Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit
GELÖST

Wie zwinge ich WLAN Gäste durch einen VPN-Tunnel an einer FritzBox 7390 - Oder: WLAN Kneipengäste zu mir nach Hause routen um dort einen installierten HotSpotRouter zu nutzen

Frage Netzwerke Router & Routing

Mitglied: Bohling

Bohling (Level 1) - Jetzt verbinden

07.03.2014, aktualisiert 08.03.2014, 3333 Aufrufe, 12 Kommentare, 4 Danke

Hallo!

Ich hoffe ich bekomme es vernünftig hin meine Idee zu beschreiben.
Also hier eine kleine Einleitung:

Ich möchte 2 kleine entfernte Standorte (Ich nenne Sie Kneipen) mit einem Hotspot ausstatten.
Zuhause sind ein paar Mietwohnungen vorhanden die ich auch mit versorgen möchte über den Hotspot.
Zuhause habe ich ein ordentlichen Upload von 10 Mbit

Ich habe von Zyxel den N4100 (Ich nenne Ihn Hotspot), gekauft. Er hat eine integrierte Abrechnung mit PayPal und das funktioniert auch alles perfekt und bin zufrieden.

Meine Idee:
Da der Hotspot teuer ist, möchte ich diesen nur einmal kaufen.
Die Kneipen möchte ich per VPN Tunnel nach Hause zum Hotspot leiten. <-- Das ist mein Hauptanliegen!
Der Besitzer soll dennoch sein eigenes WLAN haben und mit seinem Internetzugang nutzen.

Was ich habe:
1x Hotspot N4100
3x FritzBox 7390
1x FritzBox 7170

Was die Tage noch kommt:
1x NXC2500 = Zyxel WLAN Controller
4x NWA3560-N = Accesspoint für den WLAN Controller

Mein Ansatz:
In der Kneipe wollte ich eigentlich eine FritzBox 7390 aufstellen und Zuhause. Beide per VPN Tunnel verbinden.
Aber ich scheiter natürlich daran, wie ich die Box so einrichte das der User das Lokale Internet nicht nutzen kann, sondern nur den VPN Tunnel nutzen kann um somit an den Hotspot zu gelagen.

Wer hat ne Idee das so einzurichten? Worauf muss ich da besonders achten?
Einen VPN Tunnel bekomme ich ja hin, aber so 100%ig weiß ich nicht wie ich das konfiguerien muss.
Vielleicht hat ja schon jemand Erfahrung mit diesem Szenario?

Gruß!
FB!
Mitglied: Dobby
07.03.2014 um 12:16 Uhr
Hallo,

nutze doch einfach das schon vorhandene WLAN in der Kneipe
und dann muss dort doch nur "VPN Passthrough" aktiviert bzw.
vorhanden sein und dann kannst Du doch zu Deinem WLAN
HotSpot zu Hause eine VPN Verbindung aufbauen, oder?

Was für Geräte sind es denn mit denen Du dann surfen
bzw. die VPN Verbindung aufbauen möchtest?

Gruß
Dobby
Bitte warten ..
Mitglied: Bohling
07.03.2014 um 12:35 Uhr
Bin mir nicht ganz sicher ob Du mein Anliegen verstanden hast.

Im Grunde möchte ich in der Kneipe eine FritzBox 7390 aufstellen um einen VPN Tunnel zur Fritzbox 7390 Zuhause aufzubauen welcher am Hotspot angeschlossen ist.

Die Gäste sollen also durch den VPN-Tunnel gezwungen werden.
Die Gäste sollen das Intenet vor Ort nicht nutzen dürfen, nur durch den VPN Tunnel.
Bitte warten ..
Mitglied: Dobby
07.03.2014, aktualisiert um 12:57 Uhr
Bin mir nicht ganz sicher ob Du mein Anliegen verstanden hast.
So habe ich es nun einmal verstanden und Du mir erklärt!

Im Grunde möchte ich in der Kneipe eine FritzBox 7390 aufstellen um
einen VPN Tunnel zur Fritzbox 7390 Zuhause aufzubauen welcher am
Hotspot angeschlossen ist.
Das war schon um Ecken präziser und Dir kann geholfen werden!!!!
Ok dann eben mal schnell hier alles abtippen und in 15 Minuten
ist das "Ding" erledigt!

AVM Anleitung
Step-by-Step Guide: Verbindung zwischen zwei Netzwerken (Fritz!Boxen) einrichten

Auch mit wenig Erfahrung ist das schnell abgehandelt und
eingetippt und wenn die ganze Sache steht, dann erst
würde ich an Deiner Stelle einen neuen Beitrag aufmachen
und danach fragen wie denn nun alle Benutzer gezwungen
werden nur den Tunnel zu benutzen!!!

Gruß
Dobby
Bitte warten ..
Mitglied: Bohling
07.03.2014, aktualisiert um 13:04 Uhr
Danke für die schnelle Antwort!

Hmm, leider immer noch nicht das was ich brauche. Den VPN Tunnel bekomme ich ja hin und ist auch schon aktiv.

Aber wichtig ist, das die WLAN User der Kneipe das Internet vor Ort auf KEINEN FALL bebnutzen dürfen.
Diese sollen durch den VPN Tunnel "gezwungen" werden.

Die Beschreibung erklärt mir nur wie ich 2 Subnetze miteinander verbinde.
Bitte warten ..
Mitglied: sk
07.03.2014 um 13:05 Uhr
Hallo,

Dein Anliegen ist - wenn die Fritzboxen mitspielen und die neue Firmware für den NXC draußen ist - kein Problem.


Ich habe von Zyxel den N4100 (Ich nenne Ihn Hotspot), gekauft. Er hat eine integrierte Abrechnung mit PayPal und das funktioniert
...
Da der Hotspot teuer ist, möchte ich diesen nur einmal kaufen.
Die Kneipen möchte ich per VPN Tunnel nach Hause zum Hotspot leiten. <-- Das ist mein Hauptanliegen!
Was die Tage noch kommt:
1x NXC2500 = Zyxel WLAN Controller
4x NWA3560-N = Accesspoint für den WLAN Controller

Da hast Du echt Schwein gehabt bei Deiner Beschaffung

Folgende funktionale Herausforderung gibt es: Der Hotspot schaltet bei erfolgreicher Anmeldung für die definierte Zeit die Source-MAC-Adresse frei. Wenn Du also über einen gerouteten Tunnel (was ein Site-to-Site-IPSec-Tunnel in der Regel ist) hereinkommst, wird nur der erste User eine Anmeldemaske zu sehen bekommen und alle weiteren User sind dann automatisch mit freigeschaltet, weil nur die MAC-Adresse des Router-Interfaces gegenüber dem Hotspot sichtbar ist. Du musst also per Layer2-Tunnel dafür sorgen, dass sich die Clients in der Broadcastdomäne des LAN-Interfaces des N4100 befinden.
Die schlechte Nachricht: Bei derzeitigem Firmwarestand kann der NXC2500 das nicht!
Die gute Nachricht: Der Controller wird demnächst per Firmwareupdate mächtig aufgerüstet. U.a. erhält er die hier erforderliche Möglichkeit, einen GRE-Tunnel zwischen AP und Controller zu etablieren. Bislang war dieses Feature ausschließlich dem NXC5200 vorbehalten. Die neue Firmware (ZLD4.10) kommt voraussichtlich bis Ende des Monats. Diesbezüglich hast also Glück gehabt. Ebenso bei der Wahl der APs, denn die beliebten APs im Feuermelderdesign unterstützen den Tunnelmodus nämlich generell nicht.
Für das Gäste-WLAN routest Du also einfach diesen GRE-Tunnel durch den IPSEc-Tunnel hindurch.
Einen Haken hat die Sache allerdings: Das funktioniert nicht mit jeder Kombination von IPSec-Gateways! Ich habe dieses Szenario problemlos zwischen ZywallUSGs und zwischen Fortinets und ZywallUSGs am laufen. Zwischen einer alten Zywall (ZyNOS-basierend) und einer ZywallUSG bekomme ich es hingegen nicht hin. Der GRE-Tunnel steht zwar, aber es geht kein Traffic durch. Ich habe auch von anderen gehört, dass die damit Probleme haben. Das scheint ein MTU-Problem zu sein. Ob dies auch die Fritzboxen betrifft, weiss ich (noch ) nicht.
Zumindest am Hauptstandort würde ich Dir ohnehin die Ablösung der Fritzbox dringend ans Herz legen, und zu einer vernünftigen Firewall raten, um verhindern zu können, dass aus den Remotestandorten und den Gästennetzen auf Dein eigenes LAN zugegriffen wird! Meine Empfehlung wäre dafür natürlich eine Zywall. Aber kaufe bitte nicht unbedacht eine aktuelle USG, denn da kommt demnächst auch die neue Serie mit ZLD4.10 auf den Markt..



Zitat von Bohling:
Die Kneipen möchte ich per VPN Tunnel nach Hause zum Hotspot leiten. <-- Das ist mein Hauptanliegen!
Der Besitzer soll dennoch sein eigenes WLAN haben und mit seinem Internetzugang nutzen.

Kein Problem: 2 SSIDs, den Traffic des einen WLANs wie beschrieben per GRE durch den Tunnel und der Traffic des anderen wird lokal ausgekoppelt.


Gruß
Steffen
Bitte warten ..
Mitglied: Bohling
07.03.2014 um 13:19 Uhr
Danke für die Info, daran hab ich noch gar nicht gedacht

Folgende funktionale Herausforderung gibt es: Der Hotspot schaltet bei erfolgreicher Anmeldung für die definierte Zeit die
Source-MAC-Adresse frei. Wenn Du also über einen gerouteten Tunnel (was ein Site-to-Site-IPSec-Tunnel in der Regel ist)
hereinkommst, wird nur der erste User eine Anmeldemaske zu sehen bekommen und alle weiteren User sind dann automatisch mit
freigeschaltet, weil nur die MAC-Adresse des Router-Interfaces gegenüber dem Hotspot sichtbar ist. Du musst also per
Layer2-Tunnel dafür sorgen, dass sich die Clients in der Broadcastdomäne des LAN-Interfaces des N4100 befinden.
Das heißt, das der N4100 nur die MAC Adresse der Fritzbox in der Kneipe Sieht, jedoch nicht die WLAN Clients??
Das wäre natürlich irre ärgerlich


Die schlechte Nachricht: Bei derzeitigem Firmwarestand kann der NXC2500 das nicht!
Die gute Nachricht: Der Controller wird demnächst per Firmwareupdate mächtig aufgerüstet. U.a. erhält er die
hier erforderliche Möglichkeit, einen GRE-Tunnel zwischen AP und Controller zu etablieren. Bislang war dieses Feature
ausschließlich dem NXC5200 vorbehalten. Die neue Firmware (ZLD4.10) kommt voraussichtlich bis Ende des Monats.
Das ist schon mal gut zu wissen! Ich hoffe ich bekomme das eingerichtet.
Wobei der Controller am N4100 Standort ist.


Kein Problem: 2 SSIDs, den Traffic des einen WLANs wie beschrieben per GRE durch den Tunnel und der Traffic des anderen wird lokal
ausgekoppelt.
Genau DAS sollte am besten mit der FritzBox 7390 irgendwie funktionieren. Hardware ist ja schon vorhanden.
Bitte warten ..
Mitglied: Jaggl
07.03.2014 um 13:39 Uhr
ich würde das so nicht machen.... Google mal nach Mikrotik, der kann sowas und ist mehr als Günstig und sehr Gut! Da würde ich bei jeder Kneipe so ein Teil Aufstellen mit HotSpot Funktion und gut is...
Bitte warten ..
Mitglied: sk
LÖSUNG 07.03.2014, aktualisiert 08.03.2014
Zitat von Bohling:
Das heißt, das der N4100 nur die MAC Adresse der Fritzbox in der Kneipe Sieht, jedoch nicht die WLAN Clients??
Er sieht die MAC-Adresse des letzten Hops aus seiner Richtung. Also - wie ich bislang den momentan von Dir anvisierten Aufbau vermute - die MAC-Adresse der Fritzbox am Standort des N4100.

Zitat von Bohling:
Wobei der Controller am N4100 Standort ist.
Wo sonst?

Zitat von Bohling:
> Kein Problem: 2 SSIDs, den Traffic des einen WLANs wie beschrieben per GRE durch den Tunnel und der Traffic des anderen wird
> lokal ausgekoppelt.
Genau DAS sollte am besten mit der FritzBox 7390 irgendwie funktionieren. Hardware ist ja schon vorhanden.
Fürs zentralisierte Gäste-WLAN brauchst Du definitiv den Zyxel-AP vor Ort! Das WLAN für den Kneipenbesitzer selbst kann natürlich auch (sowohl zusätzlich als auch ausschließlich) die dortige Fritzbox übernehmen.

Zitat von Bohling:
Das ist schon mal gut zu wissen! Ich hoffe ich bekomme das eingerichtet.
Ist eigentlich simpel. Worüber Du Dir allerdings bislang scheinbar zu wenig Gedanken gemacht hast, ist die Frage, wie Du Dich am Hauptstandort vor unberechtigte Zugriffen aus den Remotestandorten schützen möchtest? Meines Wissens kann die Fritzbox z.B. keine Firewallregeln auf den VPN-Tunnel anwenden.
Was man machen könnte ist, dem NXC2500 zusätzlich die Aufgabe angedeihen zu lassen, als Firewall zu arbeiten, um das eigene LAN abzugrenzen. Dann brauchst Du keine zusätzliche Hardware.


Gruß
sk
Bitte warten ..
Mitglied: Bohling
07.03.2014 um 15:28 Uhr
Er sieht die MAC-Adresse des letzten Hops aus seiner Richtung. Also - wie ich bislang den momentan von Dir anvisierten Aufbau
vermute - die MAC-Adresse der Fritzbox am Standort des N4100.
Dann kann ich mir das ja schon mal abschmatzen

Fürs zentralisierte Gäste-WLAN brauchst Du definitiv den Zyxel-AP vor Ort! Das WLAN für den Kneipenbesitzer selbst
kann natürlich auch (sowohl zusätzlich als auch ausschließlich) die dortige Fritzbox übernehmen.
Das bedeutet das ich den Zyxel AP irgendwie durch den VPN Tunnel routen kann um diesen an den WLAN Controller NXC2500 anzubinden?
Das wäre ja ein Traum!


Ist eigentlich simpel. Worüber Du Dir allerdings bislang scheinbar zu wenig Gedanken gemacht hast, ist die Frage, wie Du Dich
am Hauptstandort vor unberechtigte Zugriffen aus den Remotestandorten schützen möchtest? Meines Wissens kann die
Fritzbox z.B. keine Firewallregeln auf den VPN-Tunnel anwenden.
Was man machen könnte ist, dem NXC2500 zusätzlich die Aufgabe angedeihen zu lassen, als Firewall zu arbeiten, um das
eigene LAN abzugrenzen. Dann brauchst Du keine zusätzliche Hardware.
Zur Not würde ich das Hardwaretechnisch voneinander trennen - aber sicherlich gibts da auch noch einen anderen Weg...
Bitte warten ..
Mitglied: sk
LÖSUNG 07.03.2014, aktualisiert 08.03.2014
Zitat von Bohling:
Das bedeutet das ich den Zyxel AP irgendwie durch den VPN Tunnel routen kann um diesen an den WLAN Controller NXC2500 anzubinden?
Das wäre ja ein Traum!

Ja selbstverständlich! Du musst 2 Dinge unterscheiden:
1) wie der AP selbst (z.B. hinsichtlich seiner Konfiguration) mit dem Controller kommuniziert
2) wie der Traffic der mit dem AP verbundenen Clients zum Hotspot kommt

zu 1) Dafür benötigst Du den IPSec-Tunnel zwischen den Fritzboxen.
Hierüber kommuniziert der AP mit dem Controller per CAPWAP-Protokoll (zwecks Konfiguration) und für das Layer2-Bridging des eigentlichen Client-Traffics wird zwischen AP und Controller wie bereits geschrieben ein zusätzlicher GRE-Tunnel aufgebaut und über den IPSec-Tunnel übertragen.

zu 2) Über den GRE-Tunnel leitet der AP den Traffic der Clients zum Controller. Dort wird der GRE-Tunnel auf das passende VLAN/den richtigen Port gebridget. Dies hat den Effekt, dass sich die WLAN-Clients quasi im lokalen Netz des Hotspots befinden. Die WLAN-Gäste bekommen von Hotspot-Gateway eine IP-Adresse und verwenden dieses als Standardgateway.


Zitat von Bohling:
Zur Not würde ich das Hardwaretechnisch voneinander trennen - aber sicherlich gibts da auch noch einen anderen Weg...

Ich schrieb ja bereits, dass Du dafür alles benötigte schon zur Verfügung hast. Ich hatte nämlich zunächst übersehen, dass der NXC mit dem kommenden Firmwareupdate auch die bislang künstlich restriktierten Routing- und Firewallfunktionalitäten wieder aufgebohrt bekommt. Wie gesagt: Schwein gehabt. Aber das nächste Mal frag vorher, bevor Du losgehst und einfach etwas kaufst ohne zu wissen, ob und wie sich das Avisierte umsetzen lässt!


Gruß
sk
Bitte warten ..
Mitglied: Bohling
08.03.2014 um 14:39 Uhr
Ja selbstverständlich! Du musst 2 Dinge unterscheiden:
1) wie der AP selbst (z.B. hinsichtlich seiner Konfiguration) mit dem Controller kommuniziert
Das hab ich verstanden

2) wie der Traffic der mit dem AP verbundenen Clients zum Hotspot kommt
Das hab ich auch verstanden

zu 1) Dafür benötigst Du den IPSec-Tunnel zwischen den Fritzboxen.
OK

Hierüber kommuniziert der AP mit dem Controller per CAPWAP-Protokoll (zwecks Konfiguration) und für das Layer2-Bridging
des eigentlichen Client-Traffics wird zwischen AP und Controller wie bereits geschrieben ein zusätzlicher GRE-Tunnel
aufgebaut und über den IPSec-Tunnel übertragen.
Die Details mit den Protokollen hab ich leider nicht so richtig drauf, aber leichtes Verständnis habe ich schon

zu 2) Über den GRE-Tunnel leitet der AP den Traffic der Clients zum Controller. Dort wird der GRE-Tunnel auf das passende
VLAN/den richtigen Port gebridget. Dies hat den Effekt, dass sich die WLAN-Clients quasi im lokalen Netz des Hotspots befinden.
Die WLAN-Gäste bekommen von Hotspot-Gateway eine IP-Adresse und verwenden dieses als Standardgateway.
GENAU so habe ich mir das vorgestellt.

Ich schrieb ja bereits, dass Du dafür alles benötigte schon zur Verfügung hast. Ich hatte nämlich
zunächst übersehen, dass der NXC mit dem kommenden Firmwareupdate auch die bislang künstlich restriktierten
Routing- und Firewallfunktionalitäten wieder aufgebohrt bekommt. Wie gesagt: Schwein gehabt. Aber das nächste Mal
frag vorher, bevor Du losgehst und einfach etwas kaufst ohne zu wissen, ob und wie sich das Avisierte umsetzen lässt!
Für die Konfiguration benötige ich sicherlich nochmal Hilfe.
Allein das mit den VLAN ist mir bisweilen recht unbekannt, scheint aber sehr nützlich zu sein. Da muss ich mich erstmal reinlesen.
Gibt es zufällig einen Link für die Thematik? Oder ist das alles recht simpel zu verstehen?
Bitte warten ..
Mitglied: Bohling
08.03.2014 um 22:57 Uhr
Ich habe mal einen neue Frage verfasst die etwas übersichtlicher ist: http://www.administrator.de/forum/-232114.html
Bitte warten ..
Neuester Wissensbeitrag
CPU, RAM, Mainboards

Angetestet: PC Engines APU 3a2 im Rack-Gehäuse

(1)

Erfahrungsbericht von ashnod zum Thema CPU, RAM, Mainboards ...

Ähnliche Inhalte
LAN, WAN, Wireless
gelöst Site-to-Site VPN mit LTE Router Teltonika RTU950 und Fritzbox 7390 (10)

Frage von flavourflo zum Thema LAN, WAN, Wireless ...

Google Android
Pixel kann kein VPN zur Fritzbox herstellen! Finger weg von Google Pixel! (5)

Frage von MyApps2GO.de zum Thema Google Android ...

Router & Routing
gelöst VPN-Server (Fritzbox) hinter Zyxel 5501 betreiben (7)

Frage von basti76nie zum Thema Router & Routing ...

Router & Routing
Cisco 800 Series und VPN over Fritzbox und Telekom VDSL (4)

Frage von Ra1976 zum Thema Router & Routing ...

Heiß diskutierte Inhalte
DSL, VDSL
DSL-Signal bewerten (13)

Frage von SarekHL zum Thema DSL, VDSL ...

Switche und Hubs
Trunk für 2xCisco Switch. Wo liegt der Fehler? (13)

Frage von JayyyH zum Thema Switche und Hubs ...

Windows Server
Mailserver auf Windows Server 2012 (9)

Frage von StefanT81 zum Thema Windows Server ...

Backup
Clients als Server missbrauchen? (9)

Frage von 1410640014 zum Thema Backup ...