Port Weiterleitung in einem VPN Netzwerk

[Dirk67]

Hallo,
ich hoffe mal, es kann mir jemand helfen. Ich habe ein Problem mit dem Zugriff auf Zeiterfassungsterminals.
Folgendes Szenario:
2 Lancom 1711 Router, per VPN miteinander verbunden, VPN funktioniert auch einwandfrei. Anpingen, Datentransfer alles gut.
Subnetze: 192.168.80.xxx und 192.168.120.xx
Im Bereich 80.xxx steht der PC mit der Verwaltungssoftware, die Windows eigene Firewall deaktiviert.
Im Bereich 120.xxx steht das Zeiterfassungsterminal. Dessen IP ist vom 80.xxx Netz aus problemlos anzupingen.
Die Auslesesoftware benötigt Port 4370.

Auf dem Lancom im 80.xxx Netzwerk habe ich unter IPv4 Routing Tabelle einen Eintrag mit der IP des Z-Terminals und dem Router von 120.xxx als Gegenstelle eingerichtet und auf dem Router im 120.xxx eine Port Weiterleitung unter Maskierung/Port Forwarding eingerichtet auf die 80.90 des Z-Terminals.
Anfangs- und Endport je 4370, als IP die 192.168.120.90 des Zeitterminals und TCP+UDP als Protokoll.
Funktionierte nicht.
Danach auf dem Lancom Router im 120.xxx eine Firewall Regel IPv4 eingerichtet. Aktion auf "ACCEPT", bei Stationen zunächst Quelle "Alle Stationen in allen lokalen Netzen", später dann auch mal mit "Verbindung von allen Stationen" aus getestet. Als Verbindungsziel habe ich die IP des Z-Terminals eingeben, also die 192.168.120.90. Unter Dienste Protokoll habe ich nichts eingeschränkt, also alle Quell und Zieldienste aktiviert gelassen.
Auf beiden Routern ist die jeweilige VPN Gegenstelle in der Firewall eingerichtet, mit "Quelle: Intranet" ; "Alle Dienste", "Alle Ziele" und übertragen.
Also eigentlich doppelt freigegeben, alle "deny" Einstellungen habe ich auf beiden Routern einfach mal deaktiviert.

Trotzdem scheint der Port 4370 nach wie vor blockiert zu werden, zumindest ist keine Verbindung möglich, und ich weiß nicht wer oder was mich da noch immer blockiert.

Kann mir jemand weiterhelfen?
Danke
Grüße
Dirk

[PappaBaer]

Hallo Dirk,

etwas chaotisch das Ganze. Laß uns mal versuchen, das aufzudröseln. Ich gehe jetzt mal davon aus, dass Du die VPN-Verbindung auf beiden Seiten per Konfiguration-Assistenten erstellt hast. Falls nicht, bitte sagen.

1. Hast Du bei der Einrichtung des VPN-Tunnels angegeben, dass die Verbindung maskiert werden soll? Standardmäßig ist das nicht aktiv. Wenn Du die Maskierung nicht eingeschaltet hast, brauchst Du auch kein Portforwarding.

2. Nach dem Einrichten der VPN-Verbindung ist in der Routing-Tabelle auf jeder Seite automatisch eine Route zum Netz auf der anderen Seite mit der Gegenstelle VPN-Tunnel eingerichtet. Den Eintrag in der Routingtabelle mit der IP-Adresse des Zeitterminals nimmst Du also am besten wieder raus.

3. Wenn Du bei den Firewalls keine Deny-All Strategie eingerichtet hast, es also keine finale Deny-All Regel gibt, brauchst Du auch für den Traffic keine Regel erstellen, die irgendetwas erlaubt. Also nimm diese erstellten Regeln bitte auch raus.

4. Entferne zur Sicherheit bitte die Block-Route 192.168.0.0 0.0.0.0 aus der Routing-Tabelle.

So sollte auf jeden Fall Datenverkehr zwischen den Netzen über den Tunnel funktionieren. Und auch der Zugriff auf das Zeitterminal müsste gehen. Kannst Du es anpingen? Hat das Terminal ein Webinterface, welches Du aufrufen kannst?

Grüße,
Torsten

[Bernie137]

Hi,

2 Lancom 1711 Router, per VPN miteinander verbunden, VPN funktioniert auch einwandfrei. Anpingen, Datentransfer alles gut. ... Dessen IP ist vom 80.xxx Netz aus problemlos anzupingen.

Prima.

Auf dem Lancom im 80.xxx Netzwerk habe ich unter IPv4 Routing Tabelle einen Eintrag mit der IP des Z-Terminals und dem Router von 120.xxx als Gegenstelle eingerichtet und auf dem Router im 120.xxx eine Port Weiterleitung unter Maskierung/Port Forwarding eingerichtet auf die 80.90 des Z-Terminals.

Fürchterlich, wozu das? Wenn die Netze schon verbunden sind?

Wenn überhaupt benötigst Du eine Firewall Regel pro Lancom, sofern in den Lancom Firewalls eine Deny-All Strategie gefahren wird.
Quelle alles, Quellport beliebig, Ziel Netz 192.168.120.xxx, Zielport 4370

Gruß Bernie

Edit: Inzwischen war wer schneller mit der Antwort

[PappaBaer]

Noch eine ganz banale Idee:

Falls Du aus dem 192.168.80.0 Netz das Zeitterminal nicht anpingen kannst (am besten vom Server aus testen), dann prüfe mal bitte, ob im Terminal auch der lokale Lancom als Gateway eingetragen ist. Ein beliebter Fehler, wenn es darum geht, dass Peripheriegeräte über VPN-Strecken nicht erreichbar sind.

Grüße,
Torsten

[Bernie137]

Moin,

Falls Du aus dem 192.168.80.0 Netz das Zeitterminal nicht anpingen kannst...

Aber das kann er doch!

Im Bereich 120.xxx steht das Zeiterfassungsterminal. Dessen IP ist vom 80.xxx Netz aus problemlos anzupingen.

Gruß Bernie

[PappaBaer]

Okay, stimmt, das habe ich in dem etwas unstrukturierten Text überlesen.

[Dirk67]

Hallo Dirk,

etwas chaotisch das Ganze. Laß uns mal versuchen, das aufzudröseln. Ich gehe jetzt mal davon aus, dass Du die VPN-Verbindung auf beiden Seiten per Konfiguration-Assistenten erstellt hast. Falls nicht, bitte sagen.
ja, habe ich

1. Hast Du bei der Einrichtung des VPN-Tunnels angegeben, dass die Verbindung maskiert werden soll? Standardmäßig ist das nicht aktiv. Wenn Du die Maskierung nicht eingeschaltet hast, brauchst Du auch kein Portforwarding.
Maskierung ist aus

2. Nach dem Einrichten der VPN-Verbindung ist in der Routing-Tabelle auf jeder Seite automatisch eine Route zum Netz auf der anderen Seite mit der Gegenstelle VPN-Tunnel eingerichtet. Den Eintrag in der Routingtabelle mit der IP-Adresse des Zeitterminals nimmst Du also am besten wieder raus.
OK, habe ich

3. Wenn Du bei den Firewalls keine Deny-All Strategie eingerichtet hast, es also keine finale Deny-All Regel gibt, brauchst Du auch für den Traffic keine Regel erstellen, die irgendetwas erlaubt. Also nimm diese erstellten Regeln bitte auch raus.
OK, habe ich

4. Entferne zur Sicherheit bitte die Block-Route 192.168.0.0 0.0.0.0 aus der Routing-Tabelle.
OK, habe ich bzw. Rückfrage, du meinst 255.255.255.255 mit 0.0.0.0?

So sollte auf jeden Fall Datenverkehr zwischen den Netzen über den Tunnel funktionieren. Und auch der Zugriff auf das Zeitterminal müsste gehen. Kannst Du es anpingen? Hat das Terminal ein Webinterface, welches Du aufrufen kannst?
Datenverkehr geht, anpingen kann ich es auch, es hat leider kein Webinterface
Grüße,
Torsten[/color]

[PappaBaer]

Hallo Dirk,

okay, es gibt also auf beiden Lancoms zur Zeit in der Firewall keine Deny-Regel mehr, richtig? Dann wird seitens der Router auch kein Traffic für Port 4370 geblockt.
Wie ist die Konfiguration der Software auf dem Verwaltungs-PC im 192.168.80.0 Netz? Ist das Terminal dort direkt manuell mit seiner IP-Adresse eingetragen? Oder sucht die Software automatisch nach vorhandenen Terminals im Netz? Wenn letzteres dürfte das über Broadcasts geschehen, die aber nicht geroutet werden und somit auf der anderen Seite des Tunnels im 192.168.120.0 Netz nicht ankommen.
Gibt es im 192.168.80.0 Netz auch noch ein Terminal? Funktioniert dieses?

Grüße,
Torsten

[Dirk67]

Hallo,
ja, im 80er Netz ist auch ein Terminal. IP und Ports werden direkt in der Abfragesoftware eingetragen. Da beide auf 4370 standardgemäß eingestellt sind habe ich das im 80er Netz sofort auf 4380 geändert. Funktioniert auch mit 4380 einwandfrei.

[Dirk67]

Hallo Torsten,
Wenn ich in der Software die Abfrage starte öffnet er erst mit deutlicher Verzögerung den Port 4380, zumindest zeigt mir netstat das erst spät an.
Gruß
Dirk

[PappaBaer]

Hi,

Da beide auf 4370 standardgemäß eingestellt sind habe ich das im 80er Netz sofort auf 4380 geändert.

Wozu das? Verstehe ich nicht.

Grüße,
Torsten

[Dirk67]

Hallo Torsten,
Hotlineempfehlung bei mehreren Geräten im Netz unterschiedliche Ports zu benutzen. Aber wie gesagt, nur beim funktionierenden im 80er Netz.
Gruß
Dirk

[Bernie137]

Hallo Dirk,

4. Entferne zur Sicherheit bitte die Block-Route 192.168.0.0 0.0.0.0 aus der Routing-Tabelle.
OK, habe ich bzw. Rückfrage, du meinst 255.255.255.255 mit 0.0.0.0?

Nein, die 255.255.255.255 mit 0.0.0.0 stellt den Internetzugang dar. Nach Löschen dieser Route funktioniert selbiger nicht mehr.

Nach dem Überfliegen des Beitrages waren überhaupt keine Einstellungen an den Routern notwendig. Deine zusätzlichen Einstellungen haben eher ein Funktionieren Deines Vorhabens verhindert. Wenn es mit der Software nicht funktioniert, ist das Problem eher wo anders zu suchen. Hilfreich kann ein IP-Router Trace sein, durchführbar auf der CLI des Routers oder per LANconfig/LANmonitor https://www2.lancom.de/kb.nsf/1275/9262 ... enDocument

Gruß Bernie

[PappaBaer]

OK, habe ich bzw. Rückfrage, du meinst 255.255.255.255 mit 0.0.0.0?

Ich könnte schwören, dass stand noch nicht da, als ich Dirks Beitrag gelesen und die Antwort getippt habe.
Das was Du meinst ist wie Bernie richtig schreibt die Default-Route zum Internet. Was ich meinte, ist die Block-Route 192.168.0.0 255.255.0.0 mit Router 0.0.0.0.

Auch sonst stimme ich Bernie zu. Die Kommunikation auch über Port 4370 muss out-of-the-box funktionieren, wenn der VPN-Tunnel auf beiden Seiten mit dem Assistenten angelegt wurde und es keine Deny-Regel in der Firewall gibt. Anpingen kannst Du das Terminal ja schliesslich auch.
Ich denke, da ist irgendwo ein Knoten in der Konfiguration der Ports in der Software bzw. des Terminals. Oder gibt es in der Software evtl. noch weitere Netzwerk-Einstellungen?

Grüße,
Torsten