UDM-SE VPN Problem

Es gibt 3 Antworten in diesem Thema, welches 418 mal aufgerufen wurde. Der letzte Beitrag () ist von gierig.

    Guten Abend zusammen,


    wir haben eine UDM-SE im Einsatz und diese funktioniert soweit gut.


    Allerdings benötigen wir zur Anbindung an ein Rechenzentrum einen Site-to-Site-VPN, welcher "halbwegs" funktioniert:
    Die Gegenseite benötigt ein spezielles IP-Subnetz, welches ich als VLAN2 angelegt habe.


    Die UDM benutzt dazu allerdings immer ihr 1er VLAN.


    Als Zwischenlösung habe ich bei der alten Firewall (Sonicwall) den VPN-Tunnel über unsere Failover-Leitung der Telekom aufgebaut und eine Route zu dem "speziellen IP-Subnetz" in der UDM eingerichtet.

    Damit funktioniert es, aber ist keine saubere Lösung. Die Gegenseite kann unser internes verwendetes Klasse-C Subnetz nicht eintragen, da dieses bei denen bereits in Verwendung ist.


    Den "speziellen" IP-Adressbereich habe ich versucht, als 1er VLAN in der UDM einzutragen, dieses schluckt sie aber nicht.
    Liegt wahrscheinlich daran, dass es offiziell kein interner Adressbereich ist.

    Das komplette A-Klasse Netz (umweiches es sich handelt) gehört einem Konzern. Für ein daraus benötigtes 24er Subnetz besteht ein Nutzungsrecht.


    Kann mir da eventuell jemand helfen?

    Ich danke vorab und wünsche einen schönen Abend.

    Moin,


    Punkt 1 - Die 90er haben angerufen und wollen ihre Klassen zurück.

    CIDR wurde 1993 eingeführt. Wenn du Lehrer / Ausbilder oder aktiver Netzwerktechniker bist

    SCHÄM dich das Wort Netz Klasse ohne Hinweis auf den Historischen Kotex überhaupt in den Mund zu nehmen.


    Zitat von luennemann

    Die Gegenseite benötigt ein spezielles IP-Subnetz, welches ich als VLAN2 angelegt habe.

    Die UDM benutzt dazu allerdings immer ihr 1er VLAN.

    Entweder verstehe ich was nicht oder Du nicht. Ein Netzplan währe wohl angebrachter als

    die Textaufgabe hier. Was für Tunnel wird überhaupt gebaut ? WG ? SSL ? IPSEC ?

    was ist eingestellt, was konfiguriert ?


    Klingt so als wenn der Transport Tunnel ne bestimme Range benötigt und Routing fehlt.

    Das ist aber Glaskugeling und nicht zielführend.


    Zitat von luennemann

    Den "speziellen" IP-Adressbereich habe ich versucht, als 1er VLAN in der UDM einzutragen, dieses schluckt sie aber nicht.
    Liegt wahrscheinlich daran, dass es offiziell kein interner Adressbereich ist.

    Na währe auch eher WAN, das sind und bleiben SOHO Kisten. Nicht Enterprise Router.

    Im Enterprise werde die als Subangebaut und da sie mittlerweile auch OSPF können

    (demnächst BGP) einfacher als zuvor.

    Aber wie so oft... NetzDesign vorher machen...


    Zitat von luennemann

    Damit funktioniert es, aber ist keine saubere Lösung. Die Gegenseite kann unser internes verwendetes Klasse-C Subnetz nicht eintragen, da dieses bei denen bereits in Verwendung ist.

    Falsche IP Bereiche ausgesucht würde ich sagen, zurück zu dem Netz Designer.

    oder sich über ein zwischen Netz Gedanken machen und Full Range NAT fahren

    um die Vermeintlichen gleichen Netze doch noch zu koppeln. Da ist dann aber wohl

    ne UDM (or any other UNIFI Router) als EDGE die Falsche Wahl und sollte dann

    eher nachgeschaltet werden.



    Zitat von luennemann

    Das komplette A-Klasse Netz (umweiches es sich handelt) gehört einem Konzern.

    ein /8 wie es richtig heißt.... Mercedes oder Ford ? Haben die Ihre Knowledge Träger

    rausgeschmissen ? Oder wird hier ne Autohaus "irgendwie" angebunden and den üblichen

    Setups vorbei ?

    Einmal editiert, zuletzt von gierig ()

    Gefällt mir 1

    Guten Abend gierig,

    Zitat von gierig

    ein /8 wie es richtig heißt.... Mercedes oder Ford ? Haben die Ihre Knowledge Träger

    rausgeschmissen ? Oder wird hier ne Autohaus "irgendwie" angebunden and den üblichen

    Setups vorbei ?

    da hast du recht. Mercedes 53er Adresse.

    Daimler stellt bzw. hat umgestellt auf API-Schnittstellen, allerdings nutzt das RZ halt noch den 53er Bereich für deren Anbindung sowie Rückwärts zu den im Autohaus stehenden Druckern.


    Zitat von gierig

    Moin,


    Punkt 1 - Die 90er haben angerufen und wollen ihre Klassen zurück.

    CIDR wurde 1993 eingeführt. Wenn du Lehrer / Ausbilder oder aktiver Netzwerktechniker bist

    SCHÄM dich das wort NetzKlasse ohne Hinweis auf den Historischen Kotex überhaupt in den Mund zu nehmen.

    Ok, danke dir für die Infos, bin leider kein aktiver Netzwerktechniker sowie kein Lehrer / Ausbilder.

    Zitat von gierig

    Entweder verstehe ich was nicht oder Du nicht. Ein Netzplan währe wohl angebrachter als

    die Textaufgabe hier. Was für Tunnel wird überhaupt gebaut ? WG ? SSL ? IPSEC ?

    was ist eingestellt, was konfiguriert ?

    IPsec wird benötigt.

    In der UDM ist das Remote-Netz Netz des RZ (53.210.xxx.6/25) eingetragen und in der SonicWall des RZ ist unser 53.100.xxx.0/24 Netz eingetragen. Bei denen können sie unser internes 192.168/24 nicht eintragen, da "angeblich" deren komplettes 192.168/16 Netz belegt sei.


    Umstellung derenseitig eventuell auf 172.16/16 aber noch nutzen die den 53er Bereich.


    Zitat von gierig

    Falsche IP Bereiche ausgesucht würde ich sagen, zurück zu dem Netz Designer.

    oder sich über ein zwischen Netz Gedanken machen und Full Range NAT fahren

    um die Vermeintlichen gleichen Netze doch noch zu koppeln. Da ist dann aber wohl

    ne UDM (or any other UNIFI Router) als EDGE die Falsche Wahl und sollte dann

    eher nachgeschaltet werden.

    Der Netzwerktechniker, der das ganze bei uns eingerichtet hat bzw. vorher gemacht hat, ist leider nicht mehr greifbar.

    Einmal editiert, zuletzt von luennemann ()

    Zitat von luennemann

    da hast du recht. Mercedes 53er Adresse.

    :grinning_squinting_face: War auch mein tipp aber der andere Auto Kasper gleich auf Platz zwei...sind halt nicht mehr viele die

    ihr /8 behalten haben...


    Zitat von luennemann

    allerdings nutzt das RZ halt noch den 53er Bereich für deren Anbindung sowie Rückwärts zu den im Autohaus stehenden Druckern.


    IPsec wird benötigt.

    In der UDM ist das Remote-Netz Netz des RZ (53.210.xxx.6/25) eingetragen und in der SonicWall des RZ ist unser 53.100.xxx.0/24 Netz eingetragen. Bei denen können sie unser internes 192.168/24 nicht eintragen, da "angeblich" deren komplettes 192.168/16 Netz belegt sei.


    Ihr solltet euch einen suchen der das kann und kennt...

    Wenn ihr euer 53.100.xxx.0/24 habt dann würde ich sagen IP X ist Drucker X und dann

    auf die Interne IP NAT durchführen, dann ist egal ob das RZ euer Routen eintragen oder auch nicht..

    Freilich eher nicht UDM EDGE / Border.