VPN en lokaal scheiden

[easydisk]

Na veel geprobeerd te hebben kom ik er even niet uit.

Aanwezig:
FirtzBox 5490 (IP: 192.168.178.1)
Qnap 253Be met QNap VPN server en Virtual server.

Gewenst:
Extern met VPN inloggen (PPTP liefst, anders L2TP/IPSEC)
Maar dat de gebruikers die inloggen met VPN mogen niet het lokale netwerk kunnen zien. (geen Sonos , TV, Upnp servers, printer, etc.)

Gedaan:
1. Qnap achter het interne netwerk van de Fritzbox 5490, poort 1723 open gezet en naar de Qnap laten verwijzen.
Inloggen werkt => vpn gebruiker krijgt 10.0.0.2 en subnet mask 255.255.255.255, gateway/dns server is 192.168.178.1

Echter na wat wachten en proberen zijn de gebruikers die via VPN inloggen in staat de shares, TV, Sonos, etc te zien. Dat wil ik niet. Zij mogen dat niet zien.

1a. in Qnap de toegang van 10.0.0.2 t/m 10.0.0.254 geblokkeerd. Helaas dan vallen een aantal Qnap apps uit (virtual machine, vpn server) dus de regel weer weggehaald.

1b. de qnap met 1 kabel achter LAN 4 gezet (guest netwerk van de fritzbox, ip adres wordt dan 192.168.179.xxx)
Helaas, in de Fritxbox kan ik geen nat doen op het guest netwerk, dus weer op het interne netwerk gezet.

2. PPTP op de virtual server geïnstalleerd, poort doorgestuurd naar dat IP adres.
Helaas, ook hier zien de gebruikers na verloop van tijd de apparaten op het interne netwerk (192.168.178.xxx)


Mijn vermoeden is de oplossing bij de Fritzbox gevonden moet worden, dat daar een regel moet komen dat 10.0.0.2-10.0.0.254 niet terug het 192.168.178.xxx netwerk op mag (de fritxbox kan dat wel want met poort 4 is er ook een guest netwerk mogelijk wat niet op 192.168.178.xxx mag)

Wie kan me verder helpen ?

[Verwijderd]

easydisk schreef op zondag 8 juli 2018 @ 15:06:
1a. in Qnap de toegang van 10.0.0.2 t/m 10.0.0.254 geblokkeerd. Helaas dan vallen een aantal Qnap apps uit (virtual machine, vpn server) dus de regel weer weggehaald.

Wat je dan wil is dat subnet niet routeren. Of, als er nog wel door de VPN weer naar buiten gegaan mag worden, specifiek verkeer tussen 192.168.178.0/24 en 10/8 (beetje groot subnetje dat je daar pakt) en vice versa blokkeren. Dus niet "met deze IPadressen mag niemand praten" maar "deze en die groepen IPadressen mogen niet met elkaar praten."

1b. de qnap met 1 kabel achter LAN 4 gezet (guest netwerk van de fritzbox, ip adres wordt dan 192.168.179.xxx)
Helaas, in de Fritxbox kan ik geen nat doen op het guest netwerk, dus weer op het interne netwerk gezet.

Dit klinkt als grote onzin, want zonder NAT "werkt internet niet" vanaf private adressen. Dus er is iets anders aan de hand.

2. PPTP op de virtual server geïnstalleerd, poort doorgestuurd naar dat IP adres.
Helaas, ook hier zien de gebruikers na verloop van tijd de apparaten op het interne netwerk (192.168.178.xxx)

Klinkt als hetzelfde probleem als 1a.

Mijn vermoeden is de oplossing bij de Fritzbox gevonden moet worden, dat daar een regel moet komen dat 10.0.0.2-10.0.0.254 niet terug het 192.168.178.xxx netwerk op mag (de fritxbox kan dat wel want met poort 4 is er ook een guest netwerk mogelijk wat niet op 192.168.178.xxx mag)

Als je verkeer tussen 192.168.178.0/24 en 192.168.179.0/24 wil blokkeren, dan moet je op de fritzbox zijn.
Wil je verkeer tussen 192.168.178.0 en 10.0.0.0/8 blokkeren, dan moet je op de QNAP zijn.

Als je toch bezig bent, mischien nog even goed om uit te zoeken wat die QNAP nou precies met 10.0.0.0/8 verkeer doet. Wellicht ook NAT? Of hoe zorgt'ie anders dat "het werkt", RIP mischien?

[HKLM_]

Gebruik a.u.b geen PPTP vpn meer dan kan je net zo goed je systeem zonder vpn naar buiten open zetten.

PPTP is achterhaald en totaal niet veilig meer. Mocht je een apple device hebben dan is PPTP zelfs niet meer ondersteund vanuit ios.