VPN-Clients im eigenen Netzwerk

ragat · Beitrag von **ragat** » 08 Sep 2006, 09:59

Hallo,

jetzt meine zweite dumme Frage.

Ich habe einen Lancom 8011 der als zentrales VPN-Gateway fungieren soll und an diesem sollen VPN-Software und auch Lancom Router Clients angebunden werden.

Die Clients sollen einen eigenen Netzwerkbereich bekommen und zwar ein Class -B Netz, welches noch unterteilt werden soll, je nach Benutzergruppe.

Wie richtet man das ein? Und ist ein VLAN dafür nötig?

Danke schonmal

ragat

ittk · Beitrag von **ittk** » 08 Sep 2006, 12:34

Soll das Class-B Netz auch für andere lokale angeschlossene Rechner bereitgestellt werden, oder soll es exklusiv als RAS IP-Pool benutzt werden?

Wenn letzeres der Fall ist kannst du ohne Probleme mit den Assistenten eine IP-Adresse außerhalb des Lokal LAN (dann ist Proxy-ARP nicht erforderlich) einsetzen. Der LANCOM routet dann zwischen diesen Netzen. Aber das Netz ist dann nicht für andere Rechner in dem Subnetz nutzbar.

backslash · Beitrag von **backslash** » 08 Sep 2006, 12:38

Hi ragat

entweder richtest du für jeden Client eine Route ein und weist diesen so explitit IP-Adressen zu oder du setzt den WAN-Adreß-Pool (TCP/IP -> Adressen -> Adressen für Einwahl-Zugänge) passend.

Gruß
Backslash

ittk · Beitrag von **ittk** » 08 Sep 2006, 14:43

ich weiß nicht, ob ich dich ganz richtig verstanden habe:

alternativ richtest ein dediziertes dmz-interface--> portzuweisung ein und bindest darauf "dein class-b" netzwerk, dass dann durch den router ereichbar wäre (wie backslash schon richtig angemerkt hat können die ip-adressen auch dynamisch zugewiesen werden, wichtig dabei ist aber, dass ike mode cfg dann eine interne ip und netzmaske optional einen dns zuweist), aber wenn sie aus dem dmz-netz bereich stammen sollen ist proxy-arp erforderlich.

ittk · Beitrag von **ittk** » 08 Sep 2006, 18:22

ein weiterer vorteil der dynamischen adresszuweisung via (Adressen für Einwahl-Zugänge) ist, dass das ein ggf. erforderliches proxy-arp nur beim wirklichen zugriff auf das netzwerk für die ip-adresse gesetzt wird. ist der eintrag dagegen fest in der routing-tabelle verknüpft, dann kannst du mal intern die ip-adresse anpingen und ein arp -a ausführen und im lanmonitor sehen, dass ein nicht verbunden kein eintrag in der ppp-liste vorhanden gemeldet wird.