Garagentor Status mittels VPN

[Gast]

Hallo,

bin neu hier und Loxone ist nicht wirklich meine Stärke.

Also ich fang mal von Vorne an. Bislang konnte man mittels Loxone Smartphone App von Aussen auf den Miniserver zugreifen, wie zB Videoübertragung.

Aus Sicherheitsgründen wurde damals eingestellt, dass der Status des Garagentors nur mittels VPN in der App abgerufen werden konnte.

Die Fritzbox ist nun defekt und es wurde eine andere Firewall gekauft. VPN funktioniert, mann kann auch über die VPN im Browser auf die IP des Miniservers ( interne IP) zugreifen..

Jedoch der Status des Garagentores kann nicht eingesehen werden, trotz VPN .... im WLAN zuHause funktioniert natürlicherweise alles.

Bei der neuen Firewall bekommen VPN User in einen anderen IP Range als das LAN Netzwerk.. Ich glaube bei der Fritzbox bekommen die VPN Benutzer IPs aus dem selben IP Range des LANs. ( nur ne Vermutung, kann ich auch nicht testen, da defekt)

Kann das damit zusammenhängen? oder gibt es andere Möglichkeiten?

Danke

[svethi]

Das hat mit Loxone rein gar nichts zu tun. Das ist alles Routing etc. auch wird nicht nur der Status eines Garagentors über VPN übertragen, wenn dann alles oder nichts. Ohne genauen Netzwerkaufbau, Routings etc. Kann man da nicht viel sagen. Auch wenn bei der Fritzbox die VPN Adressen so aussehen als wären sie aus dem selben Netz, so sind es doch Hostadressen, die auch geroutet werden müssen und wenn Du Dir eine dieser VPN Adressen nimmst und diese im LAN benutzt, wirst Du sehen, dass das nicht funktioniert.

[Gast]

Siehe Anhang, wie die Sichtbarkeit des Garagentores eingestellt ist. Hat mit der Firtzbox VPN auch wunderbar geklappt. Seit der USG klappt das nicht mehr.
Also externer Zugriff mit der App + Portweiterleitungen funtkioniert wie gewünscht. Video wird angezeigt, Status des Garagentores nicht.

Jetzt wenn ich die VPN aufbaue, die App öffne, zeigt es kein Video an. Selbe wenn ich von einen externen PC die VPN aufbaue, auf die interne IP 192.168.178.222 zugreife, kein Video. Aber der Zugriff auf die Interne IP (Web) + Ping und telnet Port 80 funktioniert alles.

Die Webseite selbst zeigt an, dass man von Intern zugreift, trotzdem funktioniert weder Video noch der Status des Garagentors.

Ich kann mir nur vorstellen, dass die VPN der USG vllt nicht so funtkioniert wie die der Fritzbox.

[svethi]

Da Du noch immer keine Informationen zum Netzaufbau gegeben hast, kann man anhand Deiner Daten nur raten. Wenn ich das richtig interpretiere, dann hat Dein LAN das Netz 192.168.178.0/24. Dein neuer Router legt aber für VPN Verbindungen ein neues Netz an, nämlich 172.16.0.1/28 somit kommst Du aus Sicht des MiniServer aus dem Internet, da Du eben NICHT im gleichen Netz bist. Ergo Du musst den Zugriff für das Internet zulassen. Da steht aber Niemand.

[Gast]

Der Miniserver sieht den Zugriff von der VPN 172.16.0.1/28 auch als intern. Siehe Anhang. Soweit so gut, sollte es theoretisch ja funktionieren. Tut es nicht.
Im Anhang ein Bild des Netzaufbaus und zwei Bilder mit Zugriff über Web auf dem Miniserver . Beide Zugriffe mit offner VPN. Einmal Zugriff auf die Interne IP, einmal Zugriff auf die externe IP (immer noch mit offener VPN)

Also ich muss noch sagen, dass sämtlicher Traffic über die VPN geschickt wird, nicht nur die des Zielnetzwerkes 192.168.178.0/24

Das kann ich darin sehen, dass wenn ich bei offener VPN die Seite www.whatismyip.com besuche, sehe ich die öffentliche IP des anderen Netzwerkes, nicht von der aus ich von aussen Zugreifen.

[dakine_55]

Also ich hab per VPN den selben Adressbereich wie Lokal. Funktioniert tadellos. Einfach remote virtual IP in dem gewünschten Bereich setzen.

Klar bin ich davon ausgegangen, dass z.B.: kein 192.0.0.0 und ein 192.1.0.0 Netz miteinander vermischt werden sowie keine anderen Subnetzmasken wie 255.255.255.0 benutzt werden....

[svethi]

Nun, ich kenne den USG nicht, wenn der das kann ...

[BSiege]

Arrgh!! Ich Bitte euch! Beispiele mit "z.B 192.0.0.0/24 und 192.1.0.0/24" und verwende nur eine /24 Maske sind Sinnfrei. Das sind beides öffentliche Ranges ausserhalb RFC1819. Die gehören Jemandem und werden von jedem Router auf dieser Welt weitergeleitet!! Und Subnetmasken sind wie schon der Name sagt zum Subnetieren da. Egal ob /23 oder /29 es muss funktionieren. Aber man muss wissen was man macht, respektive was man will. Also Innerhalb 192.168.0.0/16 darf nach Belieben gewurstelt werden. Zum Glück kann man sich in diesem Bereich keine Stromschläge holen ;-)

[dakine_55]

Gast ändere bei Gateway/Subnet in der USG auf die 192.168.178.100/28.

bitte schau aber ob diese IP noch nicht belegt ist. Kenne deinen Netzwerkaufbau nicht. Aber falls frei, probier dies bitte mal.
sonst kannst auch auf die 192.168.178.200 ausweichen zum Beispiel.

somit sollte die IP von extern im selben Adressberich sein und du solltest ohne Probleme auf dein Garagentor kommen.

[BSiege]

Nein, ja nicht!! die Maske ist für Dein Beispiel falsch. Und Helfen wird es auch nicht. Bringt gar nix. Zum Nachvollziehen kannst Du gerne http://www.subnet-calculator.com/cidr.php zur Hilfe nehmen. Beispiel 192.168.178.100/28: Netzadresse .96, höchste verwendbare IP .111 Beim zweiten Vorschlag wären die Adressen zwischen 192.168.178.192 - 192.168.178.207

[BSiege]

Also ich muss noch sagen, dass sämtlicher Traffic über die VPN geschickt wird, nicht nur die des Zielnetzwerkes 192.168.178.0/24

Das kann ich darin sehen, dass wenn ich bei offener VPN die Seite www.whatismyip.com besuche, sehe ich die öffentliche IP des anderen Netzwerkes, nicht von der aus ich von aussen Zugreifen.

Ja nicht das Netz Umbauen, daran liegt's nicht. Auf den Bildern und dem Schema ist kein offensichtlicher Netzwerkfehler sichtbar. Einerseits wird tcpdump helfen. Aber gefühlsmässig würde ich eher prüfen, was der Browser mit dem Bild genau macht. Von Aussen greifst Du ja beide Male via Port 47102 zu. Die Kameraverbindung laut NAT läuft aber im Hintergrund über 47101, oder? Somit hast Du trotzdem Clientseitig zwei komplett unterschiedliche Situationen: Extern Zugriff via eine IP auf zwei Ports. VPN Zugriff auf zwei verschiedene IP's. Wahrscheinlich erwartet der Browser also das Bild auf Port 47101 von 192.168.178.222 statt 192.168.178.225:80. Aber Dort wirst Du das Problem ziemlich sicher Finden.

[BSiege]

Bei der neuen Firewall bekommen VPN User in einen anderen IP Range als das LAN Netzwerk.. Ich glaube bei der Fritzbox bekommen die VPN Benutzer IPs aus dem selben IP Range des LANs.

Wenn Du damit sagen willst, das das VPN nicht direkt ins Heimnetz geroutet wurde, sondern noch genattet wurde, kann man das so gelten lassen. Es kann auch sein, dass der Browser intern wiederum über das Portforwarding via 47101 zugegriffen hat. Was auf einer richtigen Firewall, wie die USG es sein möchte, natürlich explizit konfiguriert, respektive zugelassen werden müsste. Aber das wäre dann schon wieder ein bisschen Murks ;-) Aber vielleicht bietet USG auch Reverse-Proxy Funktionen, das wäre angebrachter. Das soll ja bei den neueren MS-Firmwares wieder sauber funktionieren.

[svethi]

Also ich würde sagen, da muss erst der Nippel durch die Lasche gezogen werden rotfl. Viel Spass noch.