VPN zwischen 2 Boxen, aber keine Rechner in der Netzwerkumgebung?

[mcmic]

Hi Leutz,

ich habe openvpn auf 2 Fritzboxen laufen. Funzt auch soweit. (Endlich)
Ich kann von beiden Netzwerken die Rechner des anderen Netzwerkes anpingen, ebenso die Boxen. Der Zugriff auf das Webinterface der jeweils anderen Box klappt, ebenso Telnet über den Tunnel.

ABER: Ich sehe nicht die Rechner (die ich erfolgreich anpingen kann) in der
jeweiligen Netzwerkumgebung. Das sollte doch aber so sein nicht? Na jeder Box hängen XP Rechner. Alle Rechner befinden sich in der Arbeitsgruppe Workgroup (auf beiden Boxen)

Und wenn mir jemand schon was dazu sagen kann, vielleicht auch dazu warum ich VPN nur über TCP zum laufen bringe? mit UDP sagt zwar der client sequenze completet aber meldet rejecte Packete mit nem Fehler 148???

Also, ich wäre wirklich dankbar, wenn mir jemand dazu ein paar Hinweise geben könnte.

lG
M.

 

[voip-mrfive]

Hi du,

schon mal Firewall der XP rechner gecheckt ?

Hatte das auch mal, da waren in der internen Firewall die Drucker und Datenfreigabe nicht freigegeben. Und deshalb hat er nix gefunden.

Gruss

Christian

 

[kr1x]

sind die in unterschiedlichen subnets?
wenn ja brauchst du einen wins server

 

[mcmic]

Firewalls sind alle aus gewesen. Daran konnte es nicht liegen.
Nein, die sind nicht in unterschiedlichen Subnetzen.

Alle rechner befinden sich im Subnetz 255.255.255.0

Ping geht!! (Firewall blockiert somit nicht)

 

[gandalf94305]

Nein, die sind nicht in unterschiedlichen Subnetzen.

Alle rechner befinden sich im Subnetz 255.255.255.0

Das ist nun Nonsense, denn 255.255.255.0 ist die Netzmaske, nicht das Subnetz. Das Subnetz ist etwas in der Art wie 192.168.0.x oder 10.1.2.x, d.h. ein Teilnetz.

Wenn Du per ping in der Lage bist, die Rechner des jeweils anderen Netzwerks anzusprechen, sollte das Routing auf IP-Ebene jedoch korrekt funktionieren.

Die Netzwerkumgebung wird über Broadcasts festgestellt und diese gehen nun mal nicht automatisch durch einen VPN-Tunnel hindurch. Broadcasts sind auf das lokale Netz festgelegt (Subnetz) und müssen bei Bedarf von Routern explizit weitergereicht und im entfernten Netz wieder per Broadcast verteilt werden, wenn nicht ein Domain-Controller im Netz ist, der die Topologie kennt. Dies scheint jedoch nicht der Fall zu sein, wenn Du mit einer Workgroup arbeitest.

Prüfe also zunächst mal, ob durch Angabe der IP-Adresse ein Zugriff möglich ist. Hast Du also in einem Netz am VPN-Tunnel z.B. die IP-Adressen 192.168.10.x und im anderen 192.168.11.x, dann versuche doch mal von einem Rechner in 192.168.10.x den Zugriff auf einen Rechner im anderen Netz, z.B. mit \\192.168.11.20\D$ oder auf ein anderes Netzwerklaufwerk, das freigegeben ist.

Geht dies, so liegt Dein Problem am fehlenden Broadcast und kann nicht so einfach behoben werden. Du kannst jedoch die Shortcuts auf die Remote Rechner fix einrichten.

Geht dies nicht, so blockiert jemand auf dem Weg NetBIOS... wahrscheinlich die FBF.

Warum Dein VPN nur per TCP zustandekommt, liegt wohl an dem Netzwerk dazwischen... Leider hast Du darüber nichts angegeben.

--gandalf.

 

[mcmic]

Danke für die schnelle Antwort!!

Ja, in diesem Fall liegen die Netze in verschiedenen Subnetzen. Muß ja, wenn ich das richtig verstanden habe so sei bei VPN, damit keine doppelten IPs auftreten.

Auf freigegebene Resourcen des jeweils anderen Rechners kann ich nicht zugreifen. Lediglich ping geht.

Domainkontroller und so etwas gibt es nicht.der begriff "NETZWERK" ist auch leicht übetrieben. An meiner Box hängen 3 Rechner die ganz normal standartmäßig mit XP laufen und keine besonderen Netzwerkeinstellungen haben. An der anderen Box hängt lediglich 1 Rechner der ebenfalls nur eine StandartNetzwerkkonfiguration hat. Also nichts irgendwie tolles wie proxy o.ä.
Ich frage mich nur wie die anderen das alle machen die hier VPN zwischen meherern Boxen betreiben?

Broadcast .... wie kann ich das über einen Tunnel betreiben? Ziel war es die beiden Netze über den Tunnel wie eines darzustellen....

Kannst Du mir evtl einen Tipp geben in welche Richtung ich mich da umtun muß ?

 

[gandalf94305]

Wenn Du das freigegebene Laufwerk nicht erreichen kannst, ping jedoch funktioniert, dann klingt das für mich, als würden z.B. die FBF UDP oder zumindest die NetBIOS-Ports blockieren. Es gibt in ar7.cfg auch Regeln dafür... da ich jedoch über VPN keine Windows-Services nutze, kann ich dazu nichts im Detail sagen...

--gandalf.

 

[maceis]

...
Broadcast .... wie kann ich das über einen Tunnel betreiben? Ziel war es die beiden Netze über den Tunnel wie eines darzustellen....
...

Das geht, wenn man anstelle von "dev tun", "dev tap" verwendet.
Zumindest ist es so in der OpenVPN Dokumentation beschrieben.

 

[kr1x]

wie gesagt, brauchst nen wins server.
win 2003 server oder mit samba, müsste auch gehen

 

[Bongo]

Hallo,
ich bin absoluter Newbie aber sowas hatte ich auch mal.
Bei mir war es eine Lapalie!
Ich hatte bei den Rechnern bei XP-Antispy ein Häckchen bei
Rechner im Netzwerk nicht anzeigen gesetzt.

 

[Code7R]

Hallo Leute,

ich bin neu hier. ;-)

Ich nehme für mich mal in Anspruch mich ein bisschen mit OpenVPN auszukennen, da ich schon damit gearbeitet und auch die verschiedenen Betriebsmodi kenne.

Soweit ich das bisher verstanden habe: Der Unterschied zwischen TAP und TUN ist, das Verbindungen über TUN immer geroutet werden. D.h. der Zweck ist, zwei Subnetze miteinander zu verbinden, z.B. 192.168.10.0/24 und 192.168.20.0/24.

Ich fange auch gerade an mich dafür zu interessieren, 2 oder mehr FBs miteinander zu koppeln. Dazu finde ich aber den Ansatz, dass jede FritzBox ihr eigenes Subnet haben soll etwas unpraktisch, eben wegen den schon erwähnten Problemen mit Netzwerkumgebung etc.
Viel schöner wäre es doch, wenn ALLE Rechner, hinter jeder Fritzbox, im gleichen IP-Adressbereich -sprich Subnet - wären. Dazu müsste man natürlich dafür Sorge tragen, dass es keine IP-Konflikte gibt. Z.B. könnte man den von den jeweiligen FritzBoxen über DHCP vergebenen IP-Adressbereich (z.B. 192.168.178.10 - 20) anpassen, sodass es keine Überschneidungen gibt.

Ich habe schon Netzwerke über OpenVPN in einem Subnetz zusammengeschaltet. Nur nicht auf Fritzboxen sondern auf Debian-Servern. Aber OpenVPN ist OpenVPN. Theoretisch müsste es also gehn.

Aus meinen Erfahrungen unter Debian kann ich folgendes schließen: Man müsste TAP anstatt TUN verwenden. Denn TAP ist dafür gedacht, Netzwerke zu bridgen - also transparent zusammenzuschließen.
Außerdem müsste man dann noch das entstandene TAP-Device mit den anderen Netzwerkports an der FritzBox bridgen. Unter Debian geschieht dies mit den sogenannten Bridge-Utils.
Und damit wären wir bei meinen Problemen:

Ich weiß nicht:
- ob es die Bridge-Utils für die FritzBox gibt
- ob man TAP-Geräte verwenden kann

Allerdings stimmt mich etwas zuversichtlich: Man kann ja bei den Netzwerkeinstellungen der Fritzbox sagen, dass jeder LAN-Port für sich arbeiten soll, d.h. der Rechner an LAN1 kann nicht mit dem Rechner an LAN2 usw. Ergo muss es prinzipiell eine Möglichkeit geben, Interfaces zusammenzuschalten, da dies ja der Normalzustand ist. Im Neuzustand wären dann also alle LAN-Ports und der WLAN-Port gebridged. Wenn man nun das TAP-Interface zur Bridge hinzufügen könnte, und anschließend den richtig konfigurierten OpenVPN Prozess startet, müsste es funzen...

Ich hoffe ich habe euch jetzt nicht zu sehr zugetextet. Das war jetzt mehr Brainstorming als alles andere. ;-)

Ich werde bald mal in der FritzBox rumstöbern. Vielleicht kann ich dann schon mehr sagen.

Irgendwelche Kommentare?

Danke,

Code7R

 

[TWELVE]

Wenn die PCs nicht in der Netzwerkumgebung erscheinen, könnte das ein Hinweis darauf sein, das Du keine Brücke gebaut hast.Alles was über IP läuft, scheint bei Dir zu funktionieren.Das MS Netzwerk verwendet NetBios Broadcasts, um die PCs zu announcen.Dies ist einen Layer tiefer als IP (Ethernet / Layer-2) und wird nur von einer Brücke transportiert.
Das der Zugriff auf die Freigabe selber keine Probleme bereitet, liegt daran, das hier seit längerem Netbios over TCP/IP bzw. CIFS verwendet wird ( werden kann).Alles diese Protokolle arbeiten also ohne Probleme über TCP/IP und können deshalb geroutet werden, während Ethernet Broadcasts nicht über die Broadcast Domain ( i.a. = alles was am gleichen Switch hängt) hinauskommen.Eine Brücke stellt man sich am besten als Ethernet-Switch vor.

Gleiches würde zutreffen für andere Protokolle, die ebenfalls auf Ethernet aufsetzen ( z.B. XiMeta LPX-Protokoll).Mit einem Netzwerk Sniffer wie Ethereal läßt sich sehr schnell herausfinden, was wirklich los ist.


Grüße

TWELVE