Zugriff auf Netzwerk-Share über Peer-to-Peer VPN

wene37

Ich habe zwei Filialen mit jeweils einem Centro Business 2 Router, welche ich per Peer-To-Peer VPN verbunden habe. Bei beiden Routern zeigt es mir die VPN Verbindung mit Status Grün an. Der Tunnel ist also offen und aktiv. Ich habe die Einrichtung ebenfalls gemäss dem Post unter https://community.swisscom.ch/t5/Archiv-Internet/Site-to-Site-VPN-zwischen-zwei-Centro-Business/td-p/480167 durchgeführt.

Ich möchte nun von einem Windows-PC der Filiale 1 auf einen Netzwerk-Share eines NAS (oder eines Windows-PCs) in Filiale 2 zugreifen. Im Windows zeigt es mir aber nur die Geräte aus dem lokalen Netz an und auch per IP-Adresse kann ich nicht auf den Share zugreifen. Was muss ich da noch einstellen, dass der Zugriff funktioniert? Ich dachte schon an Firewall, Netzwerk-Arbeitsgruppe usw. Aber konnte nichts finden. Wahrscheinlich ist es was offensichtliches, was ich übersehe.

Vielen Dank für jegliche Tipps!

PowerMac

Zweimal Grün beim VPN klingt vielversprechend, aber erst einmal würde ich das auch noch von den Endgeräten aus verifizieren. Also in der Kommandozeile eines Computers an Standort A die IP-Adresse eines anderen Computers oder Druckers/Webcam/NAS etc. an Standort B anpingen (Befehl “ping 192.168.xx.yy”). Wenn das geht, kannst du das VPN als Ursache schon mal ausschliessen.

Kommst du via VPN auf das Webinterface des NAS?

Und wie hast du per IP-Adresse zuzugreifen versucht? Im Windows-Explorer musst du dazu in der Adresszeile "\192.168.xx.yy\ eingeben. Die Netzwerkumgebungs-Funktion von Windows zeigt nur Geräte im selben Netzwerksegment an und ist für deinen Anwendungsfall nicht wirklich zu gebrauchen.

wene37

Danke für die rasche Antwort. Ein Ping habe ich schon probiert, liefert mir aber von Standort A und Standort B aus keine Antwort. Das mit dem Webinterface vom NAS ist aber eine gute Idee. Das habe ich noch nicht probiert.

Den Zugriff auf den Share habe ich wie von dir beschrieben im Windows-Explorer mittels \IP-Adresse\hare-Name probiert. Das klappt eben leider noch nicht vom Standort A aus. Vom Standort B aus funktioniert es ohne Probleme.

FlySmurf

Du hast aber schon 2 verschiedene Subnetze bei beiden Standorten?

PowerMac

@wene37 schrieb:

Danke für die rasche Antwort. Ein Ping habe ich schon probiert, liefert mir aber von Standort A und Standort B aus keine Antwort. Das mit dem Webinterface vom NAS ist aber eine gute Idee. Das habe ich noch nicht probiert.

Wenn keine Pings durchkommen, ist etwas mit dem Routing faul, und dann wird auch alles andere nicht gehen. Wie @FlySmurf schrieb müssen sich die IP-Adressbereiche der beiden Filialnetze unterscheiden, also z.B. am einen Standort 192.168.32.xx und am anderen Standort 192.168.33.xx. Als Ping-Ziel nimmst du am besten das NAS oder den Router, Endusergeräte antworten je nach Firewalleinstellung nicht immer auf Pings.

Dani CH

Tailscale · Best VPN Service for Secure Networks

Installiere Tailscale auf dem Synology, Tailscale auf Deinen PCs. Fertig.

Mein Notebook hab ich immer unterwegs und komme überall auf mein Synology drauf ohne irgendwelche Umbiegungen 😀

Viel Erfolg!

Werner

@Dani CH

Na ja, privat mag ja Tailscale eine der möglichen Lösungen sein, aber für Filialstandorte im Business mit einem echten und auch vollständig selbst kontrollierbaren Site-to-Site VPN-Bedürfnis würde ich das jetzt niemandem wirklich ernsthaft empfehlen wollen.

Dani CH

Hast Du überhaupt die Webseite von Tailscale angeschaut? Es gibt auch Firmenlösungen von denen!

Werner

@Dani CH

Die Centro Business Router sind von der Swisscom unter anderem speziell dafür konzipiert worden um zwischen mehreren Filialstandorten eine transparente Site-to-Site VPN-Verbindung aufzubauen.

Gäbe es nun tatsächlich eine Notwendigkeit für genau diesen Zweck auf einer Centro Business Infrastruktur irgendeine Zusatzsoftware eines Dritten einzusetzen, wäre dies klar ein Fehler in der Firmware der Centro Business Router, auf welchen die Swisscom dann auch reagieren müsste.

Site-to-Site VPN ist einer der Hauptgründe um im Business-Bereich überhaupt einen Centro Business Router einzusetzen, denn mit den Swisscom Internetboxen, welche ja im Small Business teilweise ebenfalls eingesetzt werden, funktioniert das Swisscom-unterstützte Site-to-Site nämlich gar nicht.

wene37

Danke für die Tipps und Beiträgen zu anderen Lösungen. Ich bin aktuell auch der Meinung, dass ein Site-to-Site VPN die beste Lösung für meine Situation ist. Ich werde da weiter testen. Leider bin ich aktuell nicht vor Ort und habe keinen Remote-Zugriff. Aber sobald ich weiter testen konnte, melde ich mich wieder.

Ja, die zwei Netze haben unterschiedliche IP-Ranges (192.168.32.xx und 192.168.240.xx). Ist historisch so voreingestellt, aber passt ja gerade.

wene37

Ich habe nun weitere Tests gemacht. Vom Standort A aus kann ich das NAS am Standort A einwandfrei pingen und auch per Browser auf die Admin-Oberfläche verbinden. Das NAS vom Standort B kann ich aber weder pingen (keine Antwort) und auch per Browser kann ich nicht auf die Admin-Oberfläche verbinden.

Somit ist die Verbindung wohl doch nicht so grün. Hier noch ein ScreenShot vom Standort A, wo man sieht das der Standort B grün verbunden ist. Beim Standort B sieht es genau gleich aus, halt mit den Angaben von Standort A.

r00t

Hi @wene37

Ist der Default Gateway auf NAS B korrekt gesetzt?

r00t

wene37

Sorry für die späte Rückmeldung. Ferienabwesenheiten…

Ja, das wäre eigentlich alles korrekt gesetzt. Es ist wirklich etwas verzwickt. Ich hätte nun gerne eigentlich noch getestet, ob es an der Firewall der beiden Router liegt. Allenfalls muss man diese noch öffnen. Leider wurde aber entschieden, dass man das nicht weiter verfolgen will, daher kann ich es nun leider nicht mehr weiter testen.

Falls mal jemand dasselbe Problem hat und eine Lösung findet, bin ich trotzdem sehr interessiert. Denke diesen Fall werde ich wieder einmal haben.

NilsL

Macht der CB NAT zwischen den zwei subnets?

Hatte mal was ähnliches mit zwei MikroTik Router und was das Problem am Ende löste war eine Masquerade-Regel welche allen traffic der durch den VPN ankommt NATed

Interessanterweise war das nur bei einem TrueNAS nötig, die Synology NAS gehen auch ohne die Masquerade-Regel

Ohne die Regel ging beim TrueNAS weder Ping noch sonst was, es lehnte alle Verbindungen ab weil die aus Sicht TrueNAS von einem anderen Subnet kamen (was ohne die Regel ja auch der Fall war)

Das ganze war nur eine Temporäre Lösung (während einer komplexen AD Migration), mittlerweile ist kein TrueNAS mehr in Betrieb sondern ein Windows Server 2022 und der geht ohne die Masquerade-Regel