Aus zwei Netzwerke ein Großes machen über VPN

Offtopic Wlan ohne Freifunk
1

Hey!

Das hat jetzt nicht wirklich was mit Freifunk zu tun, aber vielleicht kann man nicht doch in die eine oder andere Richtung leicht schubsen.

Folgende Situation:
Ich habe zwei Netzwerke an zwei verschiedene Orten, die ich gerne miteinander verbinden möchte. Eine VPN-Verbindung besteht schon, aber mehr als die normalen Dienste laufen nicht. Ich würde gerne die Netzwerke zusammen legen, damit ich keine doppelte Hardware benutzen muss und wenn eine Einstellung, wie zB. ein lokaler Dienst dazu kommt, dann muss ich immer in beiden Netzwerke die DNS-Server aktualliseren.

Ich habe schon einiges ausprobiert, eine IP aus dem anderen Netzwerk, ist der Tod für das Gerät, das sich leise verabschiedet. Routen und Natten, finde ich ganz viele Infornationen, die aber so ganz ungefilter nicht leicht zu verstehene sind.

Wie ist sind Netzwerke aufgebaut:
Netzwerk A: 192.168.0.1 255.255.255.0
Netzwerk B: 192.168.10.1 255.255.255.0
mit AVM und den Hilfmittel ein VPN- Verbindung aufgebaut.

Kann ich überhaupt den ganzen Verkehr über einen Standort laufen lassen oder nur bestimmte Dienste.
Google und Co. waren bis jetzt nicht ganz meine Freunde, weil nur der erste Schritt erklärt wird und dann fertig, läuft ja.

Vielen Dank

2

Das ist ein Topologieproblem:

Du kannst natürlich beide Standorte z.b. per OpenVPN (oder fastd…) zu einem Layer2-Netz zusammenschließen
Dann hast Du nur noch einen DHCP-Server. Aber auch nur noch ein Gateway.
d.h. an einem der Standorte gibt es dann nicht mehr Downstream-Bandbreite als am Ort des WAN-Routers Upstream-Bandbreite.
Wenn Du also zwei Standorte mit symetrischer 1GBit/s-Anbindung hast, dann wäre das durchaus gut nutzbar.

Aber alles andere wird ein so großer Krampf, dass Du besser überlegt, das Problem „der Dienste“ über eine lokale DNS-Infrastruktur zu lösen.

(oder anders: Die von Dir vorgeschlagene Lösung macht in der Praxis sicher 10 mal mehr Probleme als das damit gelöste Problem. So spontan wären da Dinge wie Netbios/Network-Broadcasings, Multicast-Streaming und semidefekte Switches, die einem das Leben zu Hölle machen werden, wenn man über Standorte switched. Oder man baut massive ebtables-Rules mit dem Effekt, dass andere Dinge wiederum nicht mehr funktionieren.)

1 „Gefällt mir“
3

Das Fritz-VPN ist recht mächtig, auch wenn es nur mit Legacy-IP umgehen kann (IPv4). Indem Du Dir Deine VPN-Konfigurationsdatei selber schreibst und sie in die beiden Fritz-Boxen importierst, kannst Du umfangreichere Konfigurationen bauen. Hier z. B. ein Ausschnitt aus der Konfiguration meiner »Reise-Fritte«; das besagt, daß über das VPN aus 4 Netzen Datenverkehr eingehend erlaubt wird.

vpncfg {
        connections {
[…]
                accesslist = "permit ip any 192.168.177.0 255.255.255.0",
                             "permit ip any 192.168.5.0 255.255.255.0",
                             "permit ip any 192.0.2.32 255.255.255.224",
                             "permit ip any 198.16.120.32 255.255.255.224";
        }
[…]
}

(Auf der Gegenseite muß nur das Netz der »Reise-Fritte« freigeschaltet werden.) Details dazu wirst Du ergoogeln müssen, das sprengte hier den Rahmen.

»Dienste« kennt ein IP-Netz nicht, nur IP-Adressen. Ob es sinnvoll ist, »den ganzen Verkehr über einen Standort laufen lassen«, kann ich mangels Daten nicht sagen: Wenn Du 2x DSL 16 hast, hast Du je Standort 16 MBit/sec downstream (aus dem Netz zu Dir) und 1 (Annex-B) bis 2 (Annex-J; »ohne Splitter«) MBit/sec upstrem (von Dir ins Netz).
Wenn Du in dem Fall Standort B über VPN und Standort A ins Internet gehen läßt, hast Du Dir die Bandbreite an Standort B auch eingehend auf 1-2 MBit/sec reduziert: Du kannst nicht schneller von B nach A senden, und insbesondere A nicht zu B …
Hat A hingegen VDSL100 (max. 100 MBit/sec down, max. 40 MBit/sec up), würde B nicht viel merken, da Du zwar sendend nach wie vor auf 1-2 MBit/sec limitiert wärst, aber A mit mehr als Bs Empfangsbandbreite senden. (Achtung: Fritzboxen sind keine Einhörner mit magischen Kräften; die VPN-Geschichte muß durch die CPU der Fritzbox, AFAIR kommt auch das bisherige Flagschiff 7490 nicht groß über 20 MBit/sec im VPN-Betrieb hinaus. Reicht für alles mit ADSL, ab VDSL möchte man ggf. selbst messen/nochmal googlen.)

Den Absatz verstehe ich nicht wirklich. Welche „doppelte Hardware“ meinst Du? Eine Kopplung auf Netzwerkebene (Layer 2) statt per Routing (Layer 3) würde ich nicht in Betracht ziehen, sofern nicht auf beiden Seiten wenigstens VDSL 100 vorhanden ist; und jene ist über die Fritzboxen AFAIK nicht möglich, da wäre dann je Standort ein (potenter) Server zusätzlich notwendig (der 20+ MBit/sec auf Layer 2 in einen Layer-3-Tunnel ein- und auspacken kann).

Dienste würde ich über eine Domain laufen lassen, i. d. R. bietet der Domainregistrar auch die Möglichkeit, dort Einträge vorzunehmen. »nas.mysunnyservice.de A 192.168.0.2«, »hue.mysunnyservice.de A 192.168.10.4« — und jedermann kann dies auflösen (aber nur Rechner in Deinen Netzen die Dienste auch erreichen). Eine .de-Domain kostet irgendwas unter einem Euro/Monat, Einträge machst Du an einer Stelle (dem Webfrontend des Domainegistrars) …

1 „Gefällt mir“
4

für DNS gibt es eine Lösung:

Ich nehme an, das Du in beiden Netzen einen DNS Server und je eine DNS Domain.

Lösung 1:

  • einen der DNS server als Master (=primary) für beide Domains aufsetzen, den anderen als Secondary.
    Damit must Du nur noch einen DNS Server updaten, der andere bekommt die Information automatisch.

Lösung 2:

  • einen DNS server für beide Domains aufsetzen und diesen zusätzlich als DNS Proxy für das Internet DNS konfigurieren.
  • in den Fritzboxen diesen Server als DNS-Server manuell konfigurieren.

Damit sparst Du Dir den zweiten DNS Server

5

Hey!

Danke für die Antworten, jetzt könnte ich mir ein paar Gedanken machen, was ich machen könnte.
Ich würde jetzt kein Schnappschuss machen, nur weil es einfacher gerade ist und in zwei Jahren stehe ich vor dem Problem, das das Netzwerk schneller gewachsen ist, als ich jetzt noch Möglichkeiten habe.

Über die Leitung braucht ich mir keine Sorgen machen, DSL 16+ greift in eine VDSL 50mbit ein.

Der schnellste Weg, ich lasse die Geräte über OpenVPN in mein Netzwerk eingreifen.
Ich überlege eher, das Netzwerk zu vergrößern. Ich müsste wahrscheinlich das Subnetz verändern in 255.255.0.0 bei beiden und dann könnte ich die Netzwerke zusammen legen.
Frage aber nochmal mein Google.

6

Für Bufferbloat braucht Du keine 100%-Auslastung des Upstreams.

Überlege, ob es nicht trotzdem sinnvoll ist, wie von Vorrednern vorgeschlagen, das per Layer3 (Routing) zusammenzulegen, mit einem (wie auch immer ausgestalteten) DNS für Dein Problem mit dem „Announcement von Server/Dienstnamen“.
Und eben kein Layer2-Switching mit der allen beschriebenen negativen Effekten, plus SinglePointOfFailure-Problemen, plus schlechte Latenz, plus schlechtem verbleibendem Upstrem selbst für den Haupt-Standort.