Hoe bereik ik router thuis via VPN?

[Kasper1985]

Mijn vraag
Ik draai thuis een VPN server op mijn Netgear router. Nou zit ik tijdelijk in een andere woning en wilde ik mijn Fritzbox thuis bereiken op het IP 192.168.178.1

In de woning waar ik nu zit staat ook een Fritzbox in dezelfde range. Ondanks dat ik dus met VPN op mijn thuis netwerk zit krijg ik de Fritzbox te zien van de huidige woning. Hetzelfde geldt voor de Netgear aangezien hier ook een accespoint staat in dezelfde range als de Netgear bij mij thuis.

Ik kan andere netwerk apparaten wel gewoon bereiken zoals sonarr radarr sabnzbd etc die op mijn server draaien thuis. Allemaal geen probleem. Alleen de router en fritzbox zijn onbereikbaar.

Dit moet ongetwijfeld simpel op te lossen zijn maar ik kom er helaas niet uit. vraag is dus hoe zorg ik ervoor dat ik vanaf een ander adres zonder problemen de fritzbox en router kan benaderen.

Relevante software en hardware die ik gebruik
Fritzbox 7581
Netgear R7800

Wat ik al gevonden of geprobeerd heb

[dion_b]

Even terug naar de basics:

Een router verbindt twee netwerken. Voor thuisgebruik is dat meestal je thuisnetwerk verbinden met het internet. Daarom moet een router ook twee verschillende adressen hebben, in elk netwerk eentje. Het adres wat jij geeft (192.168.178.1) is het private adres van jouw router in jouw thuisnetwerk. Daar is hij binnenhuis op te benaderen, maar niet van op het internet. Om dat te kunnen moet je het benaderen op het publieke (internet) IP van je router. Als je dat niet weet ga je het niet kunnen benaderen.

Zie het als de deur van een huis. Binnenin jouw huis heet de deur "deur" en kun je prima tegen mij zeggen: "loop even naar de deur toe". Maar van buiten heeft je deur het adres pakweg Dorpsstraat 1, 1234AB Lutjebroek. Als je een kaart naar huis wilt sturen, moet je het daarop addresseren. Schrijf je er alleen "deur" op, dan is de kans dat hij aankomt minimaal

Dat is gelijk ook verklaring voor waarom het niet lukt vanuit andere woning: daar probeer je jouw deur thuis te benaderen met de naam "deur", maar als je zegt 'stuur een pakje naar de deur' dan gaat hij naar de deur van die andere woning, niet van jou thuis.

[ Voor 12% gewijzigd door dion_b op 11-08-2017 12:42 ]

[Kasper1985]

@dion_b dankjewel voor deze uitleg! Opzich heel goed te volgen. Toch nog 2 dingen die ik niet helemaal snap: Als ik mijn publieke IP benader krijg ik een timeout.

Als ik op mijn telefoon op 4G verbind met de VPN server en ga naar 192.168.178.1 dan kom ik gewoon netjes in de fritzbox thuis. Nogmaals ik kan heel goed volgen wat je bedoelt maar het gaat niet op voor mijn situatie. Ik maak juist gebruik van VPN omdat ik niet wil dat de routers zonder VPN benaderbaar zijn vanaf het internet voor zomaar iedereen. Alleen op de een of andere manier zoek ik hoe ik een onderscheid kan maken wanneer ik met VPN verbonden ben tussen de Fritzbox thuis en de Fritzbox op het adres waar ik nu zit.

Kasper

[geonosys]

Het probleem is hier dat je twee dezelfde private netwerken hebt (192.168.178.x). Dat kan routerings problemen geven. Je bent direct verbonden met het 192.168.178.0 netwerk dus als je een adres in die reeks probeert te benaderen ziet je machine deze op het direct verbonden netwerk en verbindt dan daarheen. Het gaat dus nooit door de VPN.
Ik durf te wedden dat de machines die je wel kan bereiken IP adressen hebben die niet bestaan in het netwerk op je huidige adres.

-edit-
Dit verklaart ook waarom het via 4g wel gaat, andere private IP range, dus geen routering problemen.

[ Voor 10% gewijzigd door geonosys op 11-08-2017 13:02 ]

[Kasper1985]

Precies je slaat de spreekwoordelijke spijker op z'n kop! Maar daar moet toch wel een oplossing voor bestaan?

Ik zat zelf te denken aan een bepaalde poort koppelen om zo onderscheid te maken bijvoorbeeld. Maar dat is meer een klepel klok verhaal aangezien ik niet exact weet hoe ik dit voor elkaar zou kunnen krijgen.

Kasper

[geonosys]

De 'makkelijkste' manier is om bij één van de twee netwerken de IP range te veranderen (makkelijk is een relatief begrip ).
Anders gaat het niet lukken. Je probeert een adres te bereiken wat de default gateway is (router) in het netwerk waar je in zit. Je machine kan niet anders dan naar dat adres gaan.
Net als in de uitleg van dion_b, ieder postadres in nederland is uniek. Als er meerdere identieke adressen zouden zijn, verspreid over nederland, hoe zou de postbode dan moeten weten waar de post bezorgt moet worden?

[BelJoost]

Kasper1985 schreef op vrijdag 11 augustus 2017 @ 12:14:
Ik draai thuis een VPN server op mijn Netgear router. Nou zit ik tijdelijk in een andere woning en wilde ik mijn Fritzbox thuis bereiken op het IP 192.168.178.1 [...] aangezien hier ook een accespoint staat in dezelfde range als de Netgear bij mij thuis

Even aanname IP/DHCP config:
Thuis: 192.168.178.1, netmask 255.255.255.0.
Andere woning: 192.168.178.1, netmask 255.255.255.0.

Kasper1985 schreef op vrijdag 11 augustus 2017 @ 13:07:
Maar daar moet toch wel een oplossing voor bestaan?

Thuis of andere woning: 192.168.179.1, netmask 255.255.255.0.

ps. 179 mag alles zijn behalve 178.

[geonosys]

BelJoost schreef op vrijdag 11 augustus 2017 @ 13:42:
[...]

Even aanname IP/DHCP config:
Thuis: 192.168.178.1, netmask 255.255.255.0.
Andere woning: 192.168.178.1, netmask 255.255.255.0.


[...]

Thuis of andere woning: 192.168.179.1, netmask 255.255.255.0.

ps. 179 mag alles zijn behalve 178.

Je kan natuurlijk niet alleen het router adres veranderen, werkt de boel gelijk niet meer. DHCP moet dan ook worden aangepast.
Ik ben niet direct bekend met de gebruikte apparatuur, weet echter wel dat er ook spullen zijn die de scope van dhcp baseren op het op de interface gebruikte ip adres. Sowieso moet je dan checken of het goed staat. Mocht je ook nog apparatuur hebben met statische adressen, moet je die vanzelfsprekend met de hand aanpassen
Ik zou in ieder geval even kijken welke van de twee netwerken het simpelst is (minste apparaten en/of alles DHCP) en die aanpassen. Dan heb je de minste kans op problemen.

[Hann1BaL]

Je zou de prioriteit van je netwerkadapters nog kunnen wijzigen zodat eerst de VPN tunnel wordt geprobeerd VOORDAT de locale verbinding wordt gekozen.

[Kasper1985]

@Hann1BaL Ah! hoe doe ik dat? ben hier niet enorm in thuis helaas.

[FreakNL]

Ga geen rare noodgrepen uithalen met prioriteiten wijzigen! De oplossing is al meerdere malen aangegeven door geonosys. Je hebt nu 2 netwerken met een identieke nummering, daar is niks mis mee, waarschijnlijk zijn er honderden huishoudens in NL met 192.168.0.0/24 of 192.168.1.0/24.
Totdat je gaat VPN-en van de ene naar de andere, dan loopt het in de soep. Je machine heeft dan geen idee waar hij het zoeken moet...

Pak de lokatie aan waar het veranderen van het subnet de minste impact heeft. In principe heeft het veranderen van een subnet impact op;

1) Devices met een static IP
2) Lokale infra die op elkaar afgestemd is (lees: servers/services, nas-en, media players, etc die met elkaar praten op IP).

Simpel gezegd; Als ik het subnet bij mij thuis wil veranderen heb ik best wat werk. Ik draai meerdere servers met static IP en diverse devices benaderen elkaar ook op IP (domoticz, nas, backup zooi, etc etc).

Als ik echter het subnet bij mijn ouders wil veranderen ben ik in 5 minuten klaar. Geen devices met static IP, geen servers.. Dus daar zou het beperkt blijven tot het wijzigen van het IP van de router en de DHCP scope aanpassen.. Daarna een reboot van de laptop, ipad en 2 iphones en klaar is kees...

Jouw "tijdelijke andere woning" lijkt de meest geschikte kandidaat voor omnummering aangezien (voor zover dat in te schatten is) je daar alleen een netgear en een fritz hebt staan....

TL/DR;
Je moet het subnet van de kleinste/simpelste locatie omnummeren naar 192.168.179.0/24

/edit
De oplossing van Paul hieronder klinkt mij zelfs ingewikkeld in de oren en is compleet onnodig.

[ Voor 24% gewijzigd door FreakNL op 11-08-2017 15:30 ]

[Paul]

Je hebt thuis een Netgear router, maar óók een Fritzbox? Hoe heb je dat aangesloten? De WAN-poort van de Netgear op een LAN-poort van de Fritzbox?

Wat je kunt doen is met SSH verbinden naar de Netgear en dan een tunnel opzetten. Als je PuTTY gebruikt dan is dat bij de settings Connection -> SSH -> Tunnels. Vervolgens vul je bij Source Port 8080 in (of een andere poort die je lokale computer nog niet gebruikt) en bij destination 192.168.178.1:80. Vervolgens klik je op Add.

Onder Session vul je bij Host Name (or IP address) het IP-adres van de Netgear in en klik je op Open. Als je bent ingelogd kun je in je browser naar http://127.0.0.1:8080 (of een andere poort, als je die hierboven ook hebt aangepast) en dan zou je er bij moeten kunnen.

[geonosys]

Paul schreef op vrijdag 11 augustus 2017 @ 15:24:
Je hebt thuis een Netgear router, maar óók een Fritzbox? Hoe heb je dat aangesloten? De WAN-poort van de Netgear op een LAN-poort van de Fritzbox?

Wat je kunt doen is met SSH verbinden naar de Netgear en dan een tunnel opzetten. Als je PuTTY gebruikt dan is dat bij de settings Connection -> SSH -> Tunnels. Vervolgens vul je bij Source Port 8080 in (of een andere poort die je lokale computer nog niet gebruikt) en bij destination 192.168.178.1:80. Vervolgens klik je op Add.

Onder Session vul je bij Host Name (or IP address) het IP-adres van de Netgear in en klik je op Open. Als je bent ingelogd kun je in je browser naar http://127.0.0.1:8080 (of een andere poort, als je die hierboven ook hebt aangepast) en dan zou je er bij moeten kunnen.

SSH tunnel gaat niet werken omdat TS ook niet bij de netgear kan.

[Paul]

Kasper1985 schreef op vrijdag 11 augustus 2017 @ 12:14:
Hetzelfde geldt voor de Netgear aangezien hier ook een accespoint staat in dezelfde range als de Netgear bij mij thuis.

Dat is raar. Wat kun je dan wel over de VPN? Want zo te lezen wint je default gateway (de lokale Fritzbox) het van de VPN? Pusht de Netgear überhaupt een route naar je lokale client?

geonosys schreef op vrijdag 11 augustus 2017 @ 15:36:
SSH tunnel gaat niet werken omdat TS ook niet bij de netgear kan.

Niet op het "bekende" IP-adres van de Netgear misschien, maar de VPN-verbinding heeft ook een adres als het goed is, op dat netwerk heeft de Netgear nog een IP-adres. Tenzij het (bijvoorbeeld) OpenVPN met een bridged setup is, maar dan zou je lokale client "in" het netwerk van de Netgear moeten zitten.

Ik denk dat het tijd wordt voor een tekening en misschien de output van wat ipconfig /all commando's

[FreakNL]

Waarom moeilijk doen?

Verander gewoon 1 subnet zodat beide subnets uniek zijn.

Maar ik verval in herhaling.

[geonosys]

Paul schreef op vrijdag 11 augustus 2017 @ 15:49:
[...]
Niet op het "bekende" IP-adres van de Netgear misschien, maar de VPN-verbinding heeft ook een adres als het goed is, op dat netwerk heeft de Netgear nog een IP-adres. Tenzij het (bijvoorbeeld) OpenVPN met een bridged setup is, maar dan zou je lokale client "in" het netwerk van de Netgear moeten zitten.

Yep, point taken.

Ik denk dat het tijd wordt voor een tekening en misschien de output van wat ipconfig /all commando's

Denk niet dat dat nodig is. De oorzaak is duidelijk dus lijkt mij het beter gewoon pragmatisch te zijn en de simpelste oplossing te nemen i.p.v. allerhande kunstgrepen.

-edit-
@FreakNL
2slow4you

[eric.1]

Het makkelijkste is idd je subnetten om te gooien. Maar dat is eigenlijk geen oplossing - meer een dirty quick fix.

De hele bedoeling van een VPN verbinding is juist dat je een "extern" afgesloten (ook private) netwerk remote en veilig kan benaderen (ongeacht wat voor lokaal ip-subnet je op dat moment gebruikt...)...wat hier dus niet geheel lijkt te lukken door enige vorm van split-tunneling (lijkt het).

Ik zou zelf de VPN configs erop nakijken en ervoor zorgen dat een client uitsluitend verkeer via de VPN verbinding verstuurt wanneer de VPN-verbinding actief is. Nu kan verkeer dus ook buiten de tunnel om lopen wat niet werd verwacht, dat is dan sowieso ongewenst..

[geonosys]

eric.1 schreef op vrijdag 11 augustus 2017 @ 16:14:
Het makkelijkste is idd je subnetten om te gooien. Maar dat is eigenlijk geen oplossing - meer een dirty quick fix.

De hele bedoeling van een VPN verbinding is juist dat je een "extern" afgesloten (ook private) netwerk remote en veilig kan benaderen (ongeacht wat voor lokaal ip-subnet je op dat moment gebruikt...)...wat hier dus niet geheel lijkt te lukken door enige vorm van split-tunneling (lijkt het).

Ik zou zelf de VPN configs erop nakijken en ervoor zorgen dat een client uitsluitend verkeer via de VPN verbinding verstuurt wanneer de VPN-verbinding actief is. Nu kan verkeer dus ook buiten de tunnel om lopen wat niet werd verwacht, dat is dan sowieso ongewenst..

Je hebt toch wel gelezen dat de beide netwerken dezelfde range hebben?

[Paul]

geonosys schreef op vrijdag 11 augustus 2017 @ 16:07:
Denk niet dat dat nodig is. De oorzaak is duidelijk dus lijkt mij het beter gewoon pragmatisch te zijn en de simpelste oplossing te nemen i.p.v. allerhande kunstgrepen.

FreakNL schreef op vrijdag 11 augustus 2017 @ 16:05:
Waarom moeilijk doen?

Verander gewoon 1 subnet zodat beide subnets uniek zijn.

Ik denk vooral dat er veel te veel subnetten zijn; ik tel er nu vier (5 als je de VPN zelf meetelt), waarbij twee setjes van twee overlappen. Nu weet ik natuurlijk niet waarom welke keuzes zijn gemaakt maar in veruit de meeste gevallen doe je iets sub-optimaals als je thuis twee subnetten hebt en in beide subnetten apparaten hebt zitten die je wil bereiken; bonuspunten dat je dat met een VPN en overlappende subnetten probeert

eric.1 schreef op vrijdag 11 augustus 2017 @ 16:14:
De hele bedoeling van een VPN verbinding is juist dat je een "extern" afgesloten (ook private) netwerk remote en veilig kan benaderen (ongeacht wat voor lokaal ip-subnet je op dat moment gebruikt...)...wat hier dus niet geheel lijkt te lukken door enige vorm van split-tunneling (lijkt het).

Mwoah, een routed VPN met aan beide kanten hetzelfde subnet is altijd al 'moeilijk', zeker als je enkel site-to-site wil in plaats van "deze site via die andere naar het internet".

[geonosys]

Paul schreef op vrijdag 11 augustus 2017 @ 16:26:
[...]
Ik denk vooral dat er veel te veel subnetten zijn; ik tel er nu vier (5 als je de VPN zelf meetelt), waarbij twee setjes van twee overlappen.

Vier?
Waar zie jij er vier dan (bril opzet )

[eric.1]

geonosys schreef op vrijdag 11 augustus 2017 @ 16:25:
[...]


Je hebt toch wel gelezen dat de beide netwerken dezelfde range hebben?

Dus?
Komt wel vaker voor, als je het goed in hebt geregeld is dat geen enkel probleem

[FreakNL]

Ik ben nog nooit serieuze (aan elkaar geknoopte) netwerken tegengekomen waar op verschillende sites dezelfde range wordt gebruikt. Waarom zou je ook.

Hoe wil je dat "regelen" ?????

/edit
Na je post iets aandachtiger gelezen te hebben snap ik iets beter wat je bedoelt.

In theorie kan het inderdaad zo zijn dat je thuisnetwerk in de range zit van bijvoorbeeld het VPN segment van je werkgever. Dat is af te vangen door inderdaad al het verkeer via de VPN te sturen. Dat zie je ook vaak. Probleem is dan weer wel dat de servicedesk weer moet gaan uitleggen waarom dat iemand zijn WiFi printer thuis niet kan benaderen

Maar los van dit verhaal; Dit is helemaal niet van toepassing in het geval van de TS. Ik denk dat het voor hem veel makkelijker is om zowel zijn lokale als zijn externe resources te kunnen benaderen. Tegelijkertijd. De allersimpelste oplossing daarvoor blijft gewoon staan; Nummer 1 lokatie om.

[ Voor 66% gewijzigd door FreakNL op 11-08-2017 16:47 ]

[Paul]

geonosys schreef op vrijdag 11 augustus 2017 @ 16:27:
[...]

Vier?
Waar zie jij er vier dan (bril opzet )

Op de lokale site Fritzbox 1 en iets met een access point, en op de remote site Fritzbox 2 en de Netgear.

[FreakNL]

Paul,

Volgens mij niet hoor.

Het lijkt er eerder op dat zijn FritzBox de router is op beide lokaties met LAN IP: 192.168.178.1.

Verder heeft hij op beide lokaties een Netgear staan die AP is en blijkbaar ook VPN server. Ik verwacht dat deze op beide lokaties ook hetzelfde IP heeft, bijvoorbeeld 192.168.178.2...

Hij zal (dit zijn allemaal aannames hoor) wel iets met port forwarding gedaan hebben om van buiten naar binnen te kunnen VPN-en.. Maar dit is allemaal niet zo relevant, het grote probleem is gewoon dat hij op beide segmenten hetzelfde subnet heeft gebruikt.

Nogmaals, omnummeren!!!!!!!

[eric.1]

FreakNL schreef op vrijdag 11 augustus 2017 @ 16:37:
Ik ben nog nooit serieuze (aan elkaar geknoopte) netwerken tegengekomen waar op verschillende sites dezelfde range wordt gebruikt. Waarom zou je ook.

Hoe wil je dat "regelen" ?????

/edit
Na je post iets aandachtiger gelezen te hebben snap ik iets beter wat je bedoelt.

In theorie kan het inderdaad zo zijn dat je thuisnetwerk in de range zit van bijvoorbeeld het VPN segment van je werkgever. Dat is af te vangen door inderdaad al het verkeer via de VPN te sturen. Dat zie je ook vaak. Probleem is dan weer wel dat de servicedesk weer moet gaan uitleggen waarom dat iemand zijn WiFi printer thuis niet kan benaderen

Maar los van dit verhaal; Dit is helemaal niet van toepassing in het geval van de TS. Ik denk dat het voor hem veel makkelijker is om zowel zijn lokale als zijn externe resources te kunnen benaderen. Tegelijkertijd. De allersimpelste oplossing daarvoor blijft gewoon staan; Nummer 1 segment om.

Met een site-to-site VPN wordt het lastig..ik lees echter nergens dat dit om een site to site vpn gaat?

Mijn punt was niet zozeer dat het aanpassen van subnetten een slecht idee is, maar dat er blijkbaar iets "onverwachts" gebeurt...nou...als je iets niet wilt in een VPN configuratie (of wat voor andere config dan ook) is iets wat onverwachts gebeurt - en dit onverwachte had afgevangen kunnen worden.

Maar je hebt gelijk...als hij zowel lokale als remote resources wilt benaderen...dan maar omnummeren.

[geonosys]

FreakNL schreef op vrijdag 11 augustus 2017 @ 16:46:
Paul,

Volgens mij niet hoor.

Het lijkt er eerder op dat zijn FritzBox de router is op beide lokaties met LAN IP: 192.168.178.1.

Verder heeft hij op beide lokaties een Netgear staan die AP is en blijkbaar ook VPN server. Ik verwacht dat deze op beide lokaties ook hetzelfde IP heeft, bijvoorbeeld 192.168.178.2...

Hij zal (dit zijn allemaal aannames hoor) wel iets met port forwarding gedaan hebben om van buiten naar binnen te kunnen VPN-en.. Maar dit is allemaal niet zo relevant, het grote probleem is gewoon dat hij op beide segmenten hetzelfde subnet heeft gebruikt.

Nogmaals, omnummeren!!!!!!!

Beat me to it again......
Verder kan ik alleen maar zeggen: eens! We maken het hier onnodig complex.

[Paul]

Kasper noemt zelf de Netgear als 'router' aan de overkant, en een accesspoint in een 'range'.

Als die 'range' 'adres' moet zijn en die 'router' 'access point' dan zijn er inderdaad maar twee subnetten, maar vandaar dus dat ik denk dat er dingen door elkaar worden gehaald en dat een tekening en ipconfig-output kunnen helpen

[geonosys]

Ik heb het vermoeden dat het allemaal niet zo moeilijk in elkaar steekt.

Maar ja, aannames.

[Hann1BaL]

Kasper1985 schreef op vrijdag 11 augustus 2017 @ 14:54:
@Hann1BaL Ah! hoe doe ik dat? ben hier niet enorm in thuis helaas.

https://www.ghacks.net/20...priorities-in-windows-10/