Probs mit OpenVPN - Nur bis FB, nicht dahinter

[germ]

Hallo,

ich habe folgendes Setup:

QDSL-Modem (x.x.x.x) <-> (x.x.x.x) FritzBox 5012 als Router (192.168.178.1) <-> (192.168.178.21) D-Link DGL-4300 als Router (192.168.0.1) <-> (192.168.0.y) Clients

FB wählt sich via PPPoE ein und vergibt dem DGL-4300 via DHCP die IP 192.168.178.21. Der DGL-4300 hat die FB als Gateway zum I-Net und vergibt in das interne LAN IPs aus 192.168.0.y via DHCP.

So, ich habe OpenVPN mittel pseudo-Images von www.the-construct.com auf die FritzBox gepackt und auf einem WinXP Notebook installiert. Soweit läuft alles gut, ich kann connecten und von remote auf die FritzBox via VPN zugreifen (telnet). Ich komme aber nicht an den DGL-4300 geschweige denn die Clients ran. Also muss ne Route her, oder? Aber wie und welche? Bezüglich statischen Routen etc. bin ich ein absoluter Noob.

Könnt ihr mir helfen?

Dank im Voraus!

germ

 

[germ]

Weiß denn keiner weiter?!?

 

[germ]

Es muss doch über ne statische Route zu lösen sein, oder? Oder bin ich komplett auf dem Holzweg?

gruß,

germ

 

[gandalf94305]

QDSL-Modem (x.x.x.x) <-> (x.x.x.x) FritzBox 5012 als Router (192.168.178.1) <-> (192.168.178.21) D-Link DGL-4300 als Router (192.168.0.1) <-> (192.168.0.y) Clients

Es ist generell eine schlechte Idee, einem Router eine IP-Adresse per dynamischem DHCP zu vergeben. Ordne ihm mal eine nette IP-Adresse statisch zu, z.B. 192.168.178.100. Dann route das 192.168.0.0/24 über die 192.168.178.100 und die Systeme sollten erreichbar sein. Bedenke, daß wenn der D-Link Router über den WAN-Port an die FBF angeschlossen ist, auf diesem eingeschränkte Erreichbarkeit gegeben ist. Du solltest jedoch mit dieser Konfiguration das Netz 192.168.0.x und damit die dortige IP-Adresse des D-Link Routers erreichen können.

Denke auch daran, daß Dein Quellsystem, das per OpenVPN auf die FBF zugreift, wissen muß, daß 192.168.0.0/24 über die FBF und den OpenVPN-Tunnel zu routen ist. Also muß auch auf dem Remote PC eine statische Route über das FBF-Ende des Tunnels eingetragen werden.

--gandalf.

 

[germ]

Hallo gandalf94305,

wo muss ich die Route

192.168.0.0/24 über die 192.168.178.100

eintragen? Und wie? Mir sagt das

/24

leider nichts...

Aber danke schonmal für die Tipps.

Gruß,

germ

[EDIT: Zwei Postings zusammengeführt --gandalf94305]

Hallo gandalf94305,

und noch ein Frage: Wie soll ich den D-Link denn sonst anschließen, wenn nicht über WAN? Woher soll der D-Link sonst die Verbindung zum Netz bekommen?

Gruß,

germ

 

[germ]

Hallo nochmal,

ich habe nun eigentlich die gleiche Konfig wie in http://www.ip-phone-forum.de/showthread.php?t=102431 beschrieben. Trotzdem kann ich von der FB keine Client hinter dem D-Link anpingen.

Ping auf 192.168.178.100 funzt, kein einziger ping auf 192.168.0.x funzt.
Von den Clients 192.168.0.x komm ich auf die 192.168.178.1, 192.168.178.100, und natürlich die 192.168.0.1

Kann es sein, dass die bereits vorhandenen Routen im D-Link etwas verhindern?


Gruß,

germ

 

[gandalf94305]

Versuche mal aus der Sicht eines jeden Systems in der Kette die Sache zu betrachten. Jedes System hat eine IP-Adresse und eine Netzmaske. Die 1-Bits in der Netzmaske geben an, welcher Teil der IP-Adresse zum Netzwerk gehört, und die 0-Bits sagen dies für den Hostteil (Adresse des Endgeräts in einem lokalen Netzwerk). Jedes System hat einen Default-Router und ggf. ein paar spezielle Routen für Ausnahmen. Wenn ein Paket von A nach B reist, dann wird es anhand seiner Zieladresse über die jeweiligen Routen geleitet, d.h. passt eine statische Route, wird diese verwendet und das Paket geht weiter an das Routenziel, ansonsten wird der Default-Router verwendet.

Male Deine Konfiguration mal auf und ordne jedem Knoten (angefangen mit dem Remote PC bis hin zum Endgerät hinter dem D-Link-Router) IP-Adresse, Netzmaske, Routen und Default-Router entsprechend Deiner Konfiguration zu. Prüfe dann mal anhand der einfachen Routing-Regeln oben nach, ob die Pakete wirklich durchkommen. Du wirst feststellen, daß in dem Remote PC eine Route 192.168.0.0/255.255.255.0 fehlt, damit das Paket nicht den Default-Router-Weg nimmt.

--gandalf.

PS: Du hättest den Router auch per einem der vier LAN-Ports anschließen können, dann agiert er einfach als Switch und es gibt definitiv keine Probleme mit NAT im D-Link-Router.

PPS: /16 bedeutet 16 bits, d.h. 255.255.0.0. /24 bedeutet 24 bits, d.h. 255.255.255.0.

PPPS: Der D-Link-Router verwendet zwischen dem WAN-Port und den LAN-Ports NAT... ich weiß nicht, ob sich der Bridging-Mode des WLAN nur auf WLAN/LAN-Konnektivität bezieht... wahrscheinlich nämlich doch ;-) Aber ich nehme mir nach meiner samstäglichen Einkaufsrunde mal das Manual vor bzw. kann einen Bekannten anrufen, der diesen Router bei sich hat ;-)

 

[germ]

Das mit der letzten Remote-Route verstehe ich. Aber warum kann ich, wenn ich via SSH auf der FB bin, meine 192.168.0.x Clients nicht anpingen?

zum PPPS: Das wäre super, Danke!

 

[gandalf94305]

Das kann daran liegen, daß NAT zwischen dem WAN-Port und den Clients hinter dem D-Link-Router aktiv ist. In jedem Fall (auch ohne NAT) ist bei D-Link-Routern dennoch der WAN-Port anders als die LAN-Ports, denn Verkehr wird gefiltert.

Wenn Du einen LAN-Port der vier noch frei hast, nimm doch mal die FBF auf einen Port dort und weise allen Systemen (im LAN, im WLAN, der FBF) jeweils Adressen aus einem Netz zu... damit sollte es funktionieren.

--gandalf.

 

[germ]

Ja, das mit dem LAN werde ich nachher mal probieren. Muss jetzt auch erst auf meine samstägliche Einkaufstour!

Gruß,

germ

 

[gandalf94305]

Hahaha... na dann mal viel Spaß... :mrgreen:

--gandalf.

 

[germ]

So, die Sache mit dem LAN-Anschluss hat soweit geklappt. Die FB kann nun alle Clients erkennen (Klar, jetzt ist sie ja der einzige Router)

VPN kann ich erst wieder probieren, wenn die Images auf http://www.the-construct.com/ wieder korrekt funktionieren. Ich werde dann hier berichten!

Danke schonmal für all die Tipps!

Gruß,

germ

 

[germ]

Ich kann nun ohne Probleme ein OpenVPN Netzwerk aufbauen. Alle Rechnern haben Kontakt zueinander und alles funktioniert so, wie es sein sollte.

Vielen Dank nochmal an dich, gandalf94305

Gruß,

germ

 

[gandalf94305]

Perfekt... dann kann ich hier mal schließen und vielleicht findest Du ja Zeit, Deine Erkenntnisse - so sie nicht schon im Wiki zu finden sind - dort zu verewigen ;-)

--gandalf.