5
RDT zwischen zwei Netzwerksegmenten, die via Routing und RAS miteinander kommunizeiren
Es geht um einen W2008 R2 mit 2 Netzwerkkarten und einen VPN-Router.....
Hallo und guten Abend !
es geht um einen W2008 R2 in einer Schule mit 2 Netzwerkkarten und einen VPN Router RV042.
1x LAN "Internet" IP 192.168.0.1 / Gateway 192.168.0.254 / DNS 127.0.0.1
1x LAN "119" IP 192.168.119.1 / kein Gateway / DNS 127.0.01
Beide LAN sind via Routing und RAS so konfiguriert, dass der Server 192.168.119.1 als Gateway fungiert. Physikalisch ist das 192.168.0.x LAN mit dem Internet (RV042 - 192.168.0.254) verbunden.
Per Gateway-to-Gateway VPN (am RV042 konfiguriert) kann ich von aussen auf das LAN zugreifen. Ich "lande" dann aber natürlich im 192.168.0.x Segment!
Im Segment 192.168.119.x befinden sich mehrere PC´s, auf die ich via VPN und RDT zugreifen möchte.
Hier also meine Frage:
Wie kann ich mit dem bestehenden VPN , dass mich von aussen mit dem 192.168.0.x LAN verbindet, mittels RDT auf das 192.168.119.x LAN zugreifen? (die LAN´s 192.168.0.x und 192.168.119.x kommunizieren am Server via "Routing und RAS")
Zusatzfrage:
Wie riskant ist es, den RV042 direkt ins 192.168.119.x zu holen? (dann ohne Routing und RAS - mit nur einer Netzwerkkarte)
Grossdank und Gruss!
Jens
es geht um einen W2008 R2 in einer Schule mit 2 Netzwerkkarten und einen VPN Router RV042.
1x LAN "Internet" IP 192.168.0.1 / Gateway 192.168.0.254 / DNS 127.0.0.1
1x LAN "119" IP 192.168.119.1 / kein Gateway / DNS 127.0.01
Beide LAN sind via Routing und RAS so konfiguriert, dass der Server 192.168.119.1 als Gateway fungiert. Physikalisch ist das 192.168.0.x LAN mit dem Internet (RV042 - 192.168.0.254) verbunden.
Per Gateway-to-Gateway VPN (am RV042 konfiguriert) kann ich von aussen auf das LAN zugreifen. Ich "lande" dann aber natürlich im 192.168.0.x Segment!
Im Segment 192.168.119.x befinden sich mehrere PC´s, auf die ich via VPN und RDT zugreifen möchte.
Hier also meine Frage:
Wie kann ich mit dem bestehenden VPN , dass mich von aussen mit dem 192.168.0.x LAN verbindet, mittels RDT auf das 192.168.119.x LAN zugreifen? (die LAN´s 192.168.0.x und 192.168.119.x kommunizieren am Server via "Routing und RAS")
Zusatzfrage:
Wie riskant ist es, den RV042 direkt ins 192.168.119.x zu holen? (dann ohne Routing und RAS - mit nur einer Netzwerkkarte)
Grossdank und Gruss!
Jens
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 160956
Url: https://administrator.de/contentid/160956
Printed on: April 25, 2024 at 04:04 o'clock
5 Comments
Latest comment
Wie kann ich mit dem bestehenden VPN , dass mich von aussen mit dem 192.168.0.x LAN verbindet, mittels RDT auf das 192.168.119.x LAN zugreifen?
Wenn du es richtig konfiguriert hast, indem du den Remotedesktopclient aufmachst und da 192.168.119.x eingibst.
dann ohne Routing und RAS
Was für einen Sicerheitszuwachs erhoffst du dir überhaupt von Routing und RAS?
Die Kardinalsfrage die sich wie immer bei diesem Szenario stellt ist: Machst du auf dem Server NAT ja oder nein ??
Bei NAT kannst du nur mit Port Forwarding arbeiten.
Machst du kein NAT ist die Frage ob den RV042 dann eine statische Route eingetragen hat. Da du dich dazu nicht oder nur oberflächlich äußerst kann man naur raten und vermuten das du wie so häufig NAT machst.
Damit kannst du dann nur einen Host im 2ten netzwerksegment erreichen aber niemals alle.... Ist aber alles nur Spekualtion und geraten solange du das nicht detailiert beschreibst. Ohne das ist eine sinnvolle Hilfe nicht möglich.
Details zu ICS/NAT und diesem Szenario (und wie man dein Problem löst) findest du in diesem Tutorial:
Routing von 2 und mehr IP Netzen mit Windows, Linux und Router
Bei NAT kannst du nur mit Port Forwarding arbeiten.
Machst du kein NAT ist die Frage ob den RV042 dann eine statische Route eingetragen hat. Da du dich dazu nicht oder nur oberflächlich äußerst kann man naur raten und vermuten das du wie so häufig NAT machst.
Damit kannst du dann nur einen Host im 2ten netzwerksegment erreichen aber niemals alle.... Ist aber alles nur Spekualtion und geraten solange du das nicht detailiert beschreibst. Ohne das ist eine sinnvolle Hilfe nicht möglich.
Details zu ICS/NAT und diesem Szenario (und wie man dein Problem löst) findest du in diesem Tutorial:
Routing von 2 und mehr IP Netzen mit Windows, Linux und Router
Vielen Dank für Eure Aussagen!
Die Routinjg-RAS-Geschichte habe ich mit dem Assistenten gemacht und mich - wie das dann immer so ist mit
diesen Assistenten - nicht weiter damit befasst, was da eigentlich genau passiert.
Ja - es geht um NAT. Unter Routing-RAS - Eigenschaften des LAN "Internet" (192.168.0.x) ist ein Haken bei "NAT auf dieser Schnittstelle aktivieren" gesetzt. (Für das 119-er LAN ist dieser Haken nicht gesetzt)
Eine statische Route beim RV042 habe ich definitiv nicht gesetzt.
Wenn ich Dich richtig verstehe, kann ich jetzt also nur per Port-Forwarding zwischen den beiden Segmenten kommunizieren - einzelne Hosts auf der "anderen Seite" sind nicht erreichbar.
Insgesamt läuft dieser Server absolut problemlos und ich würde an dessen Konfiguration möglichst so wenig wie möglich ändern. Mir geht es nur um die RDT´s im 119-er LAN, die ich von aussen erreichen will.
Was haltet Ihr von folgender Lösung:
Ich öffne von aussen einen RDT auf dem Server. Dort öffne ich dann -innerhalb des RDT- einen weiteren RDT zu dem gewünschten Host im 119-er LAN. Das sollte doch funktionieren, oder?
Oder hat jemand eine bessere Idee?
@dog:
Was meinst Du mit "richtig konfiguriert"?
Die Trennung der beiden Segmente wollte man damals dort so haben um ggf. weitere Schutzmechanismen zur Kontrolle und Trennung der beiden Segmente installieren zu können...
Die Routinjg-RAS-Geschichte habe ich mit dem Assistenten gemacht und mich - wie das dann immer so ist mit
diesen Assistenten - nicht weiter damit befasst, was da eigentlich genau passiert.
Ja - es geht um NAT. Unter Routing-RAS - Eigenschaften des LAN "Internet" (192.168.0.x) ist ein Haken bei "NAT auf dieser Schnittstelle aktivieren" gesetzt. (Für das 119-er LAN ist dieser Haken nicht gesetzt)
Eine statische Route beim RV042 habe ich definitiv nicht gesetzt.
Wenn ich Dich richtig verstehe, kann ich jetzt also nur per Port-Forwarding zwischen den beiden Segmenten kommunizieren - einzelne Hosts auf der "anderen Seite" sind nicht erreichbar.
Insgesamt läuft dieser Server absolut problemlos und ich würde an dessen Konfiguration möglichst so wenig wie möglich ändern. Mir geht es nur um die RDT´s im 119-er LAN, die ich von aussen erreichen will.
Was haltet Ihr von folgender Lösung:
Ich öffne von aussen einen RDT auf dem Server. Dort öffne ich dann -innerhalb des RDT- einen weiteren RDT zu dem gewünschten Host im 119-er LAN. Das sollte doch funktionieren, oder?
Oder hat jemand eine bessere Idee?
@dog:
Was meinst Du mit "richtig konfiguriert"?
Die Trennung der beiden Segmente wollte man damals dort so haben um ggf. weitere Schutzmechanismen zur Kontrolle und Trennung der beiden Segmente installieren zu können...
Ja die NAT Firewall blockt dann natürlich alle Zugriffe die keine gültige bestehende Session haben von intern haben.
Folglich kommen eingehende Sessions also niemals durch die NAT Firewall...das ist logisch und wird immer und immer wieder falsch gemacht weil kaum jemand sich drum scherst was er konfiguriert wie du leider auch : - (
Dein Problem ist nun das du für RDP genau eine Session von außen durchbekommst auf einen einzigen Host im anderen Netz oder du musst mit Port Translation arbeiten bei mehreren was das Szenario aber verkompliziert.
Besser also du machst entweder transparentes Routing ohne NAT, dann hast du das Problem logischerweise gar nicht erst oder...
Du machst eine Port Forwarding Session auf einen Host und hangelst dich dann von dem weiter im internen Netz per RDP.
Eine andere Möglichkeit hast du de facto nicht !!
Folglich kommen eingehende Sessions also niemals durch die NAT Firewall...das ist logisch und wird immer und immer wieder falsch gemacht weil kaum jemand sich drum scherst was er konfiguriert wie du leider auch : - (
Dein Problem ist nun das du für RDP genau eine Session von außen durchbekommst auf einen einzigen Host im anderen Netz oder du musst mit Port Translation arbeiten bei mehreren was das Szenario aber verkompliziert.
Besser also du machst entweder transparentes Routing ohne NAT, dann hast du das Problem logischerweise gar nicht erst oder...
Du machst eine Port Forwarding Session auf einen Host und hangelst dich dann von dem weiter im internen Netz per RDP.
Eine andere Möglichkeit hast du de facto nicht !!
Danke aqui, Du hast alle meine Fragen beantwortet!
Ich werde mich per VPN und Port-Forwarding mit einem 119-er Host verbinden und von diesem aus dann alle anderen 119-er RDT´s starten.
VG Jens
Ich werde mich per VPN und Port-Forwarding mit einem 119-er Host verbinden und von diesem aus dann alle anderen 119-er RDT´s starten.
VG Jens
