Hallo zusammen Ich versuche es mal hier. Es ist so das ich geografisch von meinem Mutterhaus einige Kilometer entfernt bin. Somit haben wir uns entschlossen ein 100% Home Office für mich zu betreiben. Zu Hause möchte ich Private auf alle Swisscom Produkte nicht verzichten müssen. So habe ich TV, Internet und VOIP Telefon von Swisscom im Einsatz. Damit ich Sachen ins Geschäft scannen kann oder die Telefonanlage vom Geschäft bei mir zu Hause nutzen kann, haben wir ein IPSec VPN zwischen meiner ZyWall und der Firmen ZyWall eingerichtet. Dies funktioniert soweit auch ganz gut, so lange ich den Privaten Centro Grande von Swisscom einsetze. Auf diesem kann nähmlich das IP Passthrough aktiviert werden. Jetzt ist es aber so, dass ich neu einen Glasanschluss habe. Der Private Centro Grande hat aber ein Glasinterface welches nicht die gewünschte Leistung erbringen kann. Die Internet Box von Swisscom hat kein IP Passthrough sondern nur noch ein Port Passtrough. Das selbe gilt auch für den Centro Grande Business. Somit habe ich nur die Möglichkeit meine Infrastruktur mit dem Privaten Centro Grande zu betreiben und nur 50% der Leistung zu bekommen. Kann mir allenfalls hier noch jemand weiterhelfen? Ich habe es schon an allen Stellen bei der Swisscom versucht. Auch die MySwisscom Typen haben keine Lösung für mich. Neu gibt es ja das Business Abo wo ich auch TV haben kann. Kann ich auf diesen Geräten ein IP Passtrough machen? Besten Dank für eure Unterstützung. Gruss AJ

Mit einem Cisco VPN-Lösung oder einem Citrix VDI bist Du unabhängig vom Netzwerk d.h. Du kannst Dich in jedem LAN / WLAN ins Firmennetz verbinden. Das ist sicher die bessere Lösung als eine fixe VPN-Lösung zwischen dem Firmennetz und dem Heimnetz. Allerdings sind die genannten Profilösungen teurer und aufwändiger im Einrichten und dem Betrieb.

Stell auf beide Seiten ein IP-Fire mit Alix-Boxen.

Auch damit ist man ortsgebunden, indem man lediglich das Heimnetz mit dem Office verbindet. Eine nicht mehr zeitgemässe Lösung. Der modernere Ansatz ist eine gesicherte Verbindung aller Endgerät mit dem Office d.h. für die genannten Lösungen (Cisco, Citrix,..) gibt es auch Mobile Clients. Durch den Virtual Desktop ist man zudem geräteunabhängig und alle Daten liegen auf dem Server in der Firma und nicht auf dem Diebstahl gefärdeten Client.

Ich sehe ein Site to Site VPN eigentlich nicht als veraltet an, es ist in diesem Fall eine praktikable Lösung. Es schliesst ja die zusätzliche Roadwarrior Konfiguration nicht aus. Anyway ich möchte dem OP mögliche Lösungen aufzeigen. Deine Problematik ist vermutlich die DDNS Auflösung der Firewall oder allenfalls ein Problem mit der IPSEC Verbindung? * DMZ Funktion der Internet Box benutzen und DDNS Auflösung auf einem Client benutzen oder die der Internet Box selber. Nachteil Double Nat. Ob das Zywall Site to Site VPN so funktioniert ist mir nicht bekannt. Vorteil. Produktesegment kann beibehalten werden. * Austausch der Zywall mit einem Produkt wie IPFire. Damit ist fast alles möglich. Tönt lapidar, ist aber tatsächlich so. Somit kann damit auch notfalls eine Internet Box als CPE agieren. * IP Passthrough mit Centro Business. Ähnlich zur Version 1, also keine echte öffentliche IP auf WAN Interface: [http://documents.swisscom.com/product/1000260-Connectivity\_Geraete\_/Documents/Spezifikationen/Centro\_Business\_IP\_Passthrough-de.pdf?idxme=pex-search](http://documents.swisscom.com/product/1000260-Connectivity_Geraete_/Documents/Spezifikationen/Centro_Business_IP_Passthrough-de.pdf?idxme=pex-search ) * Wechsel auf my KMU Office mit 1 fixer IP. Konfiguration des PPPoE Passthrough * Wechel auf my KMU Office mit 4 IP und Subnet. Nutzung des Public DMZ Pools. Für den Endkunden sicher einfacher wäre ein echter IP Passthrough wie beim Centro ADB. Dies möchte man aber scheinbar nicht mehr. Kommt noch hinzu, dass die Privatkundenanschlüsse keine Grantie auf eine echte öffentliche IPv4 haben. Dies bedeutet, dass zB. CGNAT eingesetzt wird. Vorerst könnte man dies zwar noch deaktivieren lassen. Längerfristig würde ich mir da aber so oder so Gedanken machen.

Besten Dank für deine Antwort, es ist schon eine Citrix Lösung im Einsatz (XenApp). Wie bringe ich aber die Scans von einer externen Lokation in die XenApp umgebung? Hierzu benötige ich aus meiner Sicht das VPN. Weiter steht in der Hauptlokation ein Telefonserver. Das GUI bediene ich auch in der Session. Das Telefon benötigt aber das VPN damit ich mit dem Handapperat telefonieren kann. Ansonsten muss ich immer eine aktive Session haben. Gruss und Danke AJ

Entschuldige, aber einfach Produkte auswechseln ist für mich keine Lösung. Es sind diverse Personen so an die Firmenzywall angeschlossen. Also kann man hier nicht einfach die Produkte ersetzen. Save the earth... Danke und Gruss AJ

Genau dies habe ich auch schon versucht das IP Passthrough so ein zurichten. Leider ist das 172. Netz ja nicht routbar. Wie kann ich so also ein VPN mit der Gegenstelle aufbauen? Besten Dank für deine Bemühungen. Gruss AJ

@Anonym: Genau dies habe ich auch schon versucht das IP Passthrough so ein zurichten. Leider ist das 172. Netz ja nicht routbar. Wie kann ich so also ein VPN mit der Gegenstelle aufbauen? Besten Dank für deine Bemühungen. Gruss AJ

Der Centro Business macht das Routing auf die öffentliche IP. Du baust das VPN also natürlich über die öffentlichen IP's auf. Wie gesagt, dabei handelt es sich auch um ein Double Nat und es ist fraglich ob die Zywalls damit umgehen können. Von Swisscom konnte mit auch noch keiner den effektiven Mehrwert dieser variante gegenüber einfachen Portworwardings (All ausgn. CWMP) erklären. Da du aber schon einen Versuch gestartet hast, gehe ich davon aus, dass du die Geräte so schon hast. Also versuch es doch mal.

Home Office, VPN ins Firmennetzwerk

Tux0ne

Um was für eine Art VPN handelt es sich welches du aufbauen möchtest?

Wie sehen die Portweiterleitungen aus?

Bist du nicht auf CGNAT geschaltet?

a.jaeger72

Wer von euch kennt den die PPPoE angaben als private Kunde von der Swisscom? Ich wollte diese anfragen, haben aber von der Swisscom nie eine Antwort erhalten. Somit funktioniert es halt leider auch nicht. Weiss jemand wie man zu diesen Angaben kommt? Gruss AJ

Tux0ne

Welches Kundensegment du hast spielt keine Rolle. Wichtig ist das Produkt welches du verwendest.

Im Falle von Vivo gibt es kein PPPoE. Das läuft über DHCP mit DHCP Option 60 und bei Fiber zusätzlich über die VLAN ID 10.

a.jaeger72

@Tux0ne: Hallo und guten Tag TuxOne, danke für deine super schnelle Antwort. Ich habe das folgende Produkt (https://www.swisscom.ch/de/privatkunden/kombi-angebote/angebote/vivo-m.html)) von der Swisscom. Somit kann ich gar kein PPPoE machen? Wie bringe ich den die offizielle IP von Swisscom (kann auch via DynDNS sein) auf den WAN Port meiner ZyWall? Es ändert sich ja nichts ob ich eine fixe oder eine DynDNS IP habe, oder? Sorry aber ich habe irgendwie einen Knopf und verstehe das ganze Zusammenspiel bei der Swisscom nicht mehr. Danke für deine Unterstützung. Gruss und en guetä AJ

Tux0ne

Kein Problem. Es ist auch etwas kompliziert. Habe mir letzhin selber ein Ei gelegt 😄

Mit diesem Produkt bekommst du mit keinem aktuellen Router die öffentliche IP auf das WAN Interface deiner Firewall.

Die Alternative wäre ein zertifiziertes Zyxel Modem welches man in den Bridge Mode schaltet.

A: Du müsstest die Swisscom TV Geschichten somit hinter deiner Zywall managen. Geht aber nicht. Das Gegenteil hat mir bis heute keiner bewiesen...

B: Falls du Swisscom Telefonie verwendest, so müsstest du eine SIP Konfiguration selbständig vornehmen. Geht eigentlich auch nicht, das Swisscom diese Zugangsdaten bis voraussichtlich Ende Jahr unter Verschluss hält.

Falls du aber weder A noch B verwendest hast du natürlich Glück.

Du hast also eine echt doofe Konstellation.

Mit deiner Zywall musst du aktuell also auf ein my KMU Office mit mind. 1 fixer IP wechseln.

Es gibt hier einer, der hat über 40 Installationen mit Zywalls und dem IP Passthrough des Centro Grande ADB gemacht und hofft nun das die Swisscom solch einen Modus in die Internet Box implementiert.

Würde ich in diesem Fall auch hoffen. Den dieser Typ ist echt am Arsch 😄

https://community.swisscom.ch/t5/myCloud-Ideenchallenge/Internetbox-Plus-Routing-M%C3%B6glichkeiten/idi-p/420381

Apfelbiss

Ich habe das gleich Problem mit meiner SonicWall 😞
Auch mit Vivo-M und IB-Plus
(Authentication Methode: IKE using Preshared Secret)

Die VPN verbindung funzt nur noch von innen nach aussen.

Tux0ne

Dann müsst ihr das als Bug melden. Selbst wenn ich wollte kann ich das nicht testen. An meinem Dual Session Internet Anschluss von Swisscom laufen diese Dinger nicht.

GianniBern

Hallo a.jaeger72

Also, ich hab bei mir zu Hause genau diese Konstellation und die Funktioniert auch mit der IB einwandfrei! OK, mann muss das ganze etwas umkonfigurieren, aber wenn Du das mit dem Centro Grande schon am laufen hattest, ist das eigentlich nur noch eine Einstellung die Du setzen musst, dann sollte das ganze einwandfrei funktionieren...

Aber um Dir im Detail helen zu können, bräuchte es etwas mehr angaben wie das konfiguriert ist.

Gruess

Gianni

a.jaeger72

@Tux0ne: Und wem müssen wir diesen Bug melden? Es will ja niemand was wissen bei der Swisscom. Hast du da eine Ansprechperson?

a.jaeger72

Hallo Cianni, was musst du den von mir alles wissen? Ich habe eine ZyWall im Geschäft und eine ZyWall zu Hause. Mit dieser ZyWall muss ich ein side-2-side VPN ins Geschäft aufbauen können. Zur Zeit mach ich das auf einem Centro Grande und der Funktion IP-Passthrough. So bekomme ich auf dem WAN Port der ZyWall die öffentliche IP der Swisscom. Natürlich ist dahinter noch etwas DynDNS im Spiel damit die öffentliche IP immer automatisch angepasst wird. Reichen dir diese Angaben oder musst du noch mehr wissen? Ich habe auch eine IB ich kann diese ohne Probleme anschliessen und konfigurieren. Gruss und Danke AJ

Tux0ne

Also einen Bug sollte man auch nur melden wenn es wirklich einer ist.
Bei der Zywall gäbe es ja noch den Punkt Nat traversal...
Bei der NSA findet sich sicher auch ein Log.

Mann muss wissen wo ansetzten. Geht nicht gibts nicht. Es hat immer einen Grund 🙂

andiroid

@Tux0ne schrieb:

Du hast also eine echt doofe Konstellation.

Mit deiner Zywall musst du aktuell also auf ein my KMU Office mit mind. 1 fixer IP wechseln.

Es gibt hier einer, der hat über 40 Installationen mit Zywalls und dem IP Passthrough des Centro Grande ADB gemacht und hofft nun das die Swisscom solch einen Modus in die Internet Box implementiert.

Würde ich in diesem Fall auch hoffen. Den dieser Typ ist echt am Arsch 😄

Ist es ungerechtigt vereinfacht, wenn ich sage, dass die freie Routerwahl dieses Problem eigentlich lösen würde? Wenn ich das richtig gelesen / verstanden habe, gibt es bei CGNAT ja ein Opt-out verfahren und Dyndns eine Möglichkeit? Zumindest für den Privatbastler, welcher mal über VPN auf den heimischen NAS zugreifen möchte?

GianniBern

Hi AJ

Also, wenn Du die IB anhängst, bekommt die ZyWALL ja eine "interne" IP z.B. 192.168.1.45.

D.h. DEIN Internes Netz hinter der ZyWALL muss dann z.B. im Range 192.168.2.x sein ( darf NICHT der selbe Range wie der Range der IB sein).

Weiter muss die VPN Konfig so angepasst werden, dass die Verbindung nur von der ZyWALL hinter der IB aufgebaut wird. Alle anderen Einstellung der IPsec VPN Konfiguration kannst Du so belassen.

Wie gesagt, ich arbeite seit nunmehr 8 Monate so und das ganze läuft eigentlich SEHR Stabil. Voraussetzung: beide ZyWalls müssen mit der aktuellsten Firmware ausgestattet sein.

Gruess

Gianni

Apfelbiss

Ich habe für mich eine Lösung gefunden!

An der Internet-Box Plus folgendes einstellen:
1. DMZ-Funktion aktiviert für 192.168.1.101 (meine SonicWall am Ethernet Port1)
2. Portweiterleitung erlauben = off
3. DynDNS konfigurieren
4. bei IPv6 Firewall Grundverhalten für Datenverkehr: Ein- und Ausgehend erlauben
5. keine Regeln aktivieren

an der SonicWall habe ich folgende Einstellungen geändert.
1. IKE (Phase 1) Proposals: Aggressive Mode
2. Policy Type: Site to Site
3. Local IKE ID: Firewall Identifier (vorher war es auf IPv4 Address)
4. Peer IKE ID: Firewall Identifier (vorher war es auf IPv4 Address)

Ich habe in einem US Forum gelesen, dass einige Firewalls mit der WAN IP 192.168.1.1 Probleme haben.
Da die Internet-Box der Swisscom die WAN IP nicht mehr weiterleitet, macht es Sinn bei der IKE Authentication den Firewall Identifier anzugeben.

und Freude herrscht, bei mir funktioniert jetzt alles.

have fun

Tux0ne

Die goldene Regel bei VPN lautet schon, verwende keine Standardnetze.

Damit erspart man sich einfach viel viel Ärger. Es handelt es sich also nicht um einen Bug, sondern um ein Designproblem.

Solche VPN Basics sollte man schon im Griff haben: https://community.swisscom.ch/t5/Diskussionen-%C3%BCber-Ger%C3%A4te-und/Internet-Box-kann-quot-Applikationsteil-IP-Adresse-quot-nicht/td-p/396558

Erst wenn dies scheitert, kann man überhaupt mal anfangen über die höheren Protokolle zu sprechen.

@andiroid schrieb:

@Tux0ne schrieb:

Du hast also eine echt doofe Konstellation.

Mit deiner Zywall musst du aktuell also auf ein my KMU Office mit mind. 1 fixer IP wechseln.

Es gibt hier einer, der hat über 40 Installationen mit Zywalls und dem IP Passthrough des Centro Grande ADB gemacht und hofft nun das die Swisscom solch einen Modus in die Internet Box implementiert.

Würde ich in diesem Fall auch hoffen. Den dieser Typ ist echt am Arsch 😄

Ist es ungerechtigt vereinfacht, wenn ich sage, dass die freie Routerwahl dieses Problem eigentlich lösen würde? Freie Routerwahl heilt alles 🙂 Wenn ich das richtig gelesen / verstanden habe, gibt es bei CGNAT ja ein Opt-out verfahren und Dyndns eine Möglichkeit? Zumindest für den Privatbastler, welcher mal über VPN auf den heimischen NAS zugreifen möchte? Nein du verwechselst da was. In diesem Thread geht es um das Problem, dass mit den neuen Router bei Privatkundenabos die öffentliche IP nicht auf dem WAN Interface eines nachgeschalteten Netzelementes abgebildet werden kann. Dies würde manche Dinge vereinfachen, hauptsächlich weil man damit weniger Netze und Fehlerquellen dazwischen hat. (Weitere Probleme welche durch doppeltes NAT oder aller Routersoftware entstehen können mal ausgenommen)

CGNAT ist eine Variante um mit den knappen IPv4 Ressourcen umzugehen. Bei Swisscom geht man davon aus, dass in einigen Jahren 20% aller Kunden über CGNAT (IPv4) angeschlossen sein müssen. Dann wird es keinen opt out mehr geben.

Was dies anbelangt bin ich die falsche Anprechperson.

Aber wir können irgendwann mal in einem anderen Thread über die verschiedenen Opt Out Möglichkeiten sprechen welcher ein Kunde hat 😉 Das wird sicher lustig. hihi

Gemäss Umfragen vertrauen Kunden zB. Suchmaschinenanbieter mehr als dem eigenen ISP aber noch weniger den Socialen Netzwerken, was den Umgang mit Daten anbelangt... tbc

andiroid

Danke @Tux0ne für die fachmännische Antwort auf eine unfachmännische Frage. Äxgüsi auch allen anderen, dass ich da Äpfel und Birnen durcheinander gebracht habe. Werde das Thema CGNAT in einem eigenen Themenfaden zu einem späteren Zeitpunkt noch einmal aufgreifen.

😉

a.jaeger72

Hallo Gianni, genau so ist es bei mir konfiguriert. Ich habe ein Swisscom (ich nenne es mal TV und Tel Netz) 192. 168.1.xxx 255.255.255.0 und beid er ZyWall für meine PC usw ein (ich nenne es mal ZyWall Netz) mit einer 192.168.17.xxx 255.255.255.0. Das VPN wird nur von der ZyWall aufgebaut. Was muss ich den nun bei der ZyWall umkonfigurieren, damit das VPN funktioniert? Ich verstehe es leider nicht, sorry Gianni. Gruss AJ
PS: War ein paar Tage weg und hatte somit nichts gelesen.

a.jaeger72

Hallo Gianni, wie kann ich dich den erreichen? Gib es die Möglichkeit von einem Tel? Du erreichst mich unter 079 355 82 12. Gruss AJ

GianniBern

Hi AJ

Sende mir doch mal ein PR von der VPN Konfig via PN.... dann kann ich Dir sagen, was da geändert werden muss....

Gruess

Gianni

a.jaeger72

Man und schon wieder bin ich da überfordert. Was meinst du mit PR? Gruss Andy

« Page précédente Page suivante »