Thread Info
  • State Not Answered
  • Locked Locked
  • Replies 2 replies
  • Subscribers 4 subscribers
  • Views 9294 views
  • Users 0 members are here
Options
Suggested
This discussion has been locked.
You can no longer post new replies to this discussion. If you have a question you can start a new discussion

Site to Site VPN mit NAT einrichten

MarcSchrömges

Hallo zusammen,

 

ich hab mal eine Verständigungsfrage da ich damit noch nicht viel gearbeitet habe. 

 

Wir möchten zwei Firmen per VPN Tunnel verbinden.

 

Endpunkte auf beiden Seiten sind bekannt.

Konfiguration ist eingerichtet

 

Nun möchte ich der Gegenseite aber keinen unserer internen IP Adressen mitteilen sondern eine Adresse wie 192.168.51.2 z.B. 

 

Anfragen auf diese Adresse durch den Tunnel sollen dann auf den Richtigen Server mit der IP Adresse 172.16.7.1 z.B. geleitet werden. 

 

Meine Frage stellt sich nun welches NAT verwende ich am besten. SNAT / DNAT / Volles NAT 

 

Wir nutzen im Haus eine Sophos UTM Firewall und ich hänge etwas an der Konfiguration der NAT Regel. 

 

Ich habe bereits eine Konfiguration erstellt aber weiß nicht ob ich damit richtig liege. Siehe Anhang

 

Beschreibung Bild:

 

Datenverkehrsquelle: Endpunkt der Gegenseite

Datenverkehrsdienst spielt hier keine Rolle

Datenverkehrsziel: NAT Adresse des Servers (192.168.51.2) 

 

Ziel ändern in: Adresse des echten Zielservers (172.16.7.1) 

 

Lag ich mit meiner Konfiguration schon richtig oder grundlegend komplett falsch ?

 



This thread was automatically locked due to age.
Parents
  • 0

    Hi Marc,

    grundsätzlich so, wie Manuel es beschrieben hat, das resultiert dann aber darin, dass Euer Server im LAN auf 192.168.0.2 von der anderen Seite über die genatete IP, z.B. 10.0.0.2 ansprechbar ist. Mit der internen IP eines Systems allein kann jemand auf der Gegenseite noch nicht viel anfangen, NAT würde ich bei VPN eher nur dann empfehlen, wenn z.B. gleiche Netze verbunden werden müssen oder es z.B. bereits einen anderen VPN-Tunnel aus einem der Netze woanders hin gibt, wo das Netz bereits benutzt wird.

    Es gibt aber durchaus auch Anwendungsbereiche, wo ein SNAT/DNAT auf eine einzelne IP benötigt wird, z.B. Firma 1 mit 2 Standorten/Netzen braucht Zugriff auf Firma 2, im Tunnel ist aber nur das Netz des direkt via VPN verbundenen Standorts konfiguriert oder Firma 2 soll nicht wissen, dass aus 2 verschiedenen Netzen zugegriffen wird...

    Was Du Dir aber auf jeden Fall sofort abgewöhnen solltest ist der Haken für die automatische Firewallregel, denn erst damit erlaubst oder schränkst Du Zugriffe von A nach B effektiv ein. Wegen mir zum Testen, aber auch dort dann lieber gezielt von Hand erstellt.

    Wenn Du es noch sicherer haben willst musst Du ja nicht mal das komplette Netz in die VPN-Config nehmen, es kann z.B. auch konfiguriert werden, dass ein komplettes Netz A über VPN nur zu einem bestimmten Host in Netz B kommunizieren darf, anders herum der Host in Netz B zu allen Hosts in Netz A.

    Allerdings muss oder bzw. sollte die Tunnelconfig auf beiden Seiten immer identisch sein, manche VPN-Router vergeben Abweichungen noch und bauen den Tunnel dennoch auf, andere verweigern bei kleinster Abweichung z.B. in der Subnetzmaske (Netz hat /23, der Tunnel hat aber /24 konfiguriert) komplett den Dienst.

Reply
  • 0

    Hi Marc,

    grundsätzlich so, wie Manuel es beschrieben hat, das resultiert dann aber darin, dass Euer Server im LAN auf 192.168.0.2 von der anderen Seite über die genatete IP, z.B. 10.0.0.2 ansprechbar ist. Mit der internen IP eines Systems allein kann jemand auf der Gegenseite noch nicht viel anfangen, NAT würde ich bei VPN eher nur dann empfehlen, wenn z.B. gleiche Netze verbunden werden müssen oder es z.B. bereits einen anderen VPN-Tunnel aus einem der Netze woanders hin gibt, wo das Netz bereits benutzt wird.

    Es gibt aber durchaus auch Anwendungsbereiche, wo ein SNAT/DNAT auf eine einzelne IP benötigt wird, z.B. Firma 1 mit 2 Standorten/Netzen braucht Zugriff auf Firma 2, im Tunnel ist aber nur das Netz des direkt via VPN verbundenen Standorts konfiguriert oder Firma 2 soll nicht wissen, dass aus 2 verschiedenen Netzen zugegriffen wird...

    Was Du Dir aber auf jeden Fall sofort abgewöhnen solltest ist der Haken für die automatische Firewallregel, denn erst damit erlaubst oder schränkst Du Zugriffe von A nach B effektiv ein. Wegen mir zum Testen, aber auch dort dann lieber gezielt von Hand erstellt.

    Wenn Du es noch sicherer haben willst musst Du ja nicht mal das komplette Netz in die VPN-Config nehmen, es kann z.B. auch konfiguriert werden, dass ein komplettes Netz A über VPN nur zu einem bestimmten Host in Netz B kommunizieren darf, anders herum der Host in Netz B zu allen Hosts in Netz A.

    Allerdings muss oder bzw. sollte die Tunnelconfig auf beiden Seiten immer identisch sein, manche VPN-Router vergeben Abweichungen noch und bauen den Tunnel dennoch auf, andere verweigern bei kleinster Abweichung z.B. in der Subnetzmaske (Netz hat /23, der Tunnel hat aber /24 konfiguriert) komplett den Dienst.

Children
No Data