Zugriff auf unterschiedliche Netzwerke

[pfälzer]

Hallo zusammen,

ich habe hier noch ein kleines Problem.
Und zwar sieht es bei mir folgendermaßen aus.
Ich habe einen Linksys Router der die Internetverbindung herstellt. An dem Router ist ein Server verbunden sowie eine eine Fritzbox 7390.

Linksys Router hat die IP - 192.168.1.1 (DHCP Server)

Server Netzwerkkarte 1 hat die IP - 192.168.1.4
Server Netzwerkkarte 2 hat die IP - 10.10.32.0 (DHCP Server)

Fritzbox LAN 1 - 192.168.1.3 mit Hilfe der Einstellung:
(Externes Modem oder Router -Wählen Sie diesen Zugang, wenn die FRITZ!Box über "LAN 1" an ein bereits vorhandenes externes Modem oder einen Router angeschlossen ist.)

Sonstiges Netzwerk läuft auf IP - 192.168.178.0 (DHCP Server mal ein NAS)

So, soweit funktioniert auch alles.
Ich kann vom Bereich 192.168.178.0 auf den Bereich 10.10.32.0 zugreifen.
Jedoch vom Bereich 10.10.32.0 auf den Bereich 192.168.178.0 funktioniert der zugriff nicht.
Ich habe div. Routen im Linksysrouter hinterlegt.
Der Ping wir mit folgender Meldung abgebrochen:
Die Gültigkeitsdauer wurde bei der Übertragung überschritten

Ich vermute mal, dass die Fritzbox da noch irgendetwas blockt. Gibt es eine Einstellung, die erstmal alles durchlässt um zu testen, ob es an der Box liegt?
Kann ich irgendwo testen, wo es hängen bleibt?
Es gibt doch einen Befehl, mit dem die unterschiedlichen Stationen angezeigt wird, wie find ich den nochmal gleich?!

Schonmal vielen Dank
Gruß

EDIT:
Na beim schreiben ist mir dann das mit den unterschiedlichen Stationen eingefallen. Das ist der Befehl:

tracert

Da ist ersichtlich, dass es wohl am Linksys Router hängt. Muss mir dann nochmal die Routen genau anschauen...

 

[fishmac]

Wie sieht das traceroute mit

route add -p 192.168.178.0 mask 255.255.255.0 192.168.1.1

aus ?


Edit: Host Route zum Interface des Linksys in das 192.168.1/24

 

[Mampf]

Netzwerk_neu sieht doch gut aus. So hatte ich das auch gedacht.
Ich würde an dem aktuellen Problem nicht weiter arbeiten sonder nächste Woche das umsestzen.

Falls das aktuelle Problem noch gelöst werden soll:
Im Server steht wenn ich das richtig gesehen habe eine statische Route 0.0.0.0 0.0.0.0 192.168.1.1 heißt der Server leitet alles aus 10.10.32.0 weiter auf den Linksysrouter.
In dem Router steht die Route 192.168.178.0 255.255.255.0 192.168.1.4 -> Der schickt die Pakete also zurück zum Server.
Hier müsste der Router nach 192.168.178.3 weiter schicken. Hier bleiben die Pakete aber am NAT/Firewall hängen...

 

[fishmac]

In dem Router steht die Route 192.168.178.0 255.255.255.0 192.168.1.4 -> Der schickt die Pakete also zurück zum Server.
Hier müsste der Router nach 192.168.178.3 weiter schicken.

Stimmt...

 

[pfälzer]

Ihr meint wahrscheinlich die IP192.168.1.3.
Diese hatte ich auch schon Probiert. Allerdings auch hier ohne Erfolg.

###############################################

Soooooooo, da es heute morgen ziemlich ruhig war habe ich den kleinen Umbau schon jetzt erledigt.
Nun ist es wie auf dem Bild "Netzwerk_neu" (Anbei nochmals).

Routingtabelle vom Server (IP10.10.32.1) habe ich aufgeräumt und sieht nun so aus:

C:\Users\Administrator>route print
===========================================================================
Schnittstellenliste
12 ...34 40 b5 92 82 15 ...... Broadcom BCM5716C NetXtreme II GigE (NDIS VBD Cl
ient) #35
1 ........................... Software Loopback Interface 1
14 ...00 00 00 00 00 00 00 e0 isatap.{95BDD3B1-648C-4C93-A791-9EFAFAC8B776}
13 ...02 00 54 55 4e 01 ...... Teredo Tunneling Pseudo-Interface
===========================================================================

IPv4-Routentabelle
===========================================================================
Aktive Routen:
Netzwerkziel Netzwerkmaske Gateway Schnittstelle Metrik
0.0.0.0 0.0.0.0 10.10.32.254 10.10.32.1 266
10.10.32.0 255.255.255.0 Auf Verbindung 10.10.32.1 266
10.10.32.1 255.255.255.255 Auf Verbindung 10.10.32.1 266
10.10.32.255 255.255.255.255 Auf Verbindung 10.10.32.1 266
127.0.0.0 255.0.0.0 Auf Verbindung 127.0.0.1 306
127.0.0.1 255.255.255.255 Auf Verbindung 127.0.0.1 306
127.255.255.255 255.255.255.255 Auf Verbindung 127.0.0.1 306
224.0.0.0 240.0.0.0 Auf Verbindung 127.0.0.1 306
224.0.0.0 240.0.0.0 Auf Verbindung 10.10.32.1 266
255.255.255.255 255.255.255.255 Auf Verbindung 127.0.0.1 306
255.255.255.255 255.255.255.255 Auf Verbindung 10.10.32.1 266
===========================================================================
Ständige Routen:
Netzwerkadresse Netzmaske Gatewayadresse Metrik
0.0.0.0 0.0.0.0 10.10.32.254 Standard
===========================================================================

IPv6-Routentabelle
===========================================================================
Aktive Routen:
If Metrik Netzwerkziel Gateway
1 306 ::1/128 Auf Verbindung
12 266 fe80::/64 Auf Verbindung
12 266 fe80::711e:c9e7:9b83:258f/128
Auf Verbindung
1 306 ff00::/8 Auf Verbindung
12 266 ff00::/8 Auf Verbindung
===========================================================================
Ständige Routen:
Keine

Routingtabelle vom Router (IP10.10.32.254) habe ich ebenfalls aufgeräumt und sieht nun so aus:

IP-Adresse des Ziel-LANs	Subnetzmaske	Gateway	Schnittstelle

[TD="class: sub, align: center"]--.---.---.--
[/TD]
[TD="class: sub, align: center"]255.255.255.255[/TD]
[TD="class: sub, align: center"]0.0.0.0[/TD]
[TD="class: sub, align: center"]WAN[/TD]

[TD="class: sub, align: center"]239.255.255.250[/TD]
[TD="class: sub, align: center"]255.255.255.255[/TD]
[TD="class: sub, align: center"]0.0.0.0[/TD]
[TD="class: sub, align: center"]LAN[/TD]

[TD="class: sub, align: center"]10.10.32.0[/TD]
[TD="class: sub, align: center"]255.255.255.0[/TD]
[TD="class: sub, align: center"]0.0.0.0[/TD]
[TD="class: sub, align: center"]LAN[/TD]

[TD="class: sub, align: center"]239.0.0.0[/TD]
[TD="class: sub, align: center"]255.0.0.0[/TD]
[TD="class: sub, align: center"]0.0.0.0[/TD]
[TD="class: sub, align: center"]LAN[/TD]

[TD="class: sub, align: center"]0.0.0.0[/TD]
[TD="class: sub, align: center"]0.0.0.0[/TD]
[TD="class: sub, align: center"]--.---.---.--
[/TD]
[TD="class: sub, align: center"]WAN[/TD]

 

[fishmac]

Der Linksys muss Pakete aus dem Firmennetz zu Deiner Fritzbox schieben können. Die entsprechende Route dafür fehlt noch. Siehe Message #23

Ergo sowas wie

route add -p 192.168.178.0 mask 255.255.255.0 10.10.32.253

beim Linksys eintragen.


Das Firmennetz hätte ich anders strukturiert.

- Äusserer Ring Firewall(s), Access Points, dahinter Proxy und Webserver, DNS 1
- dann Router für mittleren Ring mit lokalem useraccess (Desktops, Notebooks vor Ort)
- dann Router und dahinter alle Server (DB, ERP, DNS 2, etc)

im äusseren und inneren Ring nur Statische IPs.

 

[pfälzer]

Ich sage jetzt mal "Ja, genau". Das hatte ich auch schon eingetragen. Leider wird bei tracert 192.168.178.254 die Verbindung zu 10.10.32.254 (Linksys) aufgebaut aber dann kommt Zeitüberschreitung...

Die Routingtabelle des Linksysrouter sieht nun wie folgt aus:

IP-Adresse des Ziel-LANs	Subnetzmaske	Gateway	Schnittstelle

[TD="class: sub, align: center"]--.---.---.--
[/TD]
[TD="class: sub, align: center"]255.255.255.255[/TD]
[TD="class: sub, align: center"]0.0.0.0[/TD]
[TD="class: sub, align: center"]WAN[/TD]

[TD="class: sub, align: center"]239.255.255.250[/TD]
[TD="class: sub, align: center"]255.255.255.255[/TD]
[TD="class: sub, align: center"]0.0.0.0[/TD]
[TD="class: sub, align: center"]LAN[/TD]

[TD="class: sub, align: center"]192.168.178.0[/TD]
[TD="class: sub, align: center"]255.255.255.0[/TD]
[TD="class: sub, align: center"]10.10.32.253[/TD]
[TD="class: sub, align: center"]LAN[/TD]

[TD="class: sub, align: center"]10.10.32.0[/TD]
[TD="class: sub, align: center"]255.255.255.0[/TD]
[TD="class: sub, align: center"]0.0.0.0[/TD]
[TD="class: sub, align: center"]LAN[/TD]

[TD="class: sub, align: center"]239.0.0.0[/TD]
[TD="class: sub, align: center"]255.0.0.0[/TD]
[TD="class: sub, align: center"]0.0.0.0[/TD]
[TD="class: sub, align: center"]LAN[/TD]

[TD="class: sub, align: center"]0.0.0.0[/TD]
[TD="class: sub, align: center"]0.0.0.0[/TD]
[TD="class: sub, align: center"]--.---.---.--
[/TD]
[TD="class: sub, align: center"]WAN[/TD]

Ich vermute nun, dass die Fritzbox (192.168.178.254) das ganze nun noch irgendwie blockt. Jedoch bin ich bei der Fritzbox ziemlich mit den Einstellungen eingeschrängt. So empfinde ich das zumindest mal.

 

[Mampf]

Die Route braucht man nur dann wenn man vom Firmennetz ins Privatnetz will.
Vom Privatnetz ins Firmennetz müsste alles laufen.

Wenn man diese Wege aber beide! offen haben will kann man auch gleich ein Netz drauß machen, oder?

 

[fishmac]

Die Route braucht man nur dann wenn man vom Firmennetz ins Privatnetz will.
Vom Privatnetz ins Firmennetz müsste alles laufen.

Wenn man diese Wege aber beide! offen haben will kann man auch gleich ein Netz drauß machen, oder?

Ich kann vom Bereich 192.168.178.0 auf den Bereich 10.10.32.0 zugreifen.
Jedoch vom Bereich 10.10.32.0 auf den Bereich 192.168.178.0 funktioniert der zugriff nicht.

Hatte der TS nicht deswegen den Thread aufgemacht ?

 

[Mampf]

Eigentlich schon. Für mich persönlich wäre es angenehm wenn die Kollegen aus der Firma nicht in mein privates Netz kommen.
Andersrum kann er aber aus seinem privaten Netz ins Firmennetz, falls man dann doch mal schnell was von zu Hause machen will.

Falls es doch gewünscht ist aus dem Firmennetz ins private zu kommen würde ich daraus auch 1 Netz machen.
Wäre am einfachsten, falls nichts dagegen spricht...

 

[pfälzer]

Das ist richtig, vom Privatnetz komme ich ins Firmennetz.

Kurz gesagt, so wie es aktuell ist, ist es schon gut. Aber ich teste immer gerne Sachen aus und dachte anfangs das es eigentlich nur an einer "Kleinigkeit" hängen könnte. Es muss nicht umbedingt funktionieren. Ich denke auch, dass die Fritzbox das ganze einfach blockt und ich den Schalter entweder noch nicht gefunden habe oder die Box das einfach nicht hergibt.
Sonstige Einstellungen müssten ja alle passen.

Mir ist gerade noch eine andere Variante eingefallen. Ich habe noch zwei Linksys Accesspoint rum liegen mit erweiterter Software. Ich teste das einfach mal heute Abend mit so einem Teil. Bei denen kann ich wenigstens alles Einstellen was vorstellbar ist.
EDIT: Und ersetze testweiße damit die Fritzbox

Ein gemeinsames Netz daraus machen möchte ich auf jedenfall nicht. Ich habe Privat einen WDS-Server laufen und probiere sonst auch viel im Netzwerk herrum. Wenn ich da alles schrotte macht das nichts. Im produktiven Bereich wär das allerdings sehr unschön .

 

[martina]

Um vom Firmennetz ins Privatnetz zu kommen musst Du die entsprechenden Wege durchs NAT hindurch explizit konfigurieren.

 

[pfälzer]

So, nach dem ich einige Einstellungen mit dem alternativen Wlanrouter getestet haben kann ich mit Sicherheit sagen, dass es an de Fritzbox liegt.
Ich habe jetzt nur die folgende Funktion deaktiviert:

WAN-Zugriffe blockieren
Anonyme WAN-Zugriffsversuche blockieren


... und schon komme ich vom Server auf die Web-Oberfläche des Testrouters. Für mich heißt das, dass die Fritzbox die Anfragen blockiert. Kennt sich jemand mit der Fb dahingehen aus un dhab ein Tip, wie ich solch Sachen deaktivieren kann?

Nur wie weiterleitung in das restliche 192.168.178.0 Netz funktioniert noch nicht. Ich vermute, dass hier im Router noch eine Route gesetzt werden müsste.

 

[martina]

Ein kompletter Durchgriff auf mehrere Hosts hinter dem NAT geht nicht. Du kannst ein einzelnes System als "exposed host" freigeben, oder einzelne Services per Portfreigabe erreichbar konfigurieren.

 

[pfälzer]

gut aber ich komm aktuell nicht mal auf die FB vom Server aus. Dh. zwischen 10.10.32.253 und 192.168.178.254 herscht schonmal eine Sperre. Die beiden Ip´s sind in de FB selbst. Dieses Problem konnte ich bei dem anderen Router durch deaktiviern folgender Einstellung:
WAN-Zugriffe blockieren
Anonyme WAN-Zugriffsversuche blockieren

Über die IP 10.10.32.253 komme ich auf die FB

 

[martina]

Die "Sperre" ist NAT! Da gibt es per Definition kein Durchkommen!
Such mal nach Anleitungen, wie PCs hinter einer Fritzbox aus dem Internet erreichbar gemacht werden können, das ist technisch genau der gleiche Fall.

 

[fishmac]

Mich wundert, dass nichts zum Thema VPN kommt. Linksys und FB müssen doch über das Internet kommunizieren oder ?

 

[pfälzer]

Ach Gott ist das schon wieder lange her...
Jetzt habe ich mal wieder ein bisschen Zeit mich darum zu kümmern.
Zum Thema VPN. Das ist ein interessanter Ansatz. Also ich bin bisher davon ausgegangen, dass das die zwei Router unter sich aus machen und das ganze nicht über das Internet funktioniert .

Zum restlichen Thema. Das werde ich es jetzt auf jedenfall so lassen, dass ich von Privat ins Firmennetz komme aber vom Firmennetz nicht ins Private. Was mich nun noch wundert ist, dass ich ja auf das Firmennetz komme, kann RDP Verbindung zum Server aufbauen und Web-Oberflächen von Drucker sonstigen Geräten öffnen. Eine Verbindung zu einem Netzwerkordner funktioniert dagegen leider nicht. Irgendwo muss einer der Router das wohl noch blocken.


EDIT:
in der Fb war der NetBiosFilter aktiv. Bei deaktivierung dessen habe ich endlich Verbindung zu den Netzlaufwerken...