VPN Zugriff auf Miniserver - Externen Zugriff aktivieren erforderlich

[h.hogger]

Hallo Zusammen,

ich hätte eine Frage zum externen Zugriff auf den Miniserver via VPN-Tunnel.
Der Miniserver (Gen.1) läuft bei mir in einem separaten Netzwerk hinter einer pfSense Hardwarefirewall. Das Netzwerk ist komplett getrennt vom restlichen Hausnetzwerk.
Ich möchte nun einen VPN-Zugang auf den Miniserver einrichten.
Die Frage die sich mir nun stellt ist, ob ich in der Loxone Config, beim Punkt "Miniserver konfigurieren", mit einem VPN Zugang eigentlich den externen Zugriff freigeben muss?
Ich verwende für den VPN Zugang einen DynDNS auf meiner pfSense.
Allerdings möchte ich wenn möglich, von außen am liebsten nur mit der App und nicht mit der Loxone Config zugreifen können.
Diesen Haken könnte man ja beim externen Zugriff wegnehmen.
Nach meinem Verständnis brauche ich den externen Zugriff aber beim VPN Tunnel nicht. Liege ich da richtig.

Wäre super, wenn mir jemand die Frage beantworten könnte.

Gruß Hans

[Iksi]

Ja bei VPN brauchst du den externen Zugriff nicht. Wenn du den VPN Tunnel aufgebaut hast bist du ja quasi nicht mehr extern..
.

[h.hogger]

Hallo,

danke für die Info.
Gibt es eigentlich irgendeine Möglichkeit beim VPN Zugang den Zugriff auf die Loxone Config zu unterbinden?
So dass dies nur aus dem Heimnetzwerk möglich ist?

Gruß Hans

[Jan W.]

Wenn du den VPN Tunnel aufgebaut hast bist du ja quasi nicht mehr extern..

Hier muss man unterscheiden, welche IP-Adressen die VPN User bekommen: sind diese die IP-Adressen aus dem lokalen LAN, in dem sich auch der MS befindet, dann ist die Aussage richtig. Wenn jedoch im LAN unterschiedliche VLANs / IP-Subnetze verwendet werden oder die VPN User einen eigenen IP-Pool (eigenes IP-Subnetz) haben, der nicht aus dem LAN herausgeschnitten wurde, dann sieht der MS dies als Remote-Zugriff an.

Die Logik im MS lautet: Wenn die IP-Adresse des Clients nicht aus dem lokalen IP-Subnetz des MS kommt (die Subnetz-Maske gibt hierbei an, was der Netzwerkanteil ist und der muss bei beiden IP-Adressen gleich sein), dann zählt der Zugriff als Remote. Der Zugriff muss dann im MS explizit freigeschaltet werden. Auf dem MS kann man die Logik nicht ändern oder eine Zugriffliste etc. hinterlegen. In besseren Firewalls kann man jedoch FW-Regeln definieren, die genau so etwas machen. Mit einer pfSense sollte so etwas gehen. Hier wäre aber ein pfSense Forum empfehlenswerter, da nur ein Bruchteil der User hier Loxone Forum so eine FW haben und davon nicht jeder ein FW-Experte ist.

[inswe]

Der Threadersteller schrieb, dass er den Miniserver hinter einem Gateway, getrennt vom restlichen Netz, betreibt. Somit scheint sich der MS auch ohne VPN schon in einem separaten Subnetz zu befinden. Also dürfte auch für den Zugriff von "internen" Clients der externe Zugriff notwendig sein, da sich die Clients nicht im gleichen Subnetz befinden.

Deaktiviert er also irgendwas externes am MS, schließt er somit auch die restlichen Clients im Haus aus.

[svethi]

Das ist auf der einen Seite richtig, auf der anderen Seite fragte er ja aber auch explizit nach seiner VPN Verbindung und da hat Jan W. Recht. Wenn er über seinen VPN Server keine IP Adresse aus dem Subnetz des MS bekommt, dann ist auch diese Verbindung als extern zu sehen.

[h.hogger]

Hallo Zusammen,

der externe Zugriff ist nicht notwendig. Über den VPN Tunnel wähle ich mich in mein lokale Netzwerk ein. Ich baue mir eine VPN Tunnel für einen selbst definierten Port an den Miniserver auf. Funktionierst soweit ganz gut. Es befindet sich alles hinter einer PfSense mit entsprechend erstellten Firewall Regeln.

Gruß Hans