[Frage] VPN: Wie Internet-Zugang einer entfernten Box nutzen?

teee

Neuer User
Mitglied seit
22 Jun 2017
Beiträge
20
Punkte für Reaktionen
0
Punkte
1
Moin,

wir verwenden zwei Fritzboxen:
Eine 7390 (192.168.10.1) wählt sich per Telekom ins Internet,
eine 7490 (192.168.20.1) wählt sich per FieteNet ins Internet.
Die beiden sind untereinander per VPN verbunden.

Wie erreiche ich es, dass ein Rechner (192.168.20.20) an 7490 (192.168.20.1)
seinen Internet Zugang (insbes. Port 80 u. 443) NICHT von der lokalen Fritzbox bekommt,
sondern von der 7390 (192.168.10.1),
und zwar möglichst ohne einen separaten VPN Client
auf dem Rechner (192.168.20.20) installieren zu müssen?

Vielen Dank vorab!
T
 
Schade ... ich hatte anhand des Thread-Titels schon die Hoffnung, daß hier jemand die zahlreichen, bereits vorhandenen Threads in diesem Board zu diesem Thema gesucht und getestet hätte und nun seinerseits eine "komplette Anleitung" dafür geschrieben hat. Aber leider ist es nur eine weitere Frage nach lange gegebenen Antworten ...
 
Hoffendlich wird dieser Fred schnell geschlossen
 
Die beiden sind untereinander per VPN verbunden
Per LAN2LAN? Falls ja, liess Dir die Artikel zu accesslist durch und wie man Traffic über das entfernte Netz leitet.
Sonst musst Du die teilanonymisierten (Werte mit $$$$) Configs beider Boxen hier in code-tags packen.
LG
 
  • Like
Reaktionen: teee
Vielen lieben Dank für die Hilfe
Schade ... ich hatte anhand des Thread-Titels schon die Hoffnung, daß hier jemand die zahlreichen, bereits vorhandenen Threads in diesem Board zu diesem Thema gesucht...
Deine Hoffnung ist berechtigt.
In der Tat habe ich die vielen Threads gesucht.
Allein das Finden war nicht erfolgreich.
Aber deine Antwort war sehr hilfreich.
Ganz herzlichen Dank!
T

Hoffendlich wird dieser Fred schnell geschlossen
Das ist auch meine Hoffnung.
Herzlichen Dank für deine Hilfe!
T

Mir ist nicht ganz klar, was Du damit meinst.
Die beiden Boxen sind gegenseitig unter "Freigaben - VPN" eingetragen.
Sie verfügen jeweils über dynamische externe IPs und entsprechende URLs - 1.xxx.de und 2.xxx.de
Beantwortet das deine Frage "Per LAN2LAN" ?

Lieben Dank für deine Hilfe!
T

//edit by stoney: Drippelpost zusammengeführt
 
Zuletzt bearbeitet von einem Moderator:
Dann solltest Du vielleicht eher nach Hilfe bei der Benutzung der Suche fragen ... vielleicht ist kriegst Du da ja hilfreichere Antworten.

Denn eines kann man mit (absoluter) Sicherheit ausschließen ... nämlich daß es solche Threads hier im IPPF nicht (in Massen) gibt. Du bist keinesfalls der Erste und Einzige, der vor dieser Aufgabenstellung stand (oder steht) und es haben auch schon mehr von Deinen Vorgängern die Information erhalten, daß sie nur vernünftig suchen müßten, als es "ausführliche Anleitungen" für solche Fragesteller gab.

Wenn Du die anderen Threads also tatsächlich nicht finden kannst, dann solltest Du zuerst diese Fähigkeiten trainieren/verbessern ... das bringt ja nicht nur in diesem speziellen Kontext auch in der Zukunft Vorteile.

Der erste Schritt beim Ersuchen um Hilfe bei der Recherche nach älteren Threads wäre es dann eben, daß Du einfach mal "gucken läßt", was Du denn nun wo genau gesucht hast. Das ermöglicht es den Lesern hier, mind. zwei Punkte besser einzuschätzen:
  • wie sinnvoll waren die angewendeten Suchbegriffe
  • was findet man damit und warum hilft das nicht bei der Lösung des Problems
So, wie es jetzt ist, steht den anderslautenden Erfahrungen (zumindest von einigen in diesem Board, die solche Sachen oft genug gelesen - und manchmal sogar geschrieben - haben) nichts weiter entgegen als Deine Beteuerung, daß Du ja gesucht hättest ... die Feststellung, daß man bei einer (sinnvollen) Suche dazu aber immer noch nichts finden kann, widerspricht nun mal den Erfahrungen anderer.
 
Gern "lass ich dich gucken", was nicht funktioniert hat.
Aber ist das aus deiner Sicht wirklich zielführend?
Würde dir das helfen?

Wäre es nicht naheliegend, wenn jemand "gucken lassen würde", wie bzw. wo genau man die Lösung findet.

Wenn das schon so oft gefragt wurde, ist die Lösung vielleicht doch nicht so einfach zu finden?

Zudem wollen wir nicht vergessen, dass die Hälfte der Menschheit dümmer ist als der Durchschnitt.
Das schränkt die Fähigkeit Vieler sicher auch ein, hier einen Beitrag zu finden.
 
liess Dir die Artikel zu accesslist durch und wie man Traffic über das entfernte Netz leitet.
Hast Du zu den Lösungsvorschläge nichts gefunden ???? seltsam

ich würde mal so starten:

FB7390_192.168.10.1:
vpn.cfg
accesslist = "permit ip any 192.168.20.0 255.255.255.0";


FB7490_192.168.20.1:
ALT:
vpn.cfg
accesslist = "permit ip any 192.168.10.0 255.255.255.0";

NEU:
vpn.cfg
accesslist = "permit ip any 192.168.10.0 255.255.255.0",
"permit ip 192.168.20.20 255.255.255.255 any";
 
  • Like
Reaktionen: teee
Und einfach mal schauen, was unter conn_type= in der supportdatei steht. Anhand des GUI und dort Freigabe, ist der Unterschied out<->lan nicht unbedingt erkennbar.
LG
 
Zuletzt bearbeitet:
  • Like
Reaktionen: teee
Vielen Dank ihr beiden.
Die Tipps werde ich beherzigen.

Aus der Support Datei:
conn_type = conntype_lan;
 
Zuletzt bearbeitet:
Aber ist das aus deiner Sicht wirklich zielführend?
Würde dir das helfen?
Durchaus ... denn wir wollen ja nicht gänzlich aus den Augen verlieren, daß die Anonymität des Internets viele auch einfach dazu verleitet, sich einen Dreck um irgendeinen "Ruf" zu scheren und die eigene Faulheit schlicht als Dummheit auszugeben - schließlich weiß ja niemand auf Anhieb, wer man eigentlich ist.

Da, wo im "real life" der normale Anstand (der auch heute noch den nachfolgenden Generationen vermittelt wird) jemanden davon abhalten würde, solche Ansinnen an andere heranzutragen ("Ey Boy, binde mir mal die Schuhe zu. Ich bin zu dumm(?), mich selbst zu bücken und es zu tun - außerdem kenne ich sonst nur Slipper oder Klettverschlüsse."), stört es den "Durchschnitt" in Boards wie diesem, offenbar keinen Deut, wenn er sich einfach als zu dumm darstellt, solange er sich damit eigene Anstrengungen ersparen kann und trotzdem mit dieser "Masche" zum Ziel gelangt.

Und wir reden hier gar nicht über ein vierwöchiges Quellenstudium zur Aneignung irgendwelcher speziellen Kenntnisse, sondern über die ganz normale Benutzung einer Suchmaschine ... da wäre es schon hochspannend zu wissen, welche (zum Thema passenden) Suchbegriffe man verwenden muß, um passenden Treffern aus dem Weg zu gehen.

Kannst Du meine Neugierde jetzt besser verstehen?

Wäre es nicht naheliegend, wenn jemand "gucken lassen würde", wie bzw. wo genau man die Lösung findet.
Ja, vielleicht ... wenn man Deiner These folgt, daß der Adressat tatsächlich dümmer als der Durchschnitt ist.

Ist er (nach meiner These) hingegen nur "effizienter" bei der Planung und Nutzung der eigenen Ressourcen (aka Arbeits- oder Freizeit, je nachdem, welchem Teil man diese Frage zuordnen muß), wäre das wohl genau der falsche Anreiz ... der Fragesteller hätte dann den Erfolg, obwohl er keine eigenen Anstrengungen unternommen und nur andere für sich eingespannt hat.

Man nennt das umgangssprachlich wohl auch einfach "Faulheit" und schon das Sprichwort weiß doch: "Ohne Fleiß kein Preis." - also: Nein, das wäre so gar nicht naheliegend, weil der Nächste mit dieser Frage dann (zurecht) ebenso verfahren könnte und die zusätzliche Antwort es (außer für den Fragesteller) für niemanden wirklich verbessert.

Es sei denn, es ergäben sich dabei irgendwelche neuen und bisher nicht "behandelten" Aspekte ... davon ist hier bisher nichts zu lesen und damit Du selbst das von vorneherein so einschätzen könntest (und damit die Notwendigkeit der (erneuten) Frage einleuchtend erscheint), müßtest Du die anderen Threads zu diesem Thema ja erst einmal kennen für den Vergleich.

Wenn das schon so oft gefragt wurde, ist die Lösung vielleicht doch nicht so einfach zu finden?
Auch das postuliert wieder die Annahme, daß tatsächlich (wie zuvor auch von Dir behauptet) auch gesucht wurde ... so dieses der Fall ist (oder war), kann es ja nicht wirklich problematisch sein, diese Suche näher zu beschreiben. Einen besseren Beleg dafür, wie kompliziert das Finden passender Threads tatsächlich ist, könnte man ja kaum vorweisen ... ich lese aber diesbezüglich nichts Konkretes von Dir oder kann ich es nur nicht erkennen?

Zudem wollen wir nicht vergessen, dass die Hälfte der Menschheit dümmer ist als der Durchschnitt.
Das schränkt die Fähigkeit Vieler sicher auch ein, hier einen Beitrag zu finden.
Alles eine Frage der Methodik ... der Median muß auch nicht mit dem arithmetischen Mittel korrelieren, so daß nur wenige (halt sehr dumme) Ausreißer notwendig sind (nach gängiger Meinung sind das dann die RTL-Zuschauer?), um den Durchschnitt so weit zu drücken, daß sich deutlich mehr als die Hälfte der Menschheit auf der anderen Seite versammelt.

Wo Du Dich selbst siehst, braucht man offenbar nicht zu fragen (schließlich willst Du ja Dein "Suchversagen" damit begründen oder verstehe ich das nur falsch?) ... aber anderen gegenüber finde ich Deine These mit dem "Halbieren" etwas ungerecht.

Zumindest wären wir dann wohl wieder bei der Theorie der "größeren Hälfte", die sich auf der klügeren Seite befindet - denn zumindest hinsichtlich der Benutzung von Suchmaschinen hat sich da einiges getan und vielleicht hilft Dir ja auch einer dieser "personal digital assistants", dem Du Deine Fragen stellen kannst (ist ja bald Weihnachten) ... der überwiegende Teil der Leserschaft (und der Antwortenden) im IPPF hört halt nicht auf "Siri" oder "Alexa" oder "OK, Google" und läßt sich damit nicht zum persönlichen Assistenten degradieren - Ausreißer gibt es (Statistik hatten wir ja schon) halt immer.
 
Sie sind doch ein Mensch bereits deutlich fortgeschrittenen Alters.

Und trotzdem verschwenden Sie immer wieder Ihre und anderer Menschen Lebenszeit mit solchen Beiträgen?
Sie wollen nicht helfen, sondern suchen offenbar dringend und verzweifelt Aufmerksamkeit.
Sie provozieren sinnlos, unhöflich und fühlen sich vermutlich anschließend als besserer Mensch

OK.
Verstanden.
Viele Menschen fühlen sich einsam und abgehängt.

Aber nun treten Sie doch nun bitte zur Seite und nerven Ihre Mitmenschen bitte nicht mit unnützen Beiträgen, die nur eh schon unübersichtlichen Treads sinnlos aufblähen und zur Sache nichts beitragen.

Wie wäre es stattdessen mit Sport?

Auf der Suche nach einer Lösung stolperte ich über zahllose Ihrer Frust-triefenden Off-Topic Beitrage.
Diese haben die Suche nur erschwert und zusätzlich Zeit gekostet.

Ich danke Ihnen trotzdem für ihre kurios-unterhaltsamen Beiträge und wünsche Ihnen von Herzen, dass Sie Ihre begrenzte Lebenszeit genießen.

Wäre es nicht auch für Sie schön, die Welt positiv zu sehen und hilfsbereit zuzupacken, anstatt nur endlose Off-Topics zu schreiben?

Zu guter Letzt:
Sie hätten eigentlich auch selbst mal Google bemühen können, aber ich helfe gern:
http://www.ihvo.de/200/normalverteilung-der-intelligenz/

Viele Grüße
T
 
Zuletzt bearbeitet:
Wie erreiche ich es, dass ein Rechner (192.168.20.20) an 7490 (192.168.20.1)
seinen Internet Zugang (insbes. Port 80 u. 443) NICHT von der lokalen Fritzbox bekommt
Das lässt sich nicht mithilfe der accesslist bewerkstelligen. Es sei denn, dieser eine Rechner ist der einzige an der Fritzbox angeschlossene.
Eine Lösung dafür habe ich, aber im Forum nicht gefunden. Ich habe aber, auch nicht danach gesucht. :)
 
  • Like
Reaktionen: teee
Moin KunterBunter,
vielen Dank. Ja das habe ich leider auch schon feststellen müssen.
Und eine Lösung dafür scheint es im Forum wirklich nicht zu geben.
 
Wie erreiche ich es, dass ein Rechner (192.168.20.20) an 7490 (192.168.20.1)
seinen Internet Zugang (insbes. Port 80 u. 443) NICHT von der lokalen Fritzbox bekommt,
sondern von der 7390 (192.168.10.1),
und zwar möglichst ohne einen separaten VPN Client
auf dem Rechner (192.168.20.20) installieren zu müssen?

Das lässt sich nicht mithilfe der accesslist bewerkstelligen. Es sei denn, dieser eine Rechner ist der einzige an der Fritzbox angeschlossene.
Eine Lösung dafür habe ich, aber im Forum nicht gefunden. Ich habe aber, auch nicht danach gesucht. :)

@KunterBunter: die Anforderung, dass Rechner (192.168.20.20) über FB7390 (192.168.10.1) den Internet-Uplink bekommt wird durch die Accesslist in #8 realisiert;
warum soll das nicht gehen ?
Anmerkung: Bei IPsec-VPN benötigt man kein Destination-NAT oder Policy-based Routing, um den Internet-Uplink-Trafic von Source-IP 192.168.20.20 für Destination Port tcp/80 oder Port tcp/443 umzuleiten.

FB7490_192.168.20.1:
NEU (Selector erweitert um Destination Ports):
vpn.cfg
accesslist = "permit ip any 192.168.10.0 255.255.255.0",
"permit tcp 192.168.20.20 255.255.255.255 any eq 80",
"permit tcp 192.168.20.20 255.255.255.255 any eq 433";


Auch gibt es hier im Forum Beiträge, die diesen Sachverhalt Accesslist mit Selectoren auf Source-IP und Destination-Port behandeln.

im Forum nicht gefunden. Ich habe aber, auch nicht danach gesucht.
OK, die SuFu ist IMHO sehr hilfreich.

Ja das habe ich leider auch schon feststellen müssen.
Und eine Lösung dafür scheint es im Forum wirklich nicht zu geben.
@teee: Worauf begründet sich Deine "Feststellung" ???
gerne mit Testergebnisse (Config und Testbeschreibung, so dass es reproduzierbar ist) belegen.
 
Zuletzt bearbeitet:
  • Like
Reaktionen: teee
@Shirocco88:
Vermutlich ist das in #1 nicht so sehr präzise beschrieben und er will eigentlich auf der 7390 eingehende Verbindungen auf einen Client im anderen LAN weiterleiten ... das geht tatsächlich nicht (ist auch schon Thema einiger Fragen gewesen), jedenfalls nicht mit der originalen Firmware, sofern der Client aus dem LAN am anderen Standort auch erreicht werden soll und die Nutzung einer "ipsecbrX" damit keine Option darstellt.

Mit einem SSH-Tunnel von Box A zu Box B ist das dann aber kein Ding und notfalls klappt es sogar mit "nc" als Proxy, der über die "inetd.conf" gestartet wird und bei eingehenden Verbindungen den Tunnel (innerhalb des VPN) vom Service-Port zum "Server" aufbaut. Das gibt dann ggf. ein paar Probleme mit der "Identität" des Clients (weil der dann aus Sicht des Servers auf der anderen FRITZ!Box säße, denn der "nc"-Tunnel transportiert nur die Daten ab L4 und keine TCP-Header des eingehenden Requests), funktioniert aber ansonsten leidlich.

Das, was Du vermutlich meinst (und beschreibst), ist die Benutzung des fremden Anschlusses für ausgehenden Verkehr - paßt zwar genauso auf die "Fragestellung" in #1 (da bin ich ganz Deiner Meinung, denn im ersten Anlauf hatte ich das genauso verstanden), ist aber wohl nicht das "beschriebene" Problem. Wenn doch, stimmt natürlich die Feststellung, es ginge mit originaler Firmware gar nicht, auch nicht wirklich und @KunterBunter hätte #1 auch mißverstanden.
 
Hier ist der TE gefordert:
Geht es um
die Benutzung des fremden Anschlusses für ausgehenden Verkehr
oder
auf der 7390 eingehende Verbindungen auf einen Client im anderen LAN weiterleiten
???

nur so können Mißverständnisse vermieden werden und eine effiziente Suche durchgeführt oder Lösungswege diskutiert werden.

ggf. auch Thread-Benennung "VPN: Wie Internet-Zugang einer entfernten Box nutzen?" anpassen, so dass sofort klar wird, ob es um "eingehende" oder "ausgehende" Verbindungen geht, die gesondert behandelt werden sollen.

Das gibt dann ggf. ein paar Probleme mit der "Identität" des Clients (weil der dann aus Sicht des Servers auf der anderen FRITZ!Box säße, denn der "nc"-Tunnel transportiert nur die Daten ab L4 und keine TCP-Header des eingehenden Requests), funktioniert aber ansonsten leidlich.
da könnte u.a. ein Reverse-Proxy abhilfe schaffen.
 
Zuletzt bearbeitet:
...er will eigentlich ...
Vielen Dank für das nochmalige Nachhaken und sorry für meine offenbar missverständliche Formulierung.

Mit anderen Worten:
Der Rechner (192.168.20.20) an 7490 (192.168.20.1 DSL an FieteNet) hat derzeit beim Surfen FieteNet IP soll aber Telekom IP haben, wenn er z.B. wieistmeineip.de besucht.

Rechner (192.168.20.20) <- WLAN -> 7490 (192.168.20.1) <- VPN Tunnel- > 7390 (192.168.10.1) <- DSL -> Telekom Internet

Im Grunde ist das die typische Aufgabenstellung, wenn jemand vom Ausland aus per VPN Client die heimische Box nutzen will, nur mit dem Unterschied, dass nicht alles durch einen VPN Client läuft sondern durch zwei tunnelnde Boxen.

@teee: Worauf begründet sich Deine "Feststellung" ???
gerne mit Testergebnisse (Config und Testbeschreibung, so dass es reproduzierbar ist) belegen.

Habe die vorgeschlagenen Änderungen in die 7490 cfg eingetragen und dort hochgeladen.
Der Tunnel baut sich auf, der Rechner erscheint aber mit "FieteNet IP" im Web.
 
Zuletzt bearbeitet:
Das ist immer noch etwas widersprüchlich bzw. ungenau (oder mißverständlich).

Wenn man "wieistmeineip.de" aufruft, ist das ausgehender Traffic. Der kann problemlos über einen anderen Anschluß geleitet werden und mit korrekten Einstellungen funktioniert das in aller Regel auch ... so zumindest bei vielen, die das bisher nutz(t)en.

Wenn aber:
jemand vom Ausland aus per VPN Client die heimische Box nutzen will
, ist das ja wieder eingehender Verkehr (vom Client in die FRITZ!Box, zu der die VPN-Verbindung besteht) und das genaue Gegenteil. Das funktioniert mit Stock-Firmware nicht.

Wenn das allerdings heißen sollte, daß sich jemand aus dem (unsicheren) Internet per VPN-Client zu seiner eigenen (heimischen) FRITZ!Box verbindet und diese dann als Zugang zum Internet benutzt (denn "nutzen" kann man die per VPN ja für alles Mögliche auch "lokal"), dann ist das tatsächlich wieder ausgehender Verkehr (aus Sicht der FRITZ!Box, die das Gateway zum Internet darstellt) und das funktioniert - wie bereits erwähnt und mehrfach beschrieben - reibungslos. Bei mir auch mit einer 7490 mit 113.07.01 als "Gateway" für den entfernten VPN-Client in einem anderen LAN - neuer wäre dann nur noch die aktuelle Labor-Version.

Ansonsten gibt es zum VPN auch Beiträge, wo ausführlich beschrieben ist, welche Informationen es für eine Fehlerdiagnose brauchen würde (das hat @Shirocco88 ja bereits erwähnt) ... denn
Der Tunnel baut sich auf, der Rechner erscheint aber mit "FieteNet IP" im Web.
ist je eher eine "Beobachtung" des finalen Mißerfolgs als eine Analyse und daraus auf "geht nicht" zu schließen, wäre mit sehr hoher Wahrscheinlichkeit falsch.

Dem müßte man dann wieder "aus Prinzip" entgegentreten, damit spätere Leser so etwas nicht für bare Münze nehmen, weil es unwidersprochen blieb - denn so entstehen dann Mythen, die mit der Realität nur sehr bedingt korrelieren.

Auch gibt es hier im Forum Beiträge, die diesen Sachverhalt Accesslist mit Selectoren auf Source-IP und Destination-Port behandeln.
Dem schließe ich mich (im Brustton der Überzeugung) an.
 
Vielen Dank für die ausführliche Antwort.

Anstatt von eingehend ODER ausgehend zu sprechen können wir besser versuchen zu verstehen, was das Ziel ist:
(Der Aufruf einer Webseite und deren anschließender Aufbau in einem Browser setzt doch immer ein- und ausgehende Daten voraus.)

Noch einmal mit anderen Worten:

Wenn der Rechner wieistmeineip.de aufruft, soll die Telekom IP der fernen 7390 angezeigt werden und nicht die Fiete IP der lokalen 7490.
(Also analog zum VPN Client Nutzung eines Urlaubers im Ausland: Der würde beim Aufruf von wieistmeineip.de ja auch die IP der heimischen Box sehen.)

Das ist es, was ich mit dem Satz in #1 meinte :
"Wie erreiche ich es, dass ein Rechner (192.168.20.20) an 7490 (192.168.20.1)
seinen Internet Zugang (insbes. Port 80 u. 443) NICHT von der lokalen Fritzbox bekommt,
sondern von der 7390 (192.168.10.1),"

Was die vorgeschlagene Lösung angeht Folgendes einzutragen:
FB7490_192.168.20.1.cfg
ergänzt um
accesslist = "permit ip any 192.168.10.0 255.255.255.0",
"permit tcp 192.168.20.20 255.255.255.255 any eq 80",
"permit tcp 192.168.20.20 255.255.255.255 any eq 433";

...das hat nicht den gewünschten Erfolg gebracht.

Die Boxen verbinden sich zwar einwandfrei per VPN (die beiden Boxen UIs sind vom Rechner jeweils unter 192.168.10.1 bzw. 192.168.20.1 aufrufbar), der Rechner "surft" aber weiterhin nicht über die entfernte Box mit Telekom Zugang.
 

Zurzeit aktive Besucher

Statistik des Forums

Themen
245,687
Beiträge
2,237,848
Mitglieder
372,804
Neuestes Mitglied
Daniel Jackson
Holen Sie sich 3CX - völlig kostenlos!
Verbinden Sie Ihr Team und Ihre Kunden Telefonie Livechat Videokonferenzen

Gehostet oder selbst-verwaltet. Für bis zu 10 Nutzer dauerhaft kostenlos. Keine Kreditkartendetails erforderlich. Ohne Risiko testen.

3CX
Für diese E-Mail-Adresse besteht bereits ein 3CX-Konto. Sie werden zum Kundenportal weitergeleitet, wo Sie sich anmelden oder Ihr Passwort zurücksetzen können, falls Sie dieses vergessen haben.