Zwei VPN-Server im gleichen Netz?

[n0th1ng]

Hallo zusammen,

ich bin Admin in einer kleinen Firma und habe ein Problem. Die Firma verkauft Anlagen an Großkunden. In diesen Anlagen ist ein EDS14 verbaut, der mit einem LAN-Port im Kundennetz hängt, mit dem anderen im Anlagennetz. Die Anlage zeichnet während dem Betrieb Daten auf die auf dem EDS14 gespeichert werden. Der Kunde bekommt den Ordner als Netzlaufwerk um die Daten auszuwerten, der Hersteller soll Fernzugriff per VPN haben um die Anlage zu warten, updates zu installieren etc.

Ich hab das dort mit der Firmeneigenen Anlage testweise aufgebaut, klappt aber nicht so wie ich mir das vorstelle.

Ich schildere mal kurz die Ausgangssituation:
Anlagennetz: 192.168.5.x
Kundennetz: 192.168.0.x
EDS14 LAN1: 192.168.5.80
EDS14 LAN2: 192.168.0.55
DDNS: eingerichtet und Pingbar

Im Kundennetz gibt es ein RS812 mit VPN-Server (PPTP), über den sich die Mitarbeiter von unterwegs mit ihren Domänen-Konten einwählen um auf die Netzlaufwerke zu kommen. Auf dem EDS14 hab ich einen VPN-Server (L2TP) installiert. Ports sind freigegeben, Routing ins Anlagennetz funktioniert auch wenn ich mich über den PPTP-Server verbinde auch. Allerdings kann ich keine Verbindung aufbauen. Kann es denn sein dass ich die gleiche öffentliche IP nicht bei zwei DDNS-Diensten registrieren kann? Pingbar ist die Adresse.

Ziel ist im Prinzip eine autarke Lösung um Zugriff auf die Anlagen zu bekommen die in der Welt verteilt stehen und gleichzeitig eine Verbindung ins Kundennetz zu haben um die Daten aufzuzeichnen. Deshalb hab ich das mit dem EDS14 versucht. So brauchen wir vom Endkunden nur eine interne IP-Adresse und ein paar freigegebene Ports.

Ich hoffe ich hab das so erklärt dass ihr mich verstehen könnt und bedanke mich schon mal für die Hilfe

Gruß,
Ralph

 

[cp389]

Wenn ich Dich richtig verstanden habe, dann sieht die Netzwerktopologie in etwa so aus:

     Router
       |
  +----+----+   +---------+
  |         |   |         |
RS812       EDS14    Anlagennetz

Beide NAS melden sich bei einem eigenen DDNS-Dienst an, und somit ist zumindest erstmal der Router von außen erreichbar.
Das Problem ist nun (wahrscheinlich), dass die VPN-Ports im Router an die RS812 weitergeleitet werden und die EDS dann außen vor bleibt.

Die einzige Möglichkeit aus meiner Sicht wäre, dass Du für das VPN der EDS andere Ports verwendest, die in deren Router dann auf die EDS weitergeleitet werden. Voraussetzung ist jedoch, dass es bei dem eingesetzten VPN-Server möglich ist, die Ports zu ändern.

Denkt man das weiter, so ergibt sich jedoch folgendes Bild:
Da Du dich auf die EDS einwählst, bist Du automatisch auch Teil des Firmen-Netzwerkes und hast entsprechend Deiner Berechtigung auch Zugriff darauf. Demzufolge macht es auch keinen Unterschied, wenn Euch der Kunde einen VPN-Zugriff über seine RS812 gewährt. VPN-Zugriff ist ja nicht gleichbedeutend damit, dass Ihr an alle Kundendaten gelangen könnt. Diese Rechte müssen einem Nutzer ja separat eingeräumt werden.

Wir (meine Firma, ebenfalls im Schaltschrank- und Anlagenbau tätig) handhaben das bei solchen Konstellationen dann meist so, dass uns der Kunde nur bei Bedarf den VPN-Zugang freihaltet. Ohnehin mögen es die meisten Kunden nicht, wenn man ungefragt Updates einspielt.
Das ist auch für euch, rechtlich gesehen, eine ganz gute Lösung, da niemand behaupten kann, Ihr hättet irgendwas geändert, wenn plötzlich etwas nicht mehr funktioniert (selber schonmal erlebt).

BTW: Als Argument für diese Lösung kann man auch anbringen, dass man immer, wenn man wie auch immer gearteten Zugriff auf die EDS hat, über diese auch Zugriff auf das Firmennetzwerk hat, da die EDS ja ein Teil dieses Netzwerkes ist. Somit wäre es keine Verschlechterung der Sicherheit seitens des Kunden, die VPN-Verbindung über seine RS laufen zu lassen, sondern vielmehr eine Verbesserung, da er die volle Kontrolle darüber behält.

 

[n0th1ng]

Wenn ich Dich richtig verstanden habe, dann sieht die Netzwerktopologie in etwa so aus:

     Router
       |
  +----+----+   +---------+
  |         |   |         |
RS812       EDS14    Anlagennetz

Danke für deine Antwort, ja so in etwa sieht das aus. Im Prinzip hängt jede Menge im linken Bereich und ein paar Geräte im rechten.

Beide NAS melden sich bei einem eigenen DDNS-Dienst an, und somit ist zumindest erstmal der Router von außen erreichbar.
Das Problem ist nun (wahrscheinlich), dass die VPN-Ports im Router an die RS812 weitergeleitet werden und die EDS dann außen vor bleibt.

Die einzige Möglichkeit aus meiner Sicht wäre, dass Du für das VPN der EDS andere Ports verwendest, die in deren Router dann auf die EDS weitergeleitet werden. Voraussetzung ist jedoch, dass es bei dem eingesetzten VPN-Server möglich ist, die Ports zu ändern.

Nein das ist es nicht, ich habe ja einen VPN mit PPTP und einen mit IPSEC und die Ports werden jeweils an das richtige NAS weitergeleitet. Trotzdem kann ich mich aus irgendeinem Grund nicht verbinden. DDNS von EDS14 ist immer pingbar.

Mein Idee wäre noch, das mit einem UMTS-Stick o.Ä. zu realisieren. So hätte ich eine komplett autarke Leitung. Lässt sich denn über so einen Stick mit dem EDS14 eine Verbindung aufbauen?