bohrers
Goto Top

VPN-Gateway parallel zum Internetgateway

Hallo zusammen,

ich grübel schon seit längerem über ein Problem und kann keine Lösung finden.
Vielelicht hat hier einer einen Denkansatz für mich.


Ausgangslage.


1* SDSL-Leitung 4Mbit an einem DLINK DFL-200 für IPSEC Zugang von außen
Feste IP extern , intern z.B. 192.168.1.2

1* DSL-Leitung 16000 an einem CISCO-Linksys RV082
Feste IP extern, intern z.B. 192.168.1.1 als Internetgateway

Diverse Terminalserver für den Zugriff per VPN

Um die Rechner per VPN erreichen zu können müssen diese ja als Gateway
den VPN-Router 192.168.1.2 eingetragen haben.

Ich möchte aber gerne auf dem Internetrouter 192.168.1.1 eine VPN - Verbindung quasi als
Fall-Back einrichten um bei einem Ausfall des VPN Routers einigen wichtigen
Leuten das Arbeiten zu ermöglichen.

Aber das Problem ist, das ich über die VPN von diesem Router dann keine Verbindung
zu den Rechnern im Netzwerk bekomme die als Gateway den VPN-Router
192.168.1.2 eingetragen haben.

Später würden wir gerne noch eine zweite VPN-Leitung einsetzen um den Traffic zu verteilen
was aber aus dem gleichen Grund nicht geht.

Wir haben auch schon mit beiden Leitungen an dem Cisco - Router probiert, was dann
technisch zwar funktioniert, aber die VPN-Verbindungen mit dem NCP-Client von außen
sind, warum auch immer an dem DFL-200 einfach stabiler.

Wo habe ich den Denkfehler, bzw. was müsste ich tun damit ich von beiden VPN-Gateways
aus die Rechner ansprechen kann ?

Vielen Dank für euere Anregungen

Udo Bohrer

Content-Key: 243124

Url: https://administrator.de/contentid/243124

Printed on: April 24, 2024 at 15:04 o'clock

Member: aqui
aqui Jul 09, 2014 updated at 08:55:01 (UTC)
Goto Top
Das lässt sich so ohne weiteres auch nicht lösen. Der Kardinalsfehler war das du schon im Ansatz die vollkommen falsche Router HW beschafft hast aber vermutlich ist das wie so oft historisch gewachsen und man hat einfach planlos, ohne Nachdenken dazugekauft....
Du müsstest eine Gateway Virtualisierung einsetzen mit VRRP, HSRP usw.. Das ist aber bei deinen Billigprodukten utopisch gerade bei D-Link die ja bekannt sind das dort nur das minimal reduzierte im Featureset ist. Die supporten das schlicht und einfach nicht.
So ohne weiteres bekommst du also keine Lösung hin es sei denn du baust dein Netzwerk massiv um was aber ja nicht das Ziel sein kann.

Fazit: Ohne eine neue HW wirst du da nichts. Was du brauchst ist ein Dual WAN Load Balancing VPN Router wie z.B. ein Draytek 29xx, Linksys LRT 224, Cisco 881 usw.
Damit ist das problemlos hinzubekommen, denn du hast dann nur noch ein gemeinsames Gateway und kannst das VPN entweder über den einen oder den anderen Link ansprechen.
Das löst dein Problem schnell und unkompliziert.
Der RV082 ist für solche Geschwindigkeiten wie 16 Mbit nicht gemacht mit dem internen Paket Forwarding, deshalb ist er auch so instabil !
Member: bohrers
bohrers Jul 09, 2014 at 08:50:38 (UTC)
Goto Top
Hallo Aqui

vielen Dank für deine Antwort.

Da der RV082 zu schwach ist hätte ich nicht gedacht.

Das Netz ist halt so gewachsen. Eigentlich war das ganze mal für
2 VPN-Verbindungen zum Chef und seiner Tochter geplant.
Dann kamen die Büros dazu und auch noch der eine oder andere
Heimarbeitsplatz.

ich habe seinerzeit das mit dem DUAL-WAN am RV082 probiert
und auch stundenlang mit dem Support gesprochen wegen
der Unterbrechung der VPN- Verbindungen.

Da hat keiner einen Hinweis drauf gegeben das es sich
um ein Problem mit der Geschwindigkeit handeln kann.

Jetzt erklärt sich auch warum ich tagelang alleine
per VPN drin bin und es funktioniert.

Mir war diese Lösung auch sehr sympathisch weil ich
auch die rausgehende Last entsprechenden der Dienste
gut verteilen kann.

Da wir in naher Zukunft 50/10 VDSL bekommen
ist die Frage ob die von dir vorgeschlagenen Router
dieses schaffen .Bevor ich wieder Hardware umsonst kaufe.


Wenn es funktioniert, dann ist es kein Problem
eine neue Hardware im bezahlbaren Bereich
anzuschaffen. Ich denke beim Preis kann ich auch
noch mehr wie ca. 300,-- EUR für einen Cisco 881
beim Chef argumentieren.
Solange ich keine größeren 4 stelligen Beträge aufrufen muß
ist der Chef recht offen für sowas.

Welchen Router würdest du denn empfehlen ?

Ziel
entweder 1* 50/10 VDSL + 4mbit SDSL oder 2*50/10 VDSL

3 Büros mit jeweils 3 PCs und RV042 (die RV042 können mittelfristig auch getauscht werden)
LAN-LAN gekoppelt
max 10 Verbindungen über Notebook und NCP-Client
Member: aqui
aqui Jul 09, 2014 at 09:08:48 (UTC)
Goto Top
Wichtig ist was die max. Paket Forwarding Rate mit VPN und PPPoE ist. Klar alle Breitband Router haben eine physische Link Geschw. von 100 Mbit oder oft sogar 1 GiG am Port direkt aber das sagt alles noch lange nix aus WAS diese Router CPU seitig im Packet Forwarding schaffen.
Bei 2 mal VDSL und VPN ist das nicht mehr trivial und mit billiger D-Link Consumer Hardware getan. Da musst du schon sowas wie einen Lancom, LRT 224 oder Cisco 886va auffahren wenn du mit einigermaßen Durchsatz arbeiten willst.
Member: bohrers
bohrers Jul 09, 2014 at 09:14:47 (UTC)
Goto Top
@aqui

Da hat sich meine PN mit deinem Beitrag überschnitten.

der Cisco 886va würde mir schon zusagen.

der hat ja DSL-Modems eingebaut. Kann ich für den SDSL-Anschluß auf einem Port das Modem abschalten ?
Das vorhandenen Modem ist der Übergabepunkt des Anbieters und hängt auch nicht im Serverraum.

Gruß Udo Bohrer
Member: brammer
brammer Jul 09, 2014 at 09:51:44 (UTC)
Goto Top
Hallo,

wenn du das DSL Modem das 886va nicht brauchst nimm den 881... der hat 5 fastethernet Ports... oder Alternativ den neueren Cisco 891.

brammer
Member: aqui
aqui Jul 09, 2014 updated at 16:54:24 (UTC)
Goto Top
Du kannst sogar das interne Modem auch für SDSL nehmen. Fürs spätere VDSL auch. Das ist ein Multi Mode Modem.
Ansonsten siehe Antwort vom Kollegen brammer.
Member: bohrers
bohrers Jul 10, 2014 at 06:38:47 (UTC)
Goto Top
Hallo zusammen,

wenn ich richtig sehe hat der 881 aber nur einen WAN-Port oder ?

bliebe also die Frage ob ich am 886va auch einen Port ohne internes Modem betreiben kann ?
wie schon geschrieben steht das SDSL-Modem des Anbieters in einem anderen Raum und ich darf dieses
wegen der garantierten Verfügbarkeit nicht gegen ein anderes tauschen.

Der Linksys ist mir schon fast zu preiswert für die Hauptstelle

Gruß Udo Bohrer
Member: brammer
brammer Jul 10, 2014 at 07:55:03 (UTC)
Goto Top
Hallo,

der 881 hat eigentlich 5 fastethernet Ports.
Dein Provider Modem gibt Normalerweise ein ethernet Signal aus, daher schliesst du das am Router an. Die Zugangsadaten werden dann auf dem Router hinterlegt.
Den 886 kannst du auch ohne interens Modem betrieben, hast dann aber nur noch 3 fastehternet Ports, am 4 hängt ja das Modem.
Also verlierst du einen Port gegenüber dem 881 und bist mit dem 886 auch noch teurer...

brammer
Member: aqui
aqui Jul 10, 2014 at 09:28:04 (UTC)
Goto Top
Beim 886 kann er aber immer das interne Modem für mindestens einen seiner WAN Links benutzen und spart sich so dort ein externes nur Modem.
Ansonsten hast du mit den Ports natürlich Recht.
Member: bohrers
bohrers Jul 10, 2014 at 13:44:03 (UTC)
Goto Top
Cisco ist irgendwie verwirrend.

wenn man Abbildungen im Internet anschaut, haben der 881 und der 886
jeweils 5 RJ45 Buchsen + den Konsolen Anschluß
der 886 hat noch einen ADSL-Anschluß

Beim 881 steht kein Wort von DUAL-WAN beim 886va schon.

Wenn ich das richtig verstehe, dann kann ich zusätzlich einen
der LAN-Anschlüße für WAN brauchen ?

Irgendwie ist mir das unsympatisch mit Cisco zumal ich ja mit den RV082 seinerzeit auf die
Nase gefallen bin.

Die Frage ist, ob ich nicht doch auf Draytek gehe. In der Zentrale eine Vigor 2960 und wenn ich die Satellitenbüros
umstelle dort vielleicht einen Vigor 2130 .
Was ich sympatisch finde ist der Co-Prozessor für die VPN-Verschlüsselung bei den größeren Routern.

Und sollte der Wunsch nach noch mehr Bandbreite kommen gäbe es auch noch den Vigor 3900 mit 4 WAN-Ports.


Ich hoffe nur das ein aktueller DUAL - WAN Router wirklich nicht mehr das Problem mit den Unterbrechungen der VPN hat.
seltsamerweise funktioniert ja der in die Jahre gekommene DFL-200 einwandfrei.
Der RV082 hat sogar Probleme gemacht wenn nur 1 WAN-Port rein für die VPN belegt war.
Member: aqui
aqui Jul 10, 2014 at 15:17:28 (UTC)
Goto Top
Cisco ist irgendwie verwirrend.
Nöö, nicht wenn man weiss was man macht face-wink
Beim 881 steht kein Wort von DUAL-WAN beim 886va schon.
Sowas gibt es bei Cisco auch nicht ! Das ist kein Consumer Router wo die Ports festgelegte Funktionen haben. DU kannst wahlfrei bestimmen welche Ports du mit welcher Funktion konfigurieren willst wie es im Profi Bereich üblich ist !
Alle Ports sind gleichbereichtigt. du kannst also auch einen Quadro Port WAN konfigurieren !
dann kann ich zusätzlich einen der LAN-Anschlüße für WAN brauchen ?
Ja, alle Ports sind wie gesagt gleichberechtigt.
Irgendwie ist mir das unsympatisch mit Cisco zumal ich ja mit den RV082 seinerzeit auf die Nase gefallen bin.
Sorry, aber zeugt von sehr wenig Fachwissen und Produktkenntniss. Die RV Serie ist ein Linksys Produkt und hat rein gar nichts mit der IOS Produktreihe zu tun. Du vergleichst hier Äpfel mit Birnen.
BMW produziert auch Bobby Cars mit BMW Emblem die haben aber mit der 7er Reihe nichts zu tun. Genau das behauptest du aber.

Es steht dir frei andere Plattformen zu testen. Vergiss aber nicht das die RV Serie und Draytek Consumer Systeme oder welche für den Kleinst SoHo Markt sind mit einer gänzlich anderen Feature Basis.
Und wenn du schon was vergleichst denk ans Bobby Car !
Member: bohrers
bohrers Jul 11, 2014 at 07:37:20 (UTC)
Goto Top
@aqui

du selber hast mir aber den Draytek im gleichen Atemzug wie den Cisco genannt.
und der Draytek 2960 ist auch noch teurer.

Ich bin zwar seit 20 Jahren im EDV-Bereich tätig, aber mit den Profigeräten von CISCO habe ich nie zu tun gehabt.
Es gab Zeiten da bekam man CISCO nur als autorisierter Fachhändler, meist als Provider und wenn irgendwo CISCO verbaut war wurden
die von den Technikern des Providers eingerichtet und man bekam überhaupt nicht die Möglichkeit da mal reinzuschauen.

Für mich ist eines der ersten Kriterien bei den vorgeschlagenen Modellen der Preis. Nach dem Motto was nichts kostet ist auch nichts.
Wobei teuer nicht unbedingt gut sein muß. Was sich dann ja zwischen dem Draytek und Cisco zeigt.
Die nächste Frage ist, ob ich einen Cisco-Router überhaupt eingerichtet bekomme ? Wenn ich mir die Anleitung
zum 886va hier im Forum anschaue, da wird ja wohl alles über die Shell konfiguriert und nicht über eine grafische Oberfläche.
und es ist ja nicht ganz trivial 2 verschieden WANs , VPN für LAN-LAN und Homeoffice, und dann auch noch die Verteilung
der rausgehenden Dienste auf die beiden WANs vorzunehmen.

Auch wenn ich noch aus den DOS-Zeiten komme, wo man noch Batch-Dateien und INI-Dateien von Hand editiert hat, so fehlt mir doch
wahrscheinlich im Tagesgeschäft die Zeit mich damit auseinander zu setzen. Und wenn ich dann rechne was ich pro Stunde koste, dann
muß ich überlegen ob es nicht günstiger ist für die Einrichtung der Router einen Spezialisten einzukaufen. Mich stört dabei allerdings
das ich mich damit von jemandem anderen abhängig mache.

Und das hat nichts mit fehlendem Fachwissen zu tun sondern höchstens mit fehlenden Produktkenntnissen bei Cisco.
Im Gegensatz zu den vielen vermeindlichen Fachleuten habe ich den Beruf sogar gelernt und meine Meisterprüfung
darin gemacht.

In der EDV-Branche kann man aber nicht mehr in allen Bereichen fit sein. Das will ich aber auch gar nicht.
Es gibt nun mal Bereiche hier, an die ich täglich ran muß und in denen ich mich auch intensiv weiterbilden muß.


Ich bin nun mal in der glücklichen Lage , das ich in einem doch in den letzen Jahren recht rasant gewachsenen Netzwerk
von ca. 70 Clients, inzwischen ein großer Teil per RDP , einem Dutzend Notebooks , 25 Iphones , mehreren 2008-Servern, Tobit -David incl. Iphone-Anbindung , 10 kleinen Terminalservern für eine Anwendung die nur 32bit kann und noch jede Menge anderer Komponenten ,alleine die Entscheidungen treffe und diese vom Chef in der Regel nur noch abgenickt werden.

Nichts desto trotz werde ich mir aber mal einen 881 bestellen und es einfach mal ausprobieren. Da ich noch einen dritten Internetzugang als Hintertürchen für mein Homeoffice habe, kann ich da ohne die Produktivität in der Firma zu stören. Wenn ich es dann hinbekomme, sollte ich dann für einen doch recht günstigen Preis eine hoffentlich stabile Lösung haben.

Ansonsten bliebe als Alternative noch das ich mich mal bei LANCOM umschaue.

Gruß Udo Bohrer