Durch NAT Hyper-V Image von außen erreichen

[NetzwerkerFrankenlan 1]

Hallo zusammen,

ich bin gerade dabei ein Netzwerk aufzubauen und komme an einem Punkt nicht weiter. Ich würde mich freuen hier ein bisschen Input oder Ideen zu bekommen, danke vorab

Und zwar geht es um folgenden grundsätzlichen Aufbau:

• Host Rechner mit zwei Netzwerkkarten (1 und 2) um mit zwei unterschiedlichen Netzwerken (z.B. 1: 10.x.x.x und 2: 192.168.0.x)
• Ich möchte auf dem Host Rechner x-viele virtuelle Maschinen mit Hyper-V (zum Start reicht mal eine) ausführen
• Direktes durchschalten von Netzwerk 1 (Externes Netzwerk) ist definitiv nicht möglich; Netzwerk 2 könnte theoretisch direkt durchgeschaltet werden, mir wäre es aber lieber beide Netzwerkkarten über eine NAT zu verbinden
• Für Netzwerk 1 habe ich mal einen Test gemacht. Ich habe einen Virtuellen Switch erstellt, diesen als "Internes Netzwerk" konfiguriert und wie auf der Homepage Einrichten eines NAT-Netzwerks | Microsoft Learn Abschnitt "Erstellen eines virtuellen NAT-Netzwerks" ein NAT Netzwerk erstellt
• Das Resultat ist, dass ich mit der VM über das NAT auf das Netzwerk 1 komme. Soweit so gut

 

Meine Frage ist nun:

• Wie kann ich von außen (also mit einem Rechner in Netzwerk 1) die VM erreichen? Wenn ich die IP Adresse des Host Rechner anpinge funktioniert das, wenn ich versuche die IP Adresse der VM zu erreichen klappt das nicht. Ich denke ich muss irgendwie das NAT konfigurieren? Oder kann mir jemand sagen wie ich mit einem Rechner in Netzwerk 1 die VM erreiche? Fürs erste über den Ping-Befehl, später dann mit anderen Protokollen

 

Was haltet ihr von dem Vorhaben generell? Meine Idee war es zwei getrennte NAT Netzwerke aufzusetzen. Bin jetzt kein Netzwerk oder NAT Spezialist. Kann man das so machen oder gibt es andere Ideen?

 

Danke vorab für eure Ideen und Beste Grüße

[NilsK 2.933]

Moin,

 

was für ein Szenario möchtest du damit denn abbilden? Das ist mir völlig unklar. Du hast sicher irgendwas im Kopf, was dein Aufbau nachbilden soll, aber was?

 

Gruß, Nils

 

[NetzwerkerFrankenlan 1]

Hallo Nils,

vielen Dank für die Antwort.

 

Es geht um das Abbilden von virtuellen Roboter Controllern (diese laufen in den virtuellen Maschinen).

Im Moment laufen die bei mir immer lokalen PCs, in Zukunft möchte diese aber zentral auf einer Art Server laufen lassen. Auf diese virtuellen Steuerungen muss ich dann aus zwei verschiedenen Netzwerken zugreifen.

 

Etwas oberflächlich aber im Prinzip sind es nur Windows Rechner, die eben durch den Host-Rechner von 2 verschiedenen Rechnern erreicht werden müssen.

 

Danke und Grüße

ich frage mich ob es technisch überhaupt möglich ist einen speziellen Rechner von außen durch an NAT Netzwerk anzusprechen?

[cj_berlin 1.312]

Moin,

 

einfach nicht mit dem eingebauten NAT-Switch arbeiten, sondern eine Router-VM mit zwei Beinen bereitstellen. Ich nehme dafür seit vielen Jahren pfSense, aber es gibt auch andere Distributionen. Auf diesem Router kannst Du dann NAT inbound machen, nicht nur outbound.

bearbeitet 12. Dezember 2023 von cj_berlin

[NetzwerkerFrankenlan 1]

Hallo cj_berlin,

 

vielen Dank für deine Nachricht. Ich würde gerne die Verwendung eines realen NAT Switches vermeiden. Es ist auch nicht so einfach bzw. erlaubt nicht zugelassene Netzwerkgerät bei uns ins Firmennetzwerk zu bekommen.

Wenn es mit Windows Bordmitteln klappen würde wäre deshalb perfekt.

Wieso empfiehlst du nicht mit dem eingebauten NAT-Switch zu arbeiten? Schlechte Erfahrungen oder denkst du, dass dieser die Funktionalität gar nicht abdeckt?

 

[cj_berlin 1.312]

Moin,

 

sorry, aber wer hat von "real" im Sinne von "Hardware" gesprochen? Der NAT-Switch von Hyper-V hat keine Reverse-NAT-Funktion, Punkt. Außerdem ist er nur auf Client-Betriebssystemen supported.

 

Eine VM mit einer kostenfreien Firewall-Distribution ist eine schnelle, ressourcenschonende und kostenfreie Lösung, die dazu auch noch mit mehreren Hosts verwendbar oder von einem Host auf einen anderen portierbar wäre:

 

• Externen vSwitch mit LAN2 als Uplink
• Privaten vSwitch für die VMs
• pfSense-VM mit einem Bein je vSwitch
• NAT in der pfSense-VM einrichten (outbound NAT ist ab Werk da, wenn Du das externe Interface als WAN kennzeichnest)
• Glücklich sein.

 

EDIT: Abgesehen davon, dass es in "real" keinen "NAT-Switch" gibt  

bearbeitet 12. Dezember 2023 von cj_berlin

[NilsK 2.933]

Moin,

 

ich stimme Evgenij zu - was du brauchst, ist Routing, nicht NAT.

 

Gruß, Nils

 

[NetzwerkerFrankenlan 1]

Hallo zusammen,

 

ja kann gut sein, dass mein Wording hier nicht richtig ist, sorry. Bin nur kurz auf die Homepage von pfSense und habe Hardware-Box gesehen.

Auf den VMs kann ich leider nichts installieren, die bekomme ich fertig geliefert (ändern sich auch von Zeit zu Zeit und darauf habe ich keinen Einfluss (außer ich installiere bzw. parametriere selbst nach)).

 

Ich hab ehrlich gesagt der Beschreibung zu folgen: Was heißt "ein Bein je Switch", die anderen Begriffe sind mir leider auch nicht so wirklich geläufig.

[cj_berlin 1.312]

vor 2 Stunden schrieb NetzwerkerFrankenlan:

Auf den VMs kann ich leider nichts installieren, die bekomme ich fertig geliefert

das hat auch niemand vorgeschlagen

vor 2 Stunden schrieb NetzwerkerFrankenlan:

Ich hab ehrlich gesagt der Beschreibung zu folgen: Was heißt "ein Bein je Switch", die anderen Begriffe sind mir leider auch nicht so wirklich geläufig.

Hmmm. Dass jemand "Netzwerker" im Forum-Namen stehen hat und nicht weiß, dass man "eine Netzwerkkarte, die zu einem bestimmten Netzsegment verbunden ist" umgangssprachlich "ein Bein" nennt (kommt, wie immer, aus dem Englischen - "one-legged vs. two-legged appliance design") konnte man ja nun wirklich nicht ahnen, tut mir leid.

[NetzwerkerFrankenlan 1]

vor 13 Stunden schrieb cj_berlin:

das hat auch niemand vorgeschlagen

Hmmm. Dass jemand "Netzwerker" im Forum-Namen stehen hat und nicht weiß, dass man "eine Netzwerkkarte, die zu einem bestimmten Netzsegment verbunden ist" umgangssprachlich "ein Bein" nennt (kommt, wie immer, aus dem Englischen - "one-legged vs. two-legged appliance design") konnte man ja nun wirklich nicht ahnen, tut mir leid.

Keine Ahnung ob du dich jetzt überlegen fühlst. Ist halt nicht mein Haupttätigkeitsfeld und ich dachte solche Foren sind dazu da um sich zu informieren.

 

P.S. Richtige Profis sind in der Lage schwierige Dinge für Laien zu erklären und nicht mit Fachbegriffen um sich zu werfen und danach zu denken man ist der größte Hahn im Stall aber anscheinend befriedigt sowas manche Leute. Traurig.

 

bearbeitet 14. Dezember 2023 von NetzwerkerFrankenlan

[cj_berlin 1.312]

Ja. In jedem Forum, in dem ich bisher tätig war, fand sich früher oder später die eine Person, die mir vorwarf, ich würde nur wegen Ego oder wegen Punkten antworten. Meistens sind das Mitglieder, die selbst noch nie irgendwas hilfreiches beigesteuert haben. Du bist also diese Person in diesem Forum. Haken dran.

 

Das ist das alltägliche Risiko, mit dem man als Community-Contributor halt leben muss. Ich orientiere mich da aber lieber an den random Leuten, die mich an der Ostsee am Strand ansprechen und sich für einen Beitrag bedanken, der ihnen vor drei Jahren aus der Patche geholfen hat  

[NilsK 2.933]

Moin,

 

Ist das jetzt nötig? Beide Seiten mal bitte einen Kaffee trinken, am besten separat.

 

@NetzwerkerFrankenlan, was du vorhast, ist zwar kein Hexenwerk, aber durchaus komplex. Vermutlich wird man das in einem Forum nicht sinnvoll so durchgehen können, dass es zuverlässig zu einer funktionierenden Umgebung führt. Du willst ja nicht nur ein Routing, das rein netzwerktechnisch funktioniert, sondern eigentlich geht es um die Applikationen darüber.

 

Dazu kommt, dass du in dem Fall wahrscheinlich eine ganze Menge Details über deine Umgebung preisgeben müsstest, die du nicht in einem öffentlichen Forum sehen willst.

 

Sofern es für dich also eine Alternative gibt, z.B. punktuell professionelle Unterstützung einkaufen, wäre das evtl. zielführender.

 

Gruß, Nils

bearbeitet 14. Dezember 2023 von NilsK

[NetzwerkerFrankenlan 1]

Hallo @NilsK

 

Vielen Dank fürs Schlichten.

Ich habe mittlerweile tatsächlich eine teilweise funktionierende Lösung hinbekommen.

Und zwar mit dieser Beschreibung: Create NAT Rules for the Hyper-V NAT Virtual Switch - Petri IT Knowledgebase

Es fehlt noch ein Teil aber ich bin schon ein ganzes Stück weiter. Ich denke für den letzten Teil fehlt mir nur eine Information über welche Ports meine Software von extern in die VM zugreifen möchte. Mit dem RDP Protocol funktioniert schon alles wie gewünscht.

Ich habe die Hoffnung, dass das genauso klappt sobald ich Angaben über die Ports der Zugriffssoftware bekomme. Mal sehen ob es klappt.

 

Grüße

[NilsK 2.933]

Moin,

 

der Vollständigkeit halber weise ich noch mal darauf hin, dass du es mit NAT möglicherweise hingebastelt bekommst, es sich dabei aber nicht um eine empfehlenswerte Lösung handelt. Anderen, die dies hier lesen, rate ich von diesem Ansatz daher weiterhin ab.

 

Gruß, Nils

 

bearbeitet 15. Dezember 2023 von NilsK

[NetzwerkerFrankenlan 1]

Hallo Nils,

 

ich war ein paar Tage im Weihnachtsurlaub, melde mich aber nun nochmal.

 

Vielen Dank nochmal für das Feedback, ich denke ich versuche mein Glück oder werde mich ggf. anderweitig umsehen. Es ist leider nicht so leicht in einer Firmenumgebung gewisse Netzwerkthemen umzusetzen, weswegen mir eine Lösung mit Windows Boardmitteln gut gefallen und im ersten Test (wie auf der Homepage beschrieben) sehr gut funktioniert hat.

 

Ich bin zwar reiner IT'ler oder "Netwerker", habe aber in meiner täglichen Arbeit schon mit Netzwerken zu tun, kenne viele Themen (NAT, virtuelle Netzwerke, Routing...) aus dem Studium und denke auch, dass ich das grundsätzlich verstehe. Trotzdem ist es schon so, dass ich bei der täglichen Arbeit natürlich mit den "Standard"-Themen (IP-Adressierung, Subnetting,...) zu tun habe und die komplexeren Themen eher aus dem Studium kenne und ich dadurch die vielen Feinheiten und das Wording (z.B. one-legged vs. two-legged appliance design) .... nicht so genau kenne.

 

Ich denke ich hatte nicht erwähnt, dass auf der Lösung mehrere VMs (bzw. Hyper-V-Images) parallel laufen sollen. Diese sollen sowohl miteinander kommunizieren, aber auch die Möglichkeit haben über zwei Netzwerkadressen nach außen zu kommunizieren. Wie gesagt, zu 90% habe ich eine Lösung mit NAT hinbekommen und ich verstehe eigentlich auch nicht warum NAT hier die falsche Lösung ist. Vielleicht geht das aber für so ein zu tief ins Detail.

 

Ich danke dir trotzdem für deine Zeit und einen guten Start ins neue Jahr.

 

Grüße