Hoe bereik ik een IP van een ander netwerk?

[Appie_20000]

Mijn vraag

Ik ben opzoek naar een oplossing om een bepaald IP adres te bereiken van een netwerk dat in een netwerk zit.

Ik heb een router onder een router geplaatst zodat de ik controle hou over wat er in dit netwerk gebeurd. Echter zijn er bepaalde devices die een IP adres moeten kunnen bereiken met port 8000 in mijn netwerk. Deze devices zitten in het andere netwerk. Mijn netwerk zit via een switch gekoppeld aan de router van het andere netwerk.

Ik heb port forwarding geprobeerd maar het werkte niet of ik heb het niet goed gedaan.
Een VPN is niet gewenst.

Heeft iemand de oplossing of advies voor mij ??

Als het niet mogelijk is hoor ik het ook graag.

[lier]

Kan je een netwerk diagram maken?
Mogelijk moet je een route toevoegen, maar op basis van deze informatie is dat niet te zeggen.

[Appie_20000]

lier schreef op maandag 21 augustus 2023 @ 15:05:
Kan je een netwerk diagram maken?
Mogelijk moet je een route toevoegen, maar op basis van deze informatie is dat niet te zeggen.

Ja ik zal even wat in elkaar zetten moment.

[Coach4All]

1. Van welk netwerk naar welk netwerk...
2. Welk subnet gebruik je in beide netwerken.
3. NAT je van het ene naar het andere netwerk?

[Appie_20000]

De WAN van netwerk 2 zit op de router van netwerk 1.
Device 1 moet verbinding kunnen maken met device 2, 3 en 4

Subnet van netwerk 1: 255.255.255.0
Subnet van netwerk 2: 255.255.255.0

Sorry maar wat houd NAT van het ene naar het andere netwerk in?


Ik heb device 3 en 4 verkeerd getekend sorry deze gaan via Netwerk2 router.

[ Voor 10% gewijzigd door Appie_20000 op 21-08-2023 15:17 ]

[_--[]--__]

Je zult handmatig een route aan moeten maken in beide routers. De adressen die je gebruikt (192.168.x.x & 10.x.x.x zijn "private" adressen die standaard niet gerouteerd worden

[Appie_20000]

_--[]--__ schreef op maandag 21 augustus 2023 @ 15:17:
Je zult handmatig een route aan moeten maken in beide routers. De adressen die je gebruikt (192.168.x.x & 10.x.x.x zijn "private" adressen die standaard niet gerouteerd worden

Hoe zou ik dat moeten doen?
Voor netwerk 2 gebruik ik spul van TP-Link met het omada systeem.

[ Voor 9% gewijzigd door Appie_20000 op 21-08-2023 15:19 ]

[_--[]--__]

Appie_20000 schreef op maandag 21 augustus 2023 @ 15:18:
[...]


Hoe zou ik dat moeten doen?

Dat hangt af van het type router die je gebruikt (of dat uberhaupt mogelijk is). In router netwerk 1 geef je aan dat alle 10.x.x.x adressen achter de rechter lan poort op je tekening zitten en in router netwerk 2 geeft je aan dat 192.186.x.x. achter de WAN interface hangen.

Zoek in de handleiding van je routers naar iets als "static route toevoegen"

[ Voor 8% gewijzigd door _--[]--__ op 21-08-2023 15:22 ]

[Appie_20000]

_--[]--__ schreef op maandag 21 augustus 2023 @ 15:20:
[...]

Dat hangt af van het type router die je gebruikt (of dat uberhaupt mogelijk is). In router netwerk 1 geef je aan dat alle 10.x.x.x adressen achter de rechter lan poort op je tekening zitten en in router netwerk 2 geeft je aan dat 192.186.x.x. achter de WAN interface hangen.

Zoek in de handleiding van je routers naar iets als "static route toevoegen"

De router die ik gebruik voor netwerk 2 heeft de mogelijk tot een routing.
De router van netwerk 1 weet ik niet dit zal ik na moeten kijken.
Stel de router van netwerk 1 heeft de mogelijkheid, zal de router van netwerk 2 naar de verbinding naar de router van netwerk 1 via LAN zeker moeten of kan deze op de WAN port blijven staan?
Ik heb een VPN verbinding op de router van Netwerk 2 staan omdat ik er van een afstand bij moet kunnen.

[ Voor 11% gewijzigd door Appie_20000 op 21-08-2023 15:26 ]

[legofanaten]

Misschien een zijvraag, maar waarom twee aparte routers, en niet één router met verschillende VLANs? Dan kun je nog steeds verkeer gescheiden houden en aparte IP ranges instellen, zonder dat je twee verschillende routers (in dit geval ook nog van twee verschillende merken) met elkaar moet laten praten. Gezien de geavanceerde instellingen die je Omada router lijkt te kunnen, zou ik verwachten dat die ook wel VLANs kan.

[Groentjuh]

Je moet nadenken over iedere stap die een packet moet maken en kijken of dat goed gaat.
Laten we kijken naar bijvoorbeeld van device 1 (192.168.1.46) naar device 2 (10.10.0.90).
Device 1 kent enkel 192.168.1.x en de rest wordt naar 192.168.1.1 gestuurd. In dit geval stuurt device 1 verkeer voor device 2 naar de Router netwerk 1 (192.168.1.1)
Als het goed is blokkeert de firewall op Router netwerk 1 dat verkeer niet. Router netwerk 1 kent 192.168.1.x en stuurt al het andere verkeer naar zijn gateway (jouw ISP).
Jouw ISP blokkeert privénetwerken, dus verdwijnt het verkeer daar.

Router netwerk 1 moet dus weten dat verkeer voor 10.10.0.90 naar Router netwerk 2 (192.168.1.35 & 10.10.0.1) moet i.p.v. zijn gateway (jouw ISP). Daarvoor is dus bijvoorbeeld een static route voor nodig.

En zo moet je dus denken om het hele pad te maken.

Poort forwarding kan overigens ook. Op router netwerk 2 kan je bijvoorbeeld port 8000 forwarden naar poort 8000 van device 2.

Op device 1 ga je dan naar 192.168.1.35:8000 en dan krijg je:
Device 1 kent 192.168.1.35, want dat is onderdeel van 192.168.1.x en stuurt het verkeer naar Router netwerk 2 (192.168.1.35). Dat gebeurd via de switch van Router netwerk 1, maar die routeerd niets in dit geval.
Router netwerk 2 (192.168.1.35&10.10.0.81) doet poortforwarding en herschrijft het packet zodat het voor 10.10.0.90:8000 is. Router netwerk 2 (192.168.1.35&10.10.0.1) kent 10.10.0.x en dus ook 10.10.0.90 en stuurt het pakket naar 10.10.0.90
Device 2 ontvangt het pakket (zolang een firewall op device 2 het niet tegenhoud)

[Appie_20000]

legofanaten schreef op maandag 21 augustus 2023 @ 15:45:
Misschien een zijvraag, maar waarom twee aparte routers, en niet één router met verschillende VLANs? Dan kun je nog steeds verkeer gescheiden houden en aparte IP ranges instellen, zonder dat je twee verschillende routers (in dit geval ook nog van twee verschillende merken) met elkaar moet laten praten. Gezien de geavanceerde instellingen die je Omada router lijkt te kunnen, zou ik verwachten dat die ook wel VLANs kan.

De reden hiervoor is omdat ik bij een bedrijf werk die dingen plaatst bij een ander bedrijf die niet zichtbaar moeten zijn bij hun hoofdnetwerk en hierdoor houden wij de verantwoordelijkheid en controle zelf over deze devices.

[Dr Pro]

Dan zou ik het bedrijf gewoon iemand laten inhuren die ff een knap tekeningetje maakt en een goed plan op papier zet welke iemand dan uitvoert. Anders blijft het houtje-touwtje...

[Appie_20000]

Dr Pro schreef op maandag 21 augustus 2023 @ 16:23:
Dan zou ik het bedrijf gewoon iemand laten inhuren die ff een knap tekeningetje maakt en een goed plan op papier zet welke iemand dan uitvoert. Anders blijft het houtje-touwtje...

Het bedrijf waar ik bezig ben heeft een 2de partij voor het netwerk dus ik zal deze vragen of het mogelijk is om dit voor elkaar te krijgen.

[sypie]

Het moet zeker kunnen want "ik kan het ook". Hier kan ik vanaf mijn netwerk (10.0.0.x) netjes op mijn modem komen (192.168.2.x). Mijn netwerk heeft een eigen router en het modem kan ook routeren. Die heeft alleen niks te doen omdat alles doorgestuurd wordt naar mijn router.

In dit geval moet het tweede bedrijf dit toch voor elkaar kunnen krijgen, tenzij het geen netwerk gespecialiseerd bedrijf is.

[Appie_20000]

sypie schreef op maandag 21 augustus 2023 @ 16:30:
Het moet zeker kunnen want "ik kan het ook". Hier kan ik vanaf mijn netwerk (10.0.0.x) netjes op mijn modem komen (192.168.2.x). Mijn netwerk heeft een eigen router en het modem kan ook routeren. Die heeft alleen niks te doen omdat alles doorgestuurd wordt naar mijn router.

In dit geval moet het tweede bedrijf dit toch voor elkaar kunnen krijgen, tenzij het geen netwerk gespecialiseerd bedrijf is.

Duidelijk, dan ga ik contact opnemen met de des betreffende partij.
Dank je wel.

[W1ck1e]

Appie_20000 schreef op maandag 21 augustus 2023 @ 15:14:
...
Sorry maar wat houd NAT van het ene naar het andere netwerk in?
...

De gemiddelde router doet NAT.
Dat betekent dat de router aan de wan kant (= buitenkant) een enkel adres heeft, bijvoorbeeld 81.82.83.84. En aan de andere kant deelt de router adressen uit in een private ip range bijvoorbeeld 192.168.x.y (in jouw tekening zijn er al 2 nat routers: 192.168.1.x & 10.0.y.z)

In principe zijn apparaten aan de lan kant onzichtbaar vanaf de wan kant.
zonder portforwarding wordt communicatie door een router heen altijd geinitieerd door een device aan de lan kant. niet aan de wan kant.

Netwerk 1 zit aan de wan kant van netwerk 2. dus voor verkeer van netwerk 1 naar netwerk 2 moet je iets aan portforwarding doen. op router 2

[ Voor 4% gewijzigd door W1ck1e op 21-08-2023 17:02 ]

[laurens0619]

Gaat je niet zomaar lukken.
Device 2 zit als ware achter een nat/firewall zoals een reguliere pc aan internet hangt. Je zal dus port mappings op de wan kant moeten maken van netwerk 2 en verbinding maken met het wan ip van router 2.

Andersom kan wel en hoef je niets voor te doen. Device 2,3,4 kunnen zonder problemen bij device 1

Als het wat geavenceerder spul is zou het met static routes kunnen werken

[ Voor 10% gewijzigd door laurens0619 op 21-08-2023 22:09 ]

[Appie_20000]

laurens0619 schreef op maandag 21 augustus 2023 @ 22:07:
Gaat je niet zomaar lukken.
Device 2 zit als ware achter een nat/firewall zoals een reguliere pc aan internet hangt. Je zal dus port mappings op de wan kant moeten maken van netwerk 2 en verbinding maken met het wan ip van router 2.

Andersom kan wel en hoef je niets voor te doen. Device 2,3,4 kunnen zonder problemen bij device 1

Als het wat geavenceerder spul is zou het met static routes kunnen werken

Stel ik zou de WAN naar een LAN port pluggen.
Dan zou het wel mogelijk zijn?

[Kabouterplop01]

Het antwoord is ja dat kan.
Als je 2 ongelijke netwerken met elkaar wilt verbinden moet je routeren.(dat kun je testen door pingen)
Als je daarna een port wil bereiken mocht dat niet lukken, dien je pas een port te forwarden.

[laurens0619]

Appie_20000 schreef op dinsdag 22 augustus 2023 @ 08:09:
[...]


Stel ik zou de WAN naar een LAN port pluggen.
Dan zou het wel mogelijk zijn?

Nou dan krijg je 2 dhcp servers en is je complete “segmentatie” weg. Plus dan krijgt alles ip in dezelfde reeks.

segmentatie is complex, daarom zie je nog zo vaak platte open netwerken

[Appie_20000]

Corrigeer mij als ik het fout heb maar het beste wat ik kan doen is de router van netwerk2 op de WAN laten zitten en doormiddel van routing en port forwarding de connectie tussen device 1 en device 2 tot stand brengen.

[W1ck1e]

@Appie_20000 Volgens mij "moet" je op de router van netwerk 2 port forwarding instellen naar device 2 3 & 4. Op 3 verschillende poorten.
En ja, dus de wan poort van router 2 gebruiken als aansluiting richting router 1.
en devices als device 1 kunnen dus device 2 3 & 4 bereiken via het wan adres van router 2 in combinatie met de juiste poort.

[ Voor 45% gewijzigd door W1ck1e op 22-08-2023 09:17 ]

[Frogmen]

Om te beginnen is het natuurlijk een schijn veiligheid die je gebruikt maar dat terzijde. Werken met Vlan's zou beter zijn. Poortforwarden gaat prima werken alleen moet je voor ieder IP adres wat je wilt benaderen een andere poort gebruiken zodat als je naar 192.168.1.35:8001 gaat deze forwar naar 10.10.0.1:8000.
Denk dat je daarin een denk fout hebt gemaakt .

[Appie_20000]

In router 2 heb ik nu source port 8000 Destination IP 192.168.1.35 destination port 8001.
Source ip staat op any.
Of zal destination ip 10.10.0.1 moeten zijn?

[F_J_K]

10.10.0.90 bijvoorbeeld, als het verkeer daar uit moet komen.

Appie_20000 schreef op dinsdag 22 augustus 2023 @ 09:02:
Corrigeer mij als ik het fout heb maar het beste wat ik kan doen is

Het beste is een heel andere netwerkopzet die van beide netwerken 1 maakt, en niet NAT-achter-NAT. Of een eigen internetlijn nemen.

[F_J_K]

Aanvulling: inkoppertje maar toch, je dient er natuurlijk voor te zorgen dat (ook) de via portmapping bereikbare apparaten goed beveiligd zijn. Altijd alles geüpdatet. Goede passwords, MFA, alleen inschakelen wat nodig is, etc.

[Appie_20000]

Helaas is het geen optie om er 1 netwerk van te maken.
De forwarding heb ik op deze manier ingesteld als ik het goed heb begrepen zou dit moeten kloppen.
De source IP zijn de IP adressen die van router 1 komen en willen communiceren met het IP 10.10.0.90.
Dit is in router 2.
De source ip zal naar limited kunnen om zo de overbodige en niet gewilde verbindingen eruit te filteren?

[Groentjuh]

Waarom source port 8001 en niet ook 8000?

[Appie_20000]

Omdat ik eerder las dat dit moest maar dat hoeft dus niet.
Pas hem aan naar 8000

[Groentjuh]

Dan lijkt mij dat prima. Let wel op dat je vanuit netwerk 1 niet naar 10.10.0.90:8000 moet gaan, maar naar 192.168.1.35:8000.

Dan zou het met die poort forward op router 2 moeten werken.

[W1ck1e]

Appie_20000 schreef op dinsdag 22 augustus 2023 @ 11:46:
In router 2 heb ik nu source port 8000 Destination IP 192.168.1.35 destination port 8001.
Source ip staat op any.
Of zal destination ip 10.10.0.1 moeten zijn?

Neen, neen

op router 2

device 2: source ip any, source port 8001, destination ip 10.10.0.90, dest port 8000
device 3: source ip any, source port 8002, destination ip 10.10.0.81, dest port 8000
device 4: source ip any, source port 8003, destination ip 10.10.0.50, dest port 8000

door ipv any iets in te vullen bij source ip beperk je de toegang, waardoor het wellicht iets veiliger wordt.

[Groentjuh]

W1ck1e schreef op dinsdag 22 augustus 2023 @ 12:56:
[...]

door ipv any iets in te vullen bij source ip beperk je de toegang, waardoor het wellicht iets veiliger wordt.

Router 2 zit al achter een NAT, dus daar maak ik mij persoonlijk geen zorgen.

[W1ck1e]

Groentjuh schreef op dinsdag 22 augustus 2023 @ 12:58:
[...]

Router 2 zit al achter een NAT, dus daar maak ik mij persoonlijk geen zorgen.

Vandaar "wellicht". En devices in netwerk 1 kunnen ook al gecompromitteerd zijn.

[Groentjuh]

W1ck1e schreef op dinsdag 22 augustus 2023 @ 12:56:
device 2: source ip any, source port 8001, destination ip 10.10.0.90, dest port 8000
device 3: source ip any, source port 8002, destination ip 10.10.0.81, dest port 8000
device 4: source ip any, source port 8003, destination ip 10.10.0.50, dest port 8000

door ipv any iets in te vullen bij source ip beperk je de toegang, waardoor het wellicht iets veiliger wordt.

Voor de TS: Je kunt een source port maar 1 keer forwarden. Dus als je poort 8000 (source poort) naar 10.10.0.90 poort 8000 stuurt, kan je niet nog iets op source poort 8000 doen.

Dus als device 3 ook bereikbaar moet zijn, dan kun je daar geen source port 8000 voor gebruiken. Daarvoor kun je dan bijvoorbeeld source poort 8001 gebruiken.

[Groentjuh]

W1ck1e schreef op dinsdag 22 augustus 2023 @ 13:00:
[...]

En devices in netwerk 1 kunnen ook al gecompromitteerd zijn.

Ja, maar dan zitten ze waarschijnlijk ook in die allowed IPs lijst, dus dat heeft dan geen meerwaarden toch?

[Appie_20000]

Ik heb een verbinding!!
Mijn fout is dat niet port 8000 voor deze verbinding word gebruikt maar een andere die onbekend is.
Ik ga nu porten testen en dan hoop ik dat alles werkt zoals ik wil.

Dank jullie voor de hulp

[Appie_20000]

Ik gebruik nu voor device 3 port 8001 dit houd in dat communicatie wederzijds mogelijk is?

[F_J_K]

Appie_20000 schreef op dinsdag 22 augustus 2023 @ 14:31:
Ik gebruik nu voor device 3 port 8001 dit houd in dat communicatie wederzijds mogelijk is?

Probeer het en je weet het Hangt erg af van de applicatie. In de regel wel.

Appie_20000 schreef op dinsdag 22 augustus 2023 @ 12:50:
Helaas is het geen optie om er 1 netwerk van te maken.

Voor de duidelijkheid: 1 netwerk betekent heel erg niet dat de apparaten in het ene segment die in het andere kunnen benaderen. Dat kan netjes gescheiden - mits professioneel ingericht. Het voorkomt hopelijk problemen die je met NAT-achter-NAT kunt / zult gaan hebben. Maar goed, dat is aan jullie.

[laurens0619]

met netstat -an kun je zien met welke poorten je pc een verbinding probeert te maken. Zo kun je de benodigde poort misschien vinden?

Wederzijds hangt van het protocol af. Bij een normale verbinding hoeft het maar 1 kant op te gaan om tweeweg verkeer te hebben omdat er een sessie open wordt gezet.
Maar het kan ook dat het spul verbinding terug wilt maken op het source ip, dat zal stuk gaan want dat is de router in dit geval

[Appie_20000]

Ik denk dat dat het probleem is in dit geval.
Via port 8000 moet device 3 informatie sturen naar device 1.
Dus dat word lastig..

[Mystic Spirit]

Je zou dit misschien ook op kunnen lossen met een overlay netwerk als Tailscale of Zerotier. Geeft wel meer overhead en je introduceert weer andere risico's, maar als je niet goed weet hoe je NAT in moet stellen en afhankelijk bent van andere partijen om dat voor je te doen kan het wel een makkelijke oplossing zijn.

[laurens0619]

Appie_20000 schreef op dinsdag 22 augustus 2023 @ 15:52:
Ik denk dat dat het probleem is in dit geval.
Via port 8000 moet device 3 informatie sturen naar device 1.
Dus dat word lastig..

Nee hoor, 3 kan gewoon naar 1 dat is routeerbaar

[Appie_20000]

Dan zal in router 1 ook het een ander aangepast moeten worden neem ik aan.

[laurens0619]

Tenzij je daar hele specifieke configuratie in hebben staan: nee dat hoeft niet.

Als Device2 naar 192.168.x wilt dan vraagt die dit aan zn default gateway omdat device2 niet in die range zit.
Device 2 kent die range want daar hangt zijn WAN ip aan, hij zal dus het verkeer doorzetten naar device 1

[Appie_20000]

Volgens mij is dat wel het geval maar ik heb contact opgenomen met de partij die de router heeft geplaatst en zij gaan kijken hoe we dit voor elkaar krijgen.

Dus tot zo ver ligt het niet meer in mijn handen.