VPN side-to-end und side-to-side

[ede21 10]

Hallo,

 

ich hoffe in diesem Forum bin ich mit meiner Frage richtig. Wir haben bei uns in der Firma einen Netgear Router mit VPN Gateway funktionalität. Das Modell heisst FVX538. Wir nutzen Voip von den Heimarbeitsplätzen. Soweit so gut. Das Problem was wir haben, ist das die Verbindung zum Firmennetzwerk aufgebaut werden kann, aber kein Datenverkehr gleichzeitig direkt zwischen den VPN Clients (Heimarbeitsplätzen). Da wir eine VoIP TK Anlage haben die bei Verbindung von zwei internen Anrufern eine direkte Verbindung zwischen den Clients einleitet, können diese nicht direkt miteinander telefonieren. Wir nutzen IPSec VPN. Da ich mich mit VPN leider noch nicht so gut auskenne, hoffe ich das diese Konstellation überhaupt möglich ist. Bei den Clients sieht man bei einer direkten Verbindung, das die Pakete des anderen Clients verworfen werden.

 

Client VPN IP-Kreis ist 192.168.10.x

interner LAN Kreis ist 192.168.1.x

 

Danke schon im voraus für eure Hilfe.

[LukasB 10]

Sowas ist natürlich grundsätzlich kein Problem, aber es kann gut sein das dein Consumer-Router das nicht kann. Genaueres kann dir der Support des Herstellers sagen. Das Problem bei diesen Geräten ist halt das hinter deren FW-Releases kein richtiger "Plan" steht, und auf einem Gerät mit gleichen Namen teilweise auch ein komplett neues OS läuft - deswegen gibts kaum Leute die sich ernsthaft mit diesen Consumer-Geräten auseinander setzen.

 

Am besten kaufst du dir eine Firewall/VPN-Appliance eines renommierten Herstellers wie z.B. Cisco/Watchguard/Astaro/SonicWALL - die Geräte können das bestimmt.

[dippas 10]

Am besten kaufst du dir eine Firewall/VPN-Appliance eines renommierten Herstellers wie z.B. Cisco/Xxxxxxxxxx/Astaro/XxxxxXXXX/Juniper - die Geräte können das bestimmt.

 

Ich würde den Netgear-Kasten zwar nicht als Consumer-Gerät beschimpfen, aber Schrott ist der trotzdem :D

 

Nichts desto weniger trotz reduziert sich die Suche nach der Lösung meist auf folgende Fehlerquellen:

 

- Routing

- Regeln

- ClientKonfiguration (Weis der Client, das ein bestimmter anderer Client über den Tunnel erreichbar ist? Lässt er den notwendigen Datenverkehr zu?)

- NAT

 

Je nach Gerät sind unterschiedliche Einstellungen vorzunehmen. Da gebe ich LukasB recht: Es ist eben keine "richtige" Firewall. Denn wenn es interessant wird, schaffen Netgear und Co. nix (oder nur wenig).

 

Prüf mal die genannten Punkte ab. Genaueres könnte ich Dir nur zu Astaro oder Juniper sagen.

 

grüße

 

dippas

[fischer-denkt 10]

Versteh das Problem noch nicht so recht. Habt Ihr Heimarbeitsplätze welche sich mit einem VPN-Client in die Firma verbinden oder VOIP Telefone welche über einen Site-2-Site Tunnel mit der TK in der Firma reden?

 

Beides ist kein Problem. Sollte jedoch schon ein Site-2-Site Tunnel in die Firma bestehen, wäre es durchaus sinnvoll diesen Tunnel auch für Clients zu nutzen.

 

VOIP Telefone bauen untereinander Sessions auf (wie Du auch geschrieben hast), daher macht es Sinn unter den einzelnen Home-Office Plätzen einen Tunnel zu ziehen (fully meshed). Sonst landet der ganze Traffic wieder in der Firma. Außerdem kommt man irgendwann in der Firma Routingmäßig durcheinander.

 

Netgear ist hier (wie meine Vorredner bereits gesagt haben) sicherlich nicht die ideale Lösung. Ich würde phion verwenden (eh klar :-)).

 

LG Falk

[ede21 10]

Danke schonmal für die Antworten. Das mit der Hardware eines rennomierten Herstellers ist ein guter Vorschlag, nur sind wir auf dieses Gerät im Moment angewiesen, da kein Budget für die EDV zur Verfügung steht. Laut Netgear ist es ein Business Gerät für 200 VPN Tunnel. Naja Netgear erzählt viel. Da ich mich wohl in meinem Posting nicht richtig ausgedrückt habe, schildere ich nochmal die Situation:

 

Vorhandene Hardware: FVX538 Router, VoIP-Server im Firmennetzwerk (Kreis 192.168.1.x)

Heimarbeitsplätze nutzen einen Softwareclient der VoIP-Telefonanlage und wählen sich über den Netgear VPN Client auf den Router (Kreis 192.168.100.x). Die normale Nutzung über VPN mit VoIP oder Datenaustausch funktioniert einwandfrei. Problem besteht immer nur wenn zwei Heimarbeitsplätze untereinander telefonieren möchten (da ja dann eine direkte Verbindung zwischen diesen existieren muss). Routing scheint zu funktionieren, da man in den Logdateien der VPN-Clients (Heimarbeitsplätze) folgende Meldung sehen kann. "inbound TCP Paket from 192.168.100.x (IP des anderen Heimarbeitsplatzes) has been dropped". Ich als Leie behaupte mal das die Pakete des einen Heimarbeitsplatzes den anderen über Routing erreicht, die Pakete beim Ziel aber verworfen werden. Warum auch immer. Habe da bis jetzt keine einzige Einstellung gefunden und der Netgear Support konnte mir auch nicht weiterhelfen.

Wenn ich euch richtig verstanden habe, dann ist es Grundsätzlich möglich gleichzeitig in ein Firmennetzwerk einzuwählen und anderen VPN Clients die sich ebenfalls einwählen, erreicht zu werden. D.h. man müsste theoretisch auch auf Clientfreigaben draufkommen oder?

Weiß jemand von euch ob dies eventuell mit einem ISA2004 Server machbar ist? Der müsste doch damit klar kommen.

 

grüße

ede21