzwer I,II,III auf IV realisiert werden. Also VPN, der Sicherheit wegen. Im Netzwerk IV managed ebenfalls ein Router die VPNs. Das ganze funktioniert von Netzwerk II reibungslos. Das es aus den anderen Netzwerken nicht funktioniert ist mir schon klar.

 

Gibt es dafür eine Lösung? Nun ich könnte im Netzwerk IV den Adressbereich ändern. Da dieser Standort aber der größte ist (die meisten Geräte ohne DHCP) und nochdazu mehrere 100 Kilometer von meinem Arbeitsplatz entfernt ist, suche ich nach einer anderen Lösung. Ich könnte die Netzwerke auch in Subnetze einrichten. Da hab ich aber das Problem, das bei dem Entstehen der Netzwerke alle Möglichkeiten ausgeschöpft wurden (z.B. Server 1-10, Workstations 100-200, Drucker u.ä. > 200 - das zieht sich in ähnlicher Weise durch alle Netze).

 

Ich sollte vielleicht noch erwähnen, dass in Netzwerk IV in der jetzigen Planung nur auf einen Server zugegriffen werden muss (alle Netzwerke auf den Server, umgekehrte Richtung ist nicht vorgesehen, Netzwerk IV auf die anderen Netzwerke).

Kann ich vielleicht mit Routingbefehlen Angaben machen? Oder gibt es sonst eine Möglichkeit?

Wenn es geht möchte ich das Ändern der IP-Adressen vermeiden, da doch zuviele Netzwerkverknüpfungen darüber funktionieren (nur wenigen arbeiten mit Namensauflösung), das ändern der Adressen würde weitere Probleme hervorufen die auf den ersten Blick nicht sichtbar sind. Noch ein Hinweis; auf den Server im Netzwerk IV (Terminalserver) wird per Remote zugegriffen.

 

So, ich hoffe ich konnte halbwegs verständlich mein Vorhaben aufzeigen. Ich bin für jede Idee dankbar, die mir in der Richtung weiter hilft.

 

so long...

 

YNimare

[IThome 10]

Mit einem geeigneten Gateway kann man das machen (es führt NAT für den IPSEC-Tunnel durch), Watchguard wäre ein Beispiel. Eventuell mit einem RRAS, der 2 Karten hat und ebenfalls hinter dem LANCOM NAT durchführt (theoretisch müsste das klappen, habe ich aber noch nie gemacht) ...

[YNimare 10]

Hallo IThome,

 

danke für den Tip. Jetzt habe ich ersmal eine Hinweis und kann damit google füttern ;)

Nun ich arbeite nicht 24/7 für die Firma, so werde ich erstmal ins Wochenende springen :D

 

Euch allen ein schönes Wochenende... :)

 

so long...

[IThome 10]

Falls Du nichts findest oder weitere Fragen hast, nur zu ... :)

[YNimare 10]

Hallo,

 

da ich nicht so sehr unter Zeitdruck mit dem Projekt stehe, hab ich bisher nicht geantwortet, aber die Möglichkeiten überprüft und mir meine Gedanken gemacht (Fälligkeit mitte des Jahres +/- den ein oder anderen Monat) .

 

Ich bin soweit das ich das Netzwerk III umstellen werde auf einen anderen Adressbereich. Somit ist Arbeiten von diesem Standort gesichert (dort sind auch nur eine Handvoll von Netzwerkgeräten zu konfigurieren).

 

So muss ich jetzt noch eine Lösung finden, wie Netzwerk I auf IV zugreifen kann. Die Watchguard Variante fällt aus Finanzierungsgründen raus.

Ich bin mir nicht ganz sicher ob ich die zweite Variante richtig verstanden habe (RRAS hinter LANCOM NAT) und möchte daher höfflich nach einer etwas detailierten Erklärung der Theorie fragen :)

 

Danke im vorraus...

 

so long...

[knutschie1000 10]

Wie wäre es denn mal mit ISA 2004 and den Standorten, is nicht so teuer und funzt prima bei uns.

[IThome 10]

Naja, als Beispiel Netz A hat 192.168.1.0/24 und Netz B auch. Die beiden LANCOMS sind via IPSEC miteinander verbunden. In Netz A wie in Netz B steht ein RRAS, der 2 Karten hat. LANCOM in Netz A hat die 192.168.10.1/24 intern, LANCOM in Netz B hat 192.168.20.1/24 intern. RRAS in Netz A hat 192.168.10.2/24 extern und 192.168.1.1/24 intern. RRAS in Netz B hat 192.168.20.2/24 extern und 192.168.1.1/24 intern. Auf RRAS in Netz A wird eine Adressrange in der NAT-Konfiguration konfiguriert, die der Anzahl der internen Server entspricht (z.B. 192.168.10.5 - 192.168.10.10). Diese Adressen werden mit 1-to-1 NAT an die entsprechenden Server nach innen geleitet. Auf RRAS in Netz B wird auch eine Adressrange definiert, die ebenfalls der Anzahl der zu erreichenden Server intern entspricht (z.B. 192.168.20.5 - 192.168.20.10) und es werden ebenfalls statische Zuordnungen konfiguriert. Wenn jetzt ein Client in Netz A einen Server in Netz B erreichen will, spricht er die 192.168.20.x an, der RRAS in Netz B leitet zu dem definierten Server nach innen weiter. Clients in Netz B sprechen Server in Netz A via 192.168.10.x an ...

Müsste eigentlich klappen ...