VPN Verbindung mit Centro Business 2.0

OliBue

Hallo zusammen

Ich versuche den Router im Geschäft mit VPN einzurichten. Kann mir jemand sagen, mit welcher Software ich per VPN durch den Centro Business 2.0 auf den Server im Geschäft zugreifen kann.

Weiter sollte ich eine VPN Verbindung von zwei Netzwerken herstellen. Leider auch ohne Erfolg. Es ist zwingend nötig, dass ich mit meinem Gerät im Netzwerk des Kunden via VPN bin. Was für Geräte muss ich benutzen. Bei uns im Büro ist es der Centro Business 2.0. was muss ich auf der Gegenstellen verwenden, damit dies funktioniert.

Wie müssen die Einstellungen vorgenommen werden?

Danke für eure Hilfe.

Gruss Oli

Tux0ne

Also im Normallfall setzen IT Dienstleister auf eine Firewall welche sie beim Kunden installieren und greifen so via VPN zu...

Der Centro Business tut mal da erstmals nichts zur Sache.

Der Centro Business kann ein Site to Site VPN, aber ich denke das wird hier nicht nicht benötigt und wird allenfalls besser mit einer Firewalllösung implementiert.

Was du dazu brauchs:

Einen VPN Server (IPsec od. OpenVPN) zB. auf einer Firewall oder Server

Einen Client mit VPN Software (IPsec oder Openvpn) oder

nochmals einen VPN Server ein Site to Site VPN

Eine Empfehlung gebe ich da nicht. Giubt ja verschiedene Lösungen.

Fertige von Zyxel, Fortigate, ubiquiti usw.

Offene von pfSense usw.

OliBue

Vielen Dank

Wenn ich eine Firewall verwende (z.B. Zywall USG20) muss ich dann den Swisscom Router als Bridge schalten.

Falls ja, was geschiet mit den Telefonen und dem Swisscom TV

Kann ich bei allen Routern eine Firewall verwenden?

Gruss Oli

Tux0ne

Du musst den Router nicht zwingend in den Bridge Mode schalten.

Diesen gibt es beim Centro Business eh nicht mehr.

Es gibt Modi wie pppoe Passthrough, dmz usw, welche ab mind. 1 fixen IPv4 (ab 10.- zusätzlich) möglich sind.

Damit kann man IPv4 bezogenen Probleme wie gewohnt umgehen.

Mit IPv6 und zB. PD ist so oder so alles besser. Aber da scheint man noch nicht so weit zu sein.

Du kannst die Zywall hinter einem Router betreiben. Die DDNS Konfig muss angepasst werden:

https://community.swisscom.ch/t5/Diskussionen-zu-Swisscom/%C3%96ffentliche-IP-weiterleiten-an-Firewall/m-p/476411#M47861

Auch die VPN Konfiguration muss wegen dem NAT angepasst werden. Ist aber auch möglich.

OliBue

Vielen Dank

Ich habe da noch Fargen zu diesem Thema bevor ich mir einen zweiten Anschluss bestelle um dies intern zu testen. Der Kunde ist 60 KM weit entfernt und ich sollte da beim ersten Mal mit einer funktionierenden Lösung ankommen.

Situation 1: Zugriff auf alle Clients im Geschäft.

Im Geschäft (feste IP Adresse) eine USG20 installieren. Centro Business auf Passthrough stellen und USG20 an Port 1 anschliessen. Welche IP Adresse braucht der Centro Business intern?

Funktioniert anschliessend die Verbindung von jedem PC oder Notebook mit der "Zywall IPSEC VPN Client" (Lizenzen schon vorhanden) Software?

Ist das richtig?

Situation 2: Zugriff bei Kunden direkt aus den Netzwerk im Geschäft

Im Geschäft die gleiche Konfiguration wie oben. Beim Kunden (dyndns) auch einen USG20 installieren. Swisscom Router auch auf Passthrough stellen. Anschliessend sollten die Zwei Geräte einen VPN Tunnel aufbauen. Welchen Swisscom Router soll beim Kunden eingesetzt werden?

Vielen Dank für Eure Hilfe

Tux0ne

@OliBue schrieb:

Vielen Dank

Ich habe da noch Fargen zu diesem Thema bevor ich mir einen zweiten Anschluss bestelle um dies intern zu testen. Der Kunde ist 60 KM weit entfernt und ich sollte da beim ersten Mal mit einer funktionierenden Lösung ankommen.

Situation 1: Zugriff auf alle Clients im Geschäft.

Im Geschäft (feste IP Adresse) eine USG20 installieren. Centro Business auf PPPoE Passthrough stellen und USG20 an Port 1 anschliessen. Welche IP Adresse braucht der Centro Business intern? Kann sogar seine Standard IP 192.168.1.1 behalten, weil man damit Netze tatsächlich trennt: http://documents.swisscom.com/product/1000260-Connectivity_Geraete_/Documents/Spezifikationen/Centro_Business2_PPPoE_Passthrough-de.pdf

Funktioniert anschliessend die Verbindung von jedem PC oder Notebook mit der "Zywall IPSEC VPN Client" (Lizenzen schon vorhanden) Software?

Ist das richtig?

Ja könnte man machen

Situation 2: Zugriff bei Kunden direkt aus den Netzwerk im Geschäft

Im Geschäft die gleiche Konfiguration wie oben. Beim Kunden (dyndns) auch einen USG20 installieren. Swisscom Router auch auf Passthrough stellen. Anschliessend sollten die Zwei Geräte einen VPN Tunnel aufbauen. Welchen Swisscom Router soll beim Kunden eingesetzt werden?

Ja alo da lehnt man sich jetzt ein bisschen weit aus dem Fenster.

1. Das wäre eine Site to Site Konfiguration zwischen Firewall im Geschäft und Firewall zum Kunden. Also das ist eher ungewöhnlich und wird eigentlich für Niderlassungen oä. verwendet und nicht für Kundenwartungen.

Wäre ein VPN Server wie im Geschäft wo man sich mittels Client darauf einwählt.

3. Wenn du aber IPsec einsetzen möchtest, so würde ich nie behaupten das dies mit jedem Router funktioniert. Habe auch keine Übersicht wo dies im NAT Modus bei den Swisscom Routern geht und wo nicht. Alternative dazu wäre eigentlich ein SSL VPN. Das würde ich in vielen Fällen erfolgsversprechender finden.

https://www.youtube.com/watch?v=SXHg_ivu6zc

Dann sehe ich eigentlich mit keinem Router und auch mit der dynamischen öffentlichen IP kein Problem (so lange diese nicht aus dem CGNAT ist 😉 )

Vielen Dank für Eure Hilfe

OliBue

Vielen Dank

Situation 2 lasse ich mal links liegen.

Bei Situation 1 habe ich noch eine Frage.

Im CB Router kann ich nur IP Passthrough aktivieren. PPPoE ist durch die Backup Internet Verbindung gesperrt.

Geht es auch mit IP Passthrough

Gruss Oli

Tux0ne

Leider steht die Backup Funktion bei PPPoE Passthrough nicht zur Verfügung.

Gut würde in diesem Modus auch nicht viel bringen.

Du musst prüfen ob es aich im IP Passthrough Mode geht. Grundsätzlich steht dem nichts im Wege. (IP Passthrough ist ein NAT Default Mode auf eine Private IP in einem anderen vorgegebenen Subnet (nix öffentliche IP Passthrough!!!)) http://documents.swisscom.com/product/1000260-Connectivity_Geraete_/Documents/Spezifikationen/Centro_Business_IP_Passthrough-de.pdf

Sonst als Alternative SSL VPN benutzen oder auf Internet Backup verzichten. Hoffe ja nicht das deine Leitung monatlich ausfällt.

Bei einem Ausfall müsste man den Router halt wieder in den normalen Modus setzen und das Netzwerk etwas anpassen.

Als Alternative wenn Internet backup wichtig ist, weitere zusätzliche 10.- zahlen, dann hast du ein IP Subnet (mind IPv4 /30). Dann kannst du den DMZ Mode schalten. Erhälst auf der Firewall eine fixe öffentliche IPv4 und die zweite öffentliche IPv4 (Router) ist für den Swisscom Router. Dieser kann dann bei einem Accessausfall auf das Internet Backup switchen. Wobei ich glaube auch da käme man im Notfall auch nicht um eine Anpassung am Netzwerk vorbei...

http://documents.swisscom.com/product/1000260-Connectivity_Geraete_/Documents/Spezifikationen/Centro_Business_Mail_Webserver_SecurityGateway_in_der_DMZ_betreiben-de.pdf

OliBue

Vielen Dank.

Ich habe mich für die DMZ Variante entschieden. Somit hat auch der CB eine IP Adresse.

Gruss Oli