Fragen zu VPN

Guten Tag,

als Neuling möchte ich mich erst einmal für dieses super Forum bedanken. Ich benutze Thunderbird seit Jahren und habe hier bisher mit der Suche für jedes Problemchen eine Lösung finden können. Ich möchte mich vor allem auch für die tollen Hinweise jenseits des Thunderbird bedanken.

Mein besonderer Dank gilt deshalb an dieser Stelle SusiTux, Peter Lehmann, muzel und edvoldi dafür, dass ihr über den Rand
hinausschaut und euer Wissen weiter gebt. In anderen Foren wird man ja schon weggebissen, wenn man nur das Wort privat oder vpn erwähnt.
Von euch habe ich viel gelernt und für mich übernommen. Dank des Tipps von Susi mit der virtuellen Maschine, die man nach Gebrauch einfach resetten kann, benutze ich sogar meine alte xp-Lizenz weiter. Geil!

So, genug geschleimt. Ich wäre ja nicht hier, wenn ich nicht ein paar Fragen hätte, auf die ich bisher keine Antwort gefunden habe. Ich bin ein großer Freund des Privaten möchte mit meinen Kalendern von G* loskommen. Darum habe ich mir vor kurzem einen Raspberry gegönnt. Mit dem Linux komme ich ganz gut klar. Ich bin kein Profi aber ich benutze es schon eine ganze Weile. Mir fehlt leider etwas Wissen im Bereich Netzwerk, VPN und Zertifikate.
Ich habe also gemäß eurer Tipps den Radicale installiert und dort meine Kalender eingerichtet. Das klappt soweit alles. Die Kontakte funzen auch, mit dem Sogo. Der nächste Schritt wäre jetzt, die Kalender für mein Android Phone erreichbar zu machen. Da stecke ich wissensmäßig jetzt fest.

Ich habe eine Fritzbox. Deshalb habe ich gedacht, am einfachsten auch deren Fernzugang für die Dyn-IP und die Fritz-App für VPN auf dem Phone zu nutzen. Spricht aus eurer Sicht etwas dagegen? Wisst ihr, ob dieser Fernzugang einen Heartbeat hält? In den Anleitungen zu FritzVPN habe ich nichts zum Thema Schlüssel gelesen. Heißt das, die Schlüssel werden von dem Konfigurationsprogramm erzeugt?

So, jetzt wird es richtig Off-Topic. Das wäre vielleicht auch was für ein Netzwerkforum. Ihr könnt mir aber sicher sagen, ob meine Idee so funktionieren kann oder ob das totaler Blödsinn ist. Ich möchte es gleich richtig machen, weil in Zukunft vielleicht Geräte zur Hausautomatisierung hinzukommen werden.
Folgendes, VPN erlaubt ja den Zugriff in das gesamte Netzwerk. Ich bin mir nicht sicher ob ich das möchte. Außerdem könnten die 254 Adressen knapp werden. Könnte ich den Raspberry nicht in ein anderes Subnet legen? Also etwa so

Subnet 1, LAN/WLAN mit allen Rechnern
|
Router - Fritzbox - Internet
|
Subnet 2, Raspberry + weitere Geräte

Über VPN soll das nur das Subnet 2 erreichbar sein. Die Rechner im LAN nicht. In welchem Subnet müsste dann die Fritzbox sein? Geht das überhaupt?

Sorry, ich bin eigentlich nicht blöd, was Computer angeht. In dieser Ecke kenne ich mich aber echt noch zu wenig aus.

Vielen Dank!

Guten Morgen Peter,

vielen Dank für die rasche Antwort. Darf ich trotzdem noch mal nachfragen? Ich erzähle am besten mal, was ich schon am Laufen haben und wo ich hinwill. Also, Caldav auf dem Raspberry funktionert. Auf dem Smartphone habe ich, auch nach einem Tipp aus diesem Forum, Testversionen von CalendarSync und ContactSync laufen. Funktioniert im WLAN bestens.
Jetzt geht es um das VPN. Ich habe mir deine Konfigdatei angeschaut. Daraus ergeben sich ein paar Fragen.

Sehe ich das richtig? Über den Parameter accesslist lässt sich festlegen, auf welche Geräte per VPN zugegriffen werden kann. Das wäre schonmal nicht schlecht. Nur werden mir wohl bald die IP-Adressen nicht mehr reichen. Dazu später.

Die Sache mit den Schlüsseln/Zertifikaten ist mir nicht klar. Wie werden sie denn erzeugt und wo liegen die dann? Habe ich das selbst alles unter Kontrolle?

Ich entnehme deiner Antwort, dass für die DynDNS-IP der Fritzfernzugang ok ist. Was ich dazu nicht weiß ist, wie sich das verhält, wenn die Verbindung unterbrochen wird. Nehmen wir mal an, ich fahre meine Fritzbox runter oder sie fällt aus irgendeinem Grund mal aus. Dann bleibt meine IP ja zuächst noch bei dem DynDNS hinterlegt. Um Missbrauch zu vermeiden, hätte ich gern einen DynDNS-Anbieter, der die Verbindung per Heartbeat kontrolliert und meine IP zurücksetzt, wenn die Verbindung unterbrochen wurde. Weißt du, ob das bei AVM der Fall ist?

Nun zu meinem nächsten Spleen. Der ist komplett Off-Topic, spielt aber für das Aufsetzen des VPN vielleicht jetzt schon eine Rolle. Ich möchte im Haus ein paar Sensoren für Temperatur, Licht usw. installieren. Die kann ich über das Smartphone abfragen. Vielleicht baue ich auch noch ein paar Aktuatoren dazu, damit ich von unterwegs die Heizung aufdrehen kann, die Fenster schließen usw. .
Damit könnte es passieren, dass mir irgendwann die Adressen ausgehen und ich die Subnetmask anpassen und/oder mehrere Subnetze einrichten muss. Ich dachte, da würde es sich anbieten, gleich jetzt im Zuge des VPN-Einrichtens zwei Subnetze anzulegen. Eines für die Rechner im Haus, eines für die Sensoren/Aktuatoren und den Raspberry. Mir ist aber nicht klar, in welches Subnet dann die Fritzbox muss, damit beide Netze über sie ins Internet kommen.

Vielen Dank.

Hallo Peter,

nochmals vielen Dank, dass du dir die Zeit für so ein Off-Topic-Anliegen nimmst. Ich will mal mit der Beantwortung deiner Frage beginnen.

Zitat von Peter_Lehmann

Warum dir in deinem eigenen Netzwerk die IP "bald nicht mehr reichen" sollen, ist mir unklar. ~250 Geräte im eigenen Netz?

Das dachte ich zunächst auch. Wir haben in der Familie derzeit privat und beruflich insgesamt an PCs, Smartphones, Tablets, Amazon-Stick, PSP usw. ca. 20 Geräte im Netz. Da ist noch viel Luft nach oben.
Wenn ich aber die Anzahl der Lampen, Thermostate, Fenster usw. zähle und dann berücksichtige, dass ich ggf. jeweils zwei Adressen pro Gerät benötige (Sensor/Aktuator), dann werden die 254 schnell knapp. Deshalb überlege ich, die Subnet Mask von /24 auf /23 zu setzen. Dann hätte ich 510 mögliche Adressen. Auch wenn ich die jetzt noch gar nicht benötige. In kleineren Schritten kann ich den Adressbereich ja nicht erweitern.

Zitat von Peter_Lehmann

Ja, dann kannst du aber nicht mehr von deinen PCs auf deine sonstigen Geräte zugreifen.

Darum würde ich einen Router (ohne Modem) zwischen die Netze schalten. Vielleicht geht es aber viel einfacher über die Accesslist. Das habe ich noch nicht ganz verstanden. Ich mache es mal an einem Beispiel fest.
Standardmäßig steht die Fritzbox auf

192.168.178.x, Subnet Mask 255.255.255.0 -> 254 mögliche Adressen von 192.168.178.1 bis 192.168.178.254

Angenommen, ich benutze in meinem Netzwerk nur ein Subnet und setze die Subnet Mask auf 255.255.254.0 (also /23). Dann hätte ich die 510 IP-Adressen im Bereich von 192.168.178.1 bis 192.168.179.254.
Kann ich jetzt unter accesslist die gewohnte Subnet Mask von 255.255.255.0 setzen und damit erreichen, dass von außen nur auf die Adressen von 192.168.179.1 bis 192.168.179.254 zugegriffen werden kann? Das wäre ne coole Sache.

Zitat von Peter_Lehmann

Sobald deine Fritte eine neue "offizielle" IP bekommt, meldet diese das an den DDNS-Server von AVM.

Ja, das ist mir soweit bekannt. Meine Frage nach dem Heartbeat bezog sich auf die Zeit, bis sich die "Fritte" wieder anmeldet. Das kann z.B. bei einem Stromausfall oder Defekt ja durchaus mal ein paar Studen dauern. In dieser Zeit zeigt die IP bei AVM noch immer auf meine alte IP. Die hat aber in der Zwischenzeit vielleicht schon jemand anderes bekommen. Falls AVM die Verbindung per Heartbeat überprüft, würden sie die gespeicherte alte IP sofort löschen können.

Zitat von Peter_Lehmann

Bei der Konfiguration per GUI wird ein PSK erzeugt.

Danke, wieder was gelernt. Ich dachte bisher, VPN würde in der Art von Perfect Forward Secrecy funktionieren.

Hallo Peter,

danke, dass du geduldig dran bleibst. Vielleicht habe ich dich immer noch nicht richtig verstanden und habe das berühmte Brett vor dem Kopf.

Zitat von Peter_Lehmann

Bei einer Neueinwahl bekommst du in der Regel (fast immer) sofort eine neue IP.

Das ist mir soweit klar. Mir geht es um die Zeit zwischen Abbruch der Verbindung, meinetwegen durch Stromausfall, und der Neueinwahl. Vielleicht macht es Wikipedia verständlicher.

Zitat

Wird ein Rechner heruntergefahren oder vom Netz getrennt, so bleibt seine IP-Adresse dem Domainnamen zugeordnet. Falls die IP-Adresse offline ist, führen Verbindungsversuche erst mit mehreren Sekunden Verzögerung zu einem Timeout-Fehler. Wurde die IP-Adresse zwischenzeitlich einem anderen ISP-Kunden zugeordnet, so könnte dieser versuchen die Identität des vorherigen DDNS-Nutzers zu missbrauchen. Als Lösungsansatz kann ein Client bei einigen DDNS-Anbietern den Domainnamen beim Herunterfahren vorübergehend löschen. Ein anderer Ansatz ist die Verwendung von Heartbeats, um zu erkennen, sobald ein Rechner offline ist und dann den Domainnamen automatisch zu entfernen.

Deshalb meine Frage, ob du weißt ob AVM oder ein anderer Provider den Heartbeat unterstützt. Kriegsentscheidend ist dieser Heartbeat jetzt nicht. Wenn es ein Provider anbietet, würde ich aber den nehmen.

Zitat von Peter_Lehmann

Du kannst den Adressbereich der Box doch frei wählen.

Die 192.168.178.0 /24 hatte ich nur als Beispiel genannt. Die Anzahl der möglichen Host kann ich doch nur über die Subnet Mask steuern. (?)
255.255.255.0 -> 254 Hosts
255.255.254.0 -> 510 Hosts

Mein Ziel ist es, nur einen bestimmten Bereich über VPN erreichbar zu machen. Ich glaube verstanden zu haben, dass ich über die Accesslist eine Liste an Adressen vorgeben kann. Ist das richtig?
Meine zweite Frage wäre, ob ich, wenn ich in der Accesslist die Subnet Mask auf 255.255.255.0 setze, in der Fritzbox aber auf 255.255.254.0, damit die Anzahl der Hosts, die über VPN erreichbatr sind, auf 254 beschränken kann, ohne dass ich jede einzelne IP aufführen müsste.

Hallo Bagalut,

auch wenn Du sehr freundlich geschrieben hast, Anfragen über eine Konversation sind nicht im Sinne eines Forums. Es ist auch den anderen Helfern gegenüber nicht sehr nett.
Außerdem weißt Du ja nie, wann derjenige, den Du angeschrieben hast, die Nachricht liest. Ich habe im Moment sehr wenig Zeit für das Forum. Das wird wohl auch in den nächsten Wochen noch so sein. Es war mehr oder weniger Zufall, dass ich Deine PN gelesen habe. Also, bleib besser hier im Faden.

Zu Deinen Fragen:

• Ja, Du kannst mehrere Subnetze einrichten und den Zugriff auf das Internet über eine Fritzbox fahren. Dazu benötigst Du, wie Du schon geschrieben hast, einen zusätzlichen Router. Um die Fritzbox für beide Subnetze sichtbar zu machen, musst Du eine statische IP-Route einrichten, nicht zu verwechseln mit der statischen IP eines Gerätes. Dazu findest Du Anleitungen im Internet.
• Die Berechnung bzgl. der Anzahl der Hosts ist richtig. Oder sagen wir mal so: ich komme zu demselben Ergebnis:
  192.168.178.0/23 ermöglicht Hostadressen von 192.168.178.1 bis 192.168.179.254. Abzüglich der Netzwerk- und Broadcastadressse bleiben 510 Adressen für Hosts.
  Ob das mit der Subnetzmaske in der Accesslist des VPNs funktioniert, weiß ich nicht. Ich lasse keinen Zugriff von außen auf unsere Fritzbox zu. Zur Not kannst Du aber die Hosts einzeln eingeben. Das erspart Dir auf jeden Fall den zweiten Router und das Aufsetzen der Subnetze.
  

  Obacht: Soweit ich mich erinnere gab es bei den Fritzboxen in der Vergangenheit einen bug bzgl. Subnetzmasken. Ich meine aber, der ist längst gefixt und betraf eh nur Subnetzmasken, die nicht auf Null enden. Die 255.255.254.0 sollte also funktionieren.

• Ob AVM den Heartbeat unterstützt, weiß ich nicht. Das wirst Du wohl direkt bei AVM erfahren können. In diesem Fall lohnt sich eine Konversation.
• Mein Rat: Verzichte auf Subnetze. Erweitere stattdessen den Adressbereich für die Hosts, indem Du den Netzwerkanteil auf /23 reduzierst. Auch wenn das schlimmstenfalls bedeutet, dass Du alle Hosts in die Accessliste eintragen musst.

Gruß

Susanne

Hallo Bagalut,

weil heute Sonntag ist. Gerade gefunden, zum Thema Statische IP-Route, falls Du doch zwei Subnetze einrichten möchtest:
http://avm.de/nc/service/fri…Box-einrichten/

Zitat von Peter_Lehmann

Also, wenn du deinen IP-Bereich auf 10.x.x.x änderst, dürftest du wohl genügend freie IPs haben.

Das ist ja genau das, was er alternativ zu den Subnetzen vorhat. Nur muss man das halt über die Subnetzmaske machen. Bei 255.255.255.0 ergeben sich in jedem Fall nur 256 - 2 = 254 Hosts.

Gruß

Susanne

Vielen Dank SusiTux,

ok, das mit der Konversation war keine gute Idee. Da hatte ich nicht ausreichend nachgedacht. Bitte nicht falsch verstehen. Ich muss sagen, für mich hat es sich trotzdem gelohnt.

Du hast mir sehr geholfen. Ich habe jetzt den Adressbereich für die Hosts über 255.255.254.0 erweitert, die PCs usw. konfiguriert und dem Raspberry eine IP aus dem neuen Bereich verpasst. Das hat alles funktioniert. Super!

Jetzt richte ich noch den Fritzfernzugang ein und werde die Accesslist für den Moment so anpassen, dass ich den Raspberry und testweise einen PC erreichen kann. Es sieht so aus als könnte ich dann bald mit meinem Projekt Heimautomatisierung loslegen. Das gesparte Geld für einen zusätzlichen Router kann ich gut in Sensoren investieren. Die Biester sind noch ziemlich teuer.

Nochmal zum VPN. Nachdem ich nun wusste, wonach ich suchen musste, um das VPN auf bestimmte Hosts zu begrenzen, habe ich folgende Anleitung gefunden
http://avm.de/service/vpn/pr…itzbox-lan-lan/

Dort geht es um eine LAN-LAN Kopplung. In diesem speziellen Fall spielt das aber keine Rolle. Mir ging es ja nur um diese Zugangsliste. Vielleicht ist anderen damit auch geholfen.
Den Heartbeat lasse ich jetzt mal Heartbeat sein. Dazu muss ich mich noch bei den Anbietern erkunden. Das ist jetzt nicht ganz so wichtig. Der Anbieter ist ja schnell gewechselt.

Ich bin echt begeistert, wie das jetzt funzt.

Einen lieben Dank auch nochmal an Peter für den Hinweis auf die Acceslist in der Konfigdatei.

Zitat von Bagalut

Bitte nicht falsch verstehen. Ich muss sagen, für mich hat es sich trotzdem gelohnt.

So, so, dann muss ich wohl schau, wo der Button zum Blacklisten ist.

Spaß beiseite, will Dir sagen, weshalb ich trotzdem geantwortet habe. Auch wenn ich selbst nicht auf die Idee käme, unser Heim dem Internet preiszugeben, technisch finde ich Dein Projekt schon sehr reizvoll. Außerdem helfe ich gern, wenn jemand versucht, seine Daten der Auswertung durch ein Unternehmen zu entziehen.
Weshalb man dann aber die Daten die Sensorik möglicherweise anderen Unternehmen zur Verfügung stellt, kann ich nicht ganz nachvollziehen. Oder sagen die Hersteller zu, dass die Sensoren nichts ins Internet senden?

So, finale Erfolgsmeldung. VPN funktioniert über Fritz. Kalender, Kontakte, ..., alles da. Ich sehe wie gewünscht nur die beiden Geräte. Und ich habe jetzt genug IPs zur Verfügung. Große Klasse.

Zitat von SusiTux

So, so, dann muss ich wohl schau, wo der Button zum Blacklisten ist.

Ich schicke beim nächsten Mal einen Strauß Blumen mit. Eigentlich hättest du den jetzt schon verdient.

Hallo Bagalut,

jetzt habe ich eine Fage an Dich. Ich bin gestern mehr oder weniger zufällig in den Einstellungen meiner Fritzbox darauf gestoßen, dass die Box den Bereich

Adresse: 192.168.179.1
Subnet: 255.255.255.0

fest für das Gastnetz reserviert hat. Der Bereich lässt sich auch nicht verändern sondern ist fest vorgegeben. Das würde aber bedeuten, dass alle Adressen von 192.168.179.1 bis 192.168.179.255 für dieses Gastnetz reserviert sind. Das wiederum würde mit dem von Dir eingestellten Bereich 192.168.178.0 /23 kollidieren.

Mit dieser Erkenntnis würde ich meine Empfehlung von oben:

Zitat von SusiTux

Verzichte auf Subnetze. Erweitere stattdessen den Adressbereich für die Hosts, indem Du den Netzwerkanteil auf /23 reduzierst.

so nicht mehr aufrecht erhalten.

Bei Dir funktioniert das aber? Hast Du den Gastzugang aktiviert? Falls nicht, könntest Du es testweise einmal ausprobieren? (keine Garantie meinerseits, dass Dir dabei nicht alles um Ohren fliegt.)
Hast Du inzwischen weitere Sensoren im Netz? Mich würde interessieren, wie die Fritzbox damit von der Leistung her klarkommt. Auch wenn der Adressbereich es hergibt, lässt sie überhaupt mehr als 254 Geräte gleichzeitig zu? Ich kenne niemanden, der so viele Geräte an einer Box hat.

Gruß

Susanne

Du hast mir sehr geholfen. Ich habe jetzt den Adressbereich für die
Hosts über 255.255.254.0 erweitert, die PCs usw. konfiguriert und dem
Raspberry eine IP aus dem neuen Bereich verpasst. Das hat alles
funktioniert. Super!

Hallo Susi,

meine Lösung hielt nur wenige Tage. Dann schlug in der Nachbarschaft ein Blitz ein. Meine Fritzbox und eine paar andere Geräte starben den Überspannungstod.
Bis der ganze Kram mit der Versicherung geklärt ist, hat mir mein Arbeitgeber einen CISCO Small Business RV 220W Router zur Verfügung gestellt. Der ist ein wenig komplizierter als eine Fritzbox und nicht so einfach einzurichten. Dafür kann er aber einiges mehr, z.B. VLANs usw. . Das bringt mich auf ganz neue Ideen. Muss mich aber erstmal einlesen.

An der Fritzbox hatte soweit alles funktioniert. Sehr ausgiebig habe ich aber nicht getestet. Ich habe ja all die Sensorik noch nicht. Das Gast-LAN war deaktiviert. Vielleicht hat mich das vor der Adresskollision bewahrt?

Grüße vom Bagalut

Zitat von Bagalut

Vielleicht hat mich das vor der Adresskollision bewahrt?

Wer weiß. Genau dies hatte ich gehofft, mit Deiner Hilfe herauszufinden. Aber mei, wos hii is ... .