m8ichael
Goto Top

Routing über VPN statt über öffentliche IP?

Hallo zusammen,

innerhalb unseres Vereins betreiben wir eine Intranet-Seite, auf die natürlich nur aus dem internen Netz ein Zugriff erfolgen soll (bzw. bei aktiver OpenVPN-Verbindung). Bisher waren diese Seiten unter der privaten Adresse intranet.verein.local erreichbar. Problematisch hierbei war, dass verschlüsselte Seiten (https) bei privaten Endgeräten stets zu Zertifikatsfehlern geführt haben, da die Stammzertifizierungsstelle ja zunächst als vertrauenswürdig definiert werden muss. Technisch sicherlich alles machbar, aber für den Standardanwender - trotz kommunizierter Anleitung - eher unpraktisch, insbesondere auch dann, wenn mobile Endgeräte im Spiel sind.

Wir haben daher die Intranet-Seite auf die Subdomain intranet.domain.tld umgestellt und per Let's Encrypt ein entsprechendes Zertifikat zuteilen lassen. Gleichzeitig wird per IP festgestellt, ob ein Zugriff erfolgen darf ("internes Netz") oder nicht. Dies funktioniert alles soweit. Einziges Problem besteht bei den Zugriffen per OpenVPN. Da die Subdomain intranet.domain.tld wg. LE öffentlich erreichbar sein muss, wird über die öffentliche IP geroutet, was natürlich vom Server abgelehnt wird. Der einzige von uns identifizierte Workaround besteht derzeit darin, die Verbindungsmetrik der VPN-Verbindung ggü. dem allgemeinen Netz zu verringern, damit eine entsprechende Priorisierung zu Gunsten der VPN-Verbindung erfolgt. Ist aber auch eher suboptimal...

Gibt es ggf. eine elegantere Lösung?

Viele Grüße

Michael

Content-Key: 397368

Url: https://administrator.de/contentid/397368

Ausgedruckt am: 29.03.2024 um 05:03 Uhr

Mitglied: NetzwerkDude
NetzwerkDude 07.01.2019 um 10:42:56 Uhr
Goto Top
Glaube hier würde sich ein Split-DNS anbieten, der DNS Server vom internen Netz bekommt den Eintrag:
intranet.domain.tld > IP: interneIP

Uns sofern du den OpenVPN Clients einen DNS Server mitlieferst, sollten DNS Abfragen über den VPN zum internen Netz DNS laufen, dieser löst intranet.domain.tld mit der internenIP auf, und somit wird intern geroutet und nicht öffentlich.

Hier mal auf die schnelle ein Artikel über Google gefunden zu SplitDNS:
https://www.einfaches-netzwerk.at/split-dns-fuer-ad-fs-einrichten/
Mitglied: Dani
Dani 07.01.2019 um 10:43:11 Uhr
Goto Top
Moin,
Gibt es ggf. eine elegantere Lösung?
ein (Host)route sollte dein Problem lösen.


Gruß,
Dani
Mitglied: m8ichael
m8ichael 07.01.2019 um 10:52:32 Uhr
Goto Top
Das Problem scheint dahingehend zu bestehen, dass bei den beiden Netzwerk"geräten" standardmäßig stets die "Internet"-Leitung (also nicht die OpenVPN-Leitung) priorisiert wird; insofern wird auch von dieser der DNS abfragt, der dann natürlich die öffentliche IP ausgibt. Insofern werden die bei der OpenVPN-Verbindung hinterlegten DNS überhaupt nicht gefragt.

Dies wurde wohl mit Windows 10 eingeführt (https://docs.microsoft.com/de-de/windows-server/networking/technologies/ ..).
Mitglied: m8ichael
m8ichael 07.01.2019 um 10:56:37 Uhr
Goto Top
Hi,

Zitat von @Dani:
ein (Host)route sollte dein Problem lösen.

Das habe ich noch nicht verstanden. Bei einer Host-Route müsste ich doch eine IP angeben, oder? Wie verhält sich diese mit der DNS-Auflösung?

Viele Grüße

Michael
Mitglied: aqui
aqui 07.01.2019 aktualisiert um 10:58:14 Uhr
Goto Top
unter der privaten Adresse intranet.verein.local erreichbar
Schlechte Domainwahl ! face-sad
Root Domain .local wird weltweit als mDNS Domain genutzt und ist dieser durch die IANA fest zugewiesen:
Guckst du hier:
https://de.wikipedia.org/wiki/Zeroconf#Multicast_DNS
und hier:
https://www.heise.de/select/ct/2017/26/1513540412603853
Ansonsten ist eine statische Hostroute mit einem 32 Prefix die Lösung wie oben schon gesagt. Die Erreichbarkeit des DNS Servers hat damit doch nichts zu tun !
Mitglied: 137846
137846 07.01.2019 aktualisiert um 10:58:07 Uhr
Goto Top
Zitat von @m8ichael:

Das Problem scheint dahingehend zu bestehen, dass bei den beiden Netzwerk"geräten" standardmäßig stets die "Internet"-Leitung (also nicht die OpenVPN-Leitung) priorisiert wird; insofern wird auch von dieser der DNS abfragt, der dann natürlich die öffentliche IP ausgibt. Insofern werden die bei der OpenVPN-Verbindung hinterlegten DNS überhaupt nicht gefragt.

Dies wurde wohl mit Windows 10 eingeführt (https://docs.microsoft.com/de-de/windows-server/networking/technologies/ ..).
Doch du musst nur das DNS Suffix der Domain in der Verbindung eintragen.

Und natürlich vorher mal den DNS Cache löschen.
Mitglied: m8ichael
m8ichael 07.01.2019 um 11:44:49 Uhr
Goto Top
Hallo,

Zitat von @aqui:

unter der privaten Adresse intranet.verein.local erreichbar
Schlechte Domainwahl ! face-sad
Root Domain .local wird weltweit als mDNS Domain genutzt und ist dieser durch die IANA fest zugewiesen:
Guckst du hier:
https://de.wikipedia.org/wiki/Zeroconf#Multicast_DNS
und hier:
https://www.heise.de/select/ct/2017/26/1513540412603853
Ansonsten ist eine statische Hostroute mit einem 32 Prefix die Lösung wie oben schon gesagt. Die Erreichbarkeit des DNS Servers hat damit doch nichts zu tun !

Wie geschrieben, wird die Domain .local jetzt ja nicht mehr genutzt, sondern eine normale tld (hier: .de).
Mitglied: m8ichael
m8ichael 07.01.2019 um 12:01:07 Uhr
Goto Top
Hallo.

Zitat von @137846:
Doch du musst nur das DNS Suffix der Domain in der Verbindung eintragen.

Und natürlich vorher mal den DNS Cache löschen.

Das funktioniert leider nicht. Ich habe mit ipconfig /flushdns den cache gelöscht, jedoch bringt ein nslookup intranet.domain.tld bei aktivierter OpenVPN-Verbindung nach wie vor die öffentliche IP (den Suffix habe ich in den Verbindungseinstellungen unter IPv4 auf domain.tld angepasst). Erst wenn ich wieder die Metrik auf einen Wert unterhalb der Hauptschnittstelle absenke, fragt er offensichtlich den DNS über die VPN-Verbindung ab und bringt so die interne IP-Adresse. face-sad
Mitglied: Dani
Dani 07.01.2019 um 13:16:32 Uhr
Goto Top
Moin,
Das habe ich noch nicht verstanden. Bei einer Host-Route müsste ich doch eine IP angeben, oder?
Ja.

Wie verhält sich diese mit der DNS-Auflösung?
Routing und DNS haben nichts miteinander zu tun. Der Client wählt die Route, die für ihn die bessere Metrik hat.


Gruß,
Dani
Mitglied: 137846
137846 07.01.2019 aktualisiert um 13:52:26 Uhr
Goto Top
Das funktioniert leider nicht.
Nö, kann ich nicht bestätigen.
Mitglied: m8ichael
m8ichael 07.01.2019 um 15:15:08 Uhr
Goto Top
Hallo Dani,

Zitat von @Dani:
Wie verhält sich diese mit der DNS-Auflösung?
Routing und DNS haben nichts miteinander zu tun. Der Client wählt die Route, die für ihn die bessere Metrik hat.
Dann stehe ich jetzt völlig auf dem Schlauch. Denn so wie es aussieht, liegt es rein an der DNS-Auflösung, denn beide IP-Adressen (interne wie öffentliche) sind (auch ohne die Einrichtung einer gesonderten Route) erreichbar. Nur blöderweise wird halt ein DNS befragt, der nur die öffentliche IP kennt. Und eine richtige Priorisierung der VPN-Verbindung habe ich bislang nur über die manuelle Änderung der Metrik hinbekommen.
Mitglied: 137846
137846 07.01.2019 aktualisiert um 15:52:24 Uhr
Goto Top
Normalerweise haben VPN Verbindungen per Default immer eine etwas geringere Metrik, da läuft bei dir also was schief.
Wenn du es sauber haben willst stellst du auf die Seite des Clients einen DNS-Server hin (kann auch ein Raspi sein) der im Netz als Default DNS arbeitet und für die interne Domain eine bedingte Weiterleitung enthält der auf den internen DNS Server verweist.
VPN herstellen lässt du am besten zentral dann entweder den Router herstellen oder das den Raspi (oder was auch immer) erledigen, fertsch.
Mitglied: m8ichael
m8ichael 08.01.2019 um 13:11:42 Uhr
Goto Top
Halli!
Zitat von @137846:

Normalerweise haben VPN Verbindungen per Default immer eine etwas geringere Metrik, da läuft bei dir also was schief.
Wenn du es sauber haben willst stellst du auf die Seite des Clients einen DNS-Server hin (kann auch ein Raspi sein) der im Netz als Default DNS arbeitet und für die interne Domain eine bedingte Weiterleitung enthält der auf den internen DNS Server verweist.
VPN herstellen lässt du am besten zentral dann entweder den Router herstellen oder das den Raspi (oder was auch immer) erledigen, fertsch.

Ja, für den einzelnen wäre das sicher eine Lösung, aber für den DAU dann doch eher etwas überdimensioniert. Ich hatte halt die Hoffnung, dass es wg. der Priorisierung noch nen Trick gäbe. Im Zweifel muss halt einmalig bei den Clients die Metrik geändert/manuell erfasst werden (betrifft glücklicherweise derzeit nur Win10-Clients und keine Mobilgeräte) und gut ist. Ist halt Aufwand, den ich gerne vermieden hätte, insbesondere auch vor dem Hintergrund, dass man nie weiß, was MS beim nächsten Funktionsupdate wieder anstellt...
Mitglied: aqui
aqui 08.01.2019 um 15:42:52 Uhr
Goto Top
aber für den DAU dann doch eher etwas überdimensioniert.
Das sollte man etwas differenzierter sehen, denn so ein DNS filtert auch Malware usw, im Heimnetz und macht es eine ganze Ecke sicherer !! Siehe hier:
https://www.heise.de/select/ct/2018/11/1526783668168592
Eine simple Flash Karte schreiben und in einen Schlitz zu stecken wie bei einem Fotoapparat sollte auch der blutigste DAU hinbekommen face-wink