WireGuard: interne Adressen vom Default Subnetz sind teilweise nicht erreichbar

Es gibt 13 Antworten in diesem Thema, welches 1.283 mal aufgerufen wurde. Der letzte Beitrag () ist von Knallex.

    Hallo,


    ich stehe vor einem gedanklichen Rätsel.
    Heute ist mir aufgefallen, dass verschiedene Interne Adressen nicht pingbar sind und ich diese nicht erreiche.
    (ein IP Konflikt ist nicht vorhanden, auf der UDM ist keine Firewall Regel definiert)

    Beispiel:

    • Einwahl per Wireguard funktioniert wunderbar (IP: 192.168.3.X)
    • Server im Default Subnetz kann ohne Probleme ge-pingt werden und lässt sich auch wunderbar mittels SMB verbinden (172.20.0.10)
    • Kartenterminals im selben Default Subnetz sind nicht pingbar (172.20.0.65 und .66)

    => befinde ich mich jedoch im Default Netz, direkt vor Ort, sind die Kartenterminals Pingbar und auch das Webinterface kann geöffnet werden.

    Habt ihr eine Idee?

    Server geht klingt nach allgemein geht.

    Karten Terminal wäre der erste Verdächtige:


    KartenTerminal richtig mit Gateway eigerichtet (doofe frage aber die Pferde vor der Kneipe oder so)?

    Karten Terminals lassen sich lokal aus einem anderen Netz Dingen ?


    Viel Kram is so gebaut, dass es sich nur aus seinem eignen Netz ansprechen lässt.

    Bei manche kann das einstellen (Gigaset GO Boxen sind ein gutes Beispiel)

    Kartenterminals im medizinischen Kontext, also Telematik Infrastruktur?

    Weder Cherry, noch Orga hat eine eigene Firewall, die sollten sich problemlos pingen lassen. Anders bei den Konnektoren, hier muss man alle Netze explizit freigeben, aus denen man sie ansprechen will.


    Vielleicht sind die KTs immer ausgeschaltet, wenn Du Dich abends per VPN verbindest? :winking_face:

    Praxen stehen ja auf ihren "Hauptschalter", mit dem dann der letzte das Licht ausmacht.


    Ansonsten würde ich zur Eingrenzung des Problems mal versuchen, andere Hosts im Netzwerk über VPN anzusprechen. Und auch mal per RDP auf den Server und vor dort aus Ping gegen die Terminals.

    Knallex

    Ich würde auch prinzipiell erstmal checken ob die Terminals einen korrekten Standard Gateway eingetragen haben und aus einem anderen VLAN anpingbar sind. Erst wenn das geht, würde ich mir Gedanken um die VPN machen. Müssen die Terminals überhaupt per VPN erreichbar sein - also hat das einen Nutzen oder ist die Frage eher grundlegend?


    Supaman

    Allowed-IPs wäre zwar eine Möglichkeit, aber vermutlich wird der TE ja nicht die allowed IPs so geändert haben, dass er Server darin aufgelistet hat und die Terminals nicht, ohne es zu wissen.

    Jupp...
    sind Kartenterminals im Praxen Betrieb.
    In dem Fall von Cherry und soweit ich das sehen kann, keine Firewall.
    und klar, ich habe das getestet während ich von einem anderen Rechner die IP's anpingen kann.


    Die Wireguard config ist ganz entspannt.
    Da ist nichts verboten oder so, eher ist sogar deutlich mehr erlaubt.


    Bei der TI könnte ich das ja noch nachvollziehen, das die nur aus dem Internen Netz erreichbar ist....
    aber die KT's? die sind doch eigentlich dumm....

    Hmmmm?
    Die anderen Rechner in dem Netz erreiche ich aus.
    Dann muss da wirklich irgendeine Firewall auf den Systemen laufen.

    DoPe
    Ist eher generell Natur.
    Weil es mich zwischendurch nervt, wenn ich per VPN verbunden bin und dann nicht alles sehen, sondern dann erst weiter auf einen Server oder so muss.....


    Knallex hast Du das aus einem anderen VLAN getestet oder waren die erfolgreichen Pings von einem Gerät, welches im gleichen VLAN wie die Terminals sind?


    Die IP Config der Terminals hast Du gecheckt? insbesondere Gateway Eintrag? Statische Routen und Routing Table anzeigen gibts da ja bestimmt nicht in den Dingern.

    Zitat von Knallex

    In dem Fall von Cherry und soweit ich das sehen kann, keine Firewall.

    Hatte ich ja schon geschrieben, dass diese Geräte definitiv keine Firewall haben.



    Zitat von Knallex

    Bei der TI könnte ich das ja noch nachvollziehen, das die nur aus dem Internen Netz erreichbar ist....

    KTs sind Teil der TI, das kann man nicht trennen.



    Zitat von Knallex

    Die Wireguard config ist ganz entspannt.
    Da ist nichts verboten oder so, eher ist sogar deutlich mehr erlaubt.

    Da wird auch nichts explizit verboten, es ist alles "verboten", was nicht explizit erlaubt ist. Und falls nun nicht das Netz 172.20.0.0 erlaubt ist, sondern nur der Server 172.20.0.10, ist es kein Wunder, dass Du die KTs nicht erreichst.



    Zitat von Knallex

    Dann muss da wirklich irgendeine Firewall auf den Systemen laufen.

    Wie gesagt, nein. Ich kann hier sämtliche KTs in verschiedenen Netzen über Wireguard-VPN erreichen, ohne dass die KTs speziell dafür konfiguriert worden wären.

    Das gesamt 172.20.0.1/24 ist erlaubt.
    und ich bekomme ja auch alle anderen Systeme in dem IP Kreis zu fassen.


    (oder die andere Schreibweise: 172.20.0.0/24 ....übrigens, dass ist mir bisher auch nicht ganz klar, mal geht die eine mal die andere Schreibweite mit der Netzmaske....)

    DoPe
    Jupp...erreichbar sind die KT's vom Server aus (Gleiches Subnetz), nur halt aus dem VPN nicht.
    Könnte irgendwann nochmal testen, ob ich die Dinger aus einem anderen VLAN erreiche (ohne Subnetz) - klar würde ich eine Route erstellen

    Denke
    Wahrscheinlich ist da doch irgendwas in der TI und den KT's drin, dass wirklich nur das vorhandene Subnetz das Pingen zulässt.
    Hätte ja sein können, dass die Antwort schneller sich finden lässt und ich den Wald vor lauter Bäumen nicht sehe.

    Thema wird verschoben...auf unbestimmt :winking_face_with_tongue:

    Danke euch allen :thumbs_up:

    Zitat von Knallex

    (oder die andere Schreibweise: 172.20.0.0/24 ....übrigens, dass ist mir bisher auch nicht ganz klar, mal geht die eine mal die andere Schreibweite mit der Netzmaske....)

    172.20.0.0/24 definiert ein Netz (das ganze also von 1-254 dun 255 als Broadcast)

    172.20.0.1/24 definiert eine IP in diesem Netz.

    Sind zwei unterschiedliche dinge :smiling_face:


    Zitat von Knallex

    Könnte irgendwann nochmal testen, ob ich die Dinger aus einem anderen VLAN erreiche (ohne Subnetz) - klar würde ich eine Route erstellen

    Das habe ich schon Dienstag gefragt, du könntest schon längst wissen ob VPN Probleme macht oder etwas an deinen Karten

    Leser doof sind...

    Einmal editiert, zuletzt von gierig ()

    Zitat von Knallex

    mal geht die eine mal die andere Schreibweite mit der Netzmaske

    Nö. Nur ".0" steht für das Subnetz ".1" ist eine mögliche Host-Adresse und "172.20.0.1/24" ist ein ungültiger Ausdruck.


    Zitat von Knallex

    Wahrscheinlich ist da doch irgendwas in der TI und den KT's drin, dass wirklich nur das vorhandene Subnetz das Pingen zulässt.

    Du willst mir nicht glauben, oder? :smiling_face_with_horns: Ich habe ungefähr 40 Kunden mit insgesamt rund 60 Kartenterminals und kann sie *alle* über VPN erreichen. Es gibt deutschlandweit exakt 2 zugelassene Modelle mit Netzwerkintegration, wir sprechen also von derselben Hardware.

    Zitat von Knallex

    Jupp...erreichbar sind die KT's vom Server aus (Gleiches Subnetz), nur halt aus dem VPN nicht.
    Könnte irgendwann nochmal testen, ob ich die Dinger aus einem anderen VLAN erreiche (ohne Subnetz) - klar würde ich eine Route erstellen

    Bitte jetzt einfach mal machen, was mindestens 2 oder gar 3 Leute abgefragt haben ... Das Du die Dinger im gleichen VLAN anpingen kannst, davon gehen wir aus. Also wie sieht es aus einem anderen VLAN aus?


    Was meinst Du bitte mit Du würdest eine Route erstellen?!?


    Also... ohne Antwort auf die Fragen gibt es zumindest von mir hier keinen Post mehr. Ohne diese Info kann man nicht weiter helfen und zumindest mir ist die Zeit zu schade um sich hier ewig im Kreis zu drehen.

    Networker
    Ich kümmere mich drum. Werde bestimmt morgen oder übermorgen dazu kommen.

    DoPe
    Du hast auch Recht, nur komme ich gerade nicht dazu.
    Mich hat die Frage wirklich interessiert, nur hat gerade anderes etwas mehr Prio....

    Versuche das heute Abend einmal zu klären.

    Moin, moin....


    habe dank eurer Unterstützung bei dem Kunden auf dem Windows Server DHCP installiert.
    Insgesamt würde ich sagen, dass die Clients flüssiger laufen.

    Die KT finde ich leider immer noch nicht...falls jemand Bock hat.
    Schaue ich mir das gerne mit euch gemeinsam beim Kunden an.

    Sonst muss ich Augenblick zugeben, dass ich diverse andere Baustelle habe.

    LG an alle