Wie kann eine VPN-Verbindung realisiert werden?

[Mixter 10]

Hallo, in der im Anhang gezeigten Topologie sollen sich zwei Clients über die SDSL-Leitung mit dem LAN verbinden. Den Servern würde ich nur ungerne eine feste IP vergeben, ich möchte eigentlich lieber einen Router mit Firewall-Funktion zwischen dem Cisco 800 und dem LAN schalten. wie wäre das dann realiserbar?

netzwerk.pdf

[Tobikom 10]

Hallo,

 

soweit ich jetzt verstanden habe möchtest du die beiden Clients irgendwo in der Welt über Internet mit deinem Firmennetzwerk verbinden, oder?

 

Kaufe dir einen vernünftigen VPN Router (Lancom, Funkwerk, Cisco, Zyxel...).

Installieren diesen Router an den SDSL Anschluß und stelle mit einem entsprechenden VPN-Client auf den PCs eine VPN-Verbindung her.

 

Grüße

 

Tobias

 

Genauere Antworten bei präziseren Fragen

[G-KA 10]

Hierzu habe ich eine Zwischenfrage:

Wodurch unterscheidet sich ein "vernünftiger VPN-Router" konkret von einem "nicht vernünftigen VPN-Router"?

[djmaker 95]

Hierzu habe ich eine Zwischenfrage:

Wodurch unterscheidet sich ein "vernünftiger VPN-Router" konkret von einem "nicht vernünftigen VPN-Router"?

 

 

Der Unterschied betseht u.a. in gewünschten Einsatzzweck und dem geforderten Service für das Gerät.

 

Angefangen über DSL-Router mit Open-Source-Firmware (DD-WRT etc.) über Lancom und Zyxel weiter zu Watchguard, Cuisco und Co., wobei die meisten Hersteller für jeden Einsatzzweck Geräte haben.

 

Bessere Geäte bieten mehr Möglichkieten und Performance bei der VPN-verschlüsselung, sind aber meist wesentlich komplizierter einzurichten.

 

Wie gesagt, das hängt immer davon ab . . . . :D

 

PS: Ein "nicht vernünftiger VPN-Router" wäre ein Linksys WRT54GL mit der Firmware DD-WRT für ein Site-to-Site-VPN mit 1000 Usern pro Standort. :D

 

PPS: Bei DD-WRT kann ich wenigstens im DHCP in der IP-Reservierung MAC-Adressen hinterlegen (siehe NAS-Problem).

[Tobikom 10]

Hallo,

 

wie djmaker schon sagte, ein "vernünftiger VPN-Router" besteht aus entsprechend gut verarbeiteter Hardware. Angemessenem Hersteller Support.

 

Hersteller hält sich an Standards um auch Hersteller übergreifende verbindungen einrichten zu können.

 

Auf welchen Hersteller/Gerät man letztendlich zurück greift hängt ja auch starkt von dem Einsatzgebiet ab.

 

Grüße

 

Tobikom

[G-KA 10]

Wodurch würde sich denn beispielsweise ein Lancom 1721 VPN von einem

3Com 3CR858-91 unterscheiden, denn der Preisunterschied ist schließlich nicht unerheblich (5x !), wenngleich die Features zumindest auf den ersten Blick recht ähnlich erscheinen?

[Tobikom 10]

Hallo,

 

der Lancom Router gehört zu den "richtigen VPN-Routern" ;-)

Der Lancom kann VPN Tunnel terminieren. Sei es Punkt-zu-Punkt oder als Server für Clients. Hat einen eingebauten Hardwarebeschleuniger für VPN und vieles mehr.

 

der 3com ist ein einfacher DSL-Router mit VPN pass-through. D.h. ein dahinterliegender Client kann einen VPN Tunnel durch den Router aufbauen.

 

Grüße

 

Tobikom

[Mixter 10]

Also die ADSL-Verbindung wird über einen Bintec R3000 hergestellt.

 

Ich habe einen weiteren R3000 "über" den ich nutzen könnte, oder einen Netgear FVS318. Für beide sind auch Lizenzen der Herstellereigenen VPN-Clients vorhanden.

 

Ich hatten den Netgear schon am laufen. Auf der LAN-Seite die IP 192.168.200.254 gegeben, auf der WAN eine der vier verfügbaren statischen IP's. Ich konnte mich auch mit einem Client von außerhalb anmelden. Nur ich habe einzig von dem Netgear einen Ping zurückerhalten. Auch diesen Fehler konnte ich ermitteln, die Clients haben als Gateway ja den Bintec R3000 mit der ADSL-Verbindung...also kam der Ping zwar an aber die Antwort nicht zurück.

 

Dann habe ich erst mal dem Windows Server 2003 Std. die LAN-IP des Netgears als GW eingetragen, danach erhielt ich auch eine Antwort.

 

Aber nach ein paar Minuten hat sich der Netgear verabschiedet, er war im lokalen Netz nicht mehr erreichbar.

[G-KA 10]

Zuvor hatte ich mich übrigens mit der Modellbezeichnung vertan. Ich meinte das 1711 VPN und nicht das 1721 VPN, da letztes zusätzlich noch ein ADSL-Modem integriert hat.

 

Die eingebaute Hardwarebeschleunigung dürfte aber so wie ich das sehe bei beiden Lancom-Varianten nur dann funktionieren, wenn man das VPN-Update-Paket erwirbt.

 

Wird das weitere Feature (Gegenstück zu pass-through) als "NAT-Traversal" bezeichnet?

 

Und gibt es beim Vergleich 3CR858-91 zu Lancom 1711 VPN sonst noch markante Unterschiede, beispielsweise im Hinblick auf auf Protokolle / Namensauflösung im Netz?

[Tobikom 10]

@Mixter

 

Um von den VPN Clients auf die Geräte im lokalen Netz zugreifen zu können ohne das Gateway zu vergieben solltest du im ADSL-Router eine Route für das "VPN-Netz" (192.168.x.0 ?) auf den SDSL-Router (192.168.200.254) machen.

 

Dann können die internen Computer weiter über den ADSL Anschluß surfen abder das Netz der VPN-Clients wird über den SDSL Anschluß geroutet.

 

Da würde ich doch sehr den R3000 bevorzugen, auch wenn ich den gerade nicht genau kenne. Auf jedenfall ist der Bintec/Funkwerk VPN CLient (NCP) einer der besten die es auf dem Markt gibt.

 

 

@G-KA

Dein Beitrag driftet jetzt etwas von dem ursprünglichenab. Am besten machst du einen eigenen Beitrag auf, dann können wir da gerne weiter Diskutieren. Nur etwas übersichtlicher.

 

Grüße

 

Tobias

[G-KA 10]

@Tobikom

 

Das dürfte sich vermutlich nicht mehr lohnen, da ich mich nun für den Erwerb eines RV042 Routers von Linksys entschieden habe. Dieses Modell ist doch auch ein "richtiger und vernünftiger VPN-Router", oder?

[Tobikom 10]

@G-KA

 

Vom Datenblatt her hört sich der Router ganz ok an. Linksys, Netgear usw verrichten sicherlch auch ihre Arbeit. Für kleine SOHO Anwendungen ist das Preis/Leistung vollkommen ok. Ich arbeite aber fast ausschließlich mit Lancom, Funkwerk/Bintec und Cisco.

 

@Mixter

so ich hoffe wir haben dich jetztz nicht von deinem Thread vergrault. Sollten noch irgendwelche offenen Fragen sein werden die sicherlich auch beantwortet.

[Mixter 10]

Nein, habt ihr nicht ;) ich werde heute noch einmal das Netgear VPN-Gateway anschließen und erst mal hoffen das es sich nicht wieder aufhängt und mich dann noch mal melden.

 

Danke jetzt schon mal für eure Hilfe!

[Mixter 10]

So, es funktioniert...halb.

 

Also, den Netgear-Router lasse ich weg. Statt dessen hat der Bintec auf einem LAN-Interface jetzt eine gültige, statische IP.

 

Wenn ich mich jetzt mit dem FEC IPSec Client verbinde funktioniert dieses auch. Ich kann auch die Rechner im LAN anpingen. Dabei ist es egal ob ich die IP oder aber den Hostnamen eingebe. Ping tobit-server - Antwort kommt von 192.168.200.199

ABER: ich finde die Rechner im Netzwerk nicht. Wenn ich den Arbeitsplatz öffne und in der Adresssleiste eingebe

 

\\tobit-server

 

dann kommt nur eine Fehlermeldung, dass der Rechner nicht gefunden werden konnte. Ebenso wenn ich \\192.168.200.199 eingebe :confused:

 

Woran könnte das noch liegen?

 

BTW: im Lan ist eine Domäne eingerichtet, xyz.local Der Rechner aber nicht Mitglied dieser Domäne. Aber das kann ja eigentlich nicht Ursache des Problemes sein oder?

[calibra22 10]

Servus

 

hast du auf diesen Rechner "192.168.200.199" eine Freigabe eingerichtet ?

 

Solang du keine Freigabe eingerichtet hast, bzw. irgendetwas wie Drucker oder dergleichen freigegeben hast, wird da auch nichts auftauchen. Ping funktioniert sobald die Datei- und Druckerfreigabe aktiviert wurde.

 

Aber was noch sein könnte, evtl Firewall-Problem?? (Weiterleitung von Ports ?)

 

(ich find leider die Seite nicht mehr, wo das ähnliche Problem beschrieben wurde...)...alzheimer....

 

 

Mfg

Michael