VPN unter OSX und Standardgateway benutzen

[adehlfing]

Hallo Leute,

mir fliegt hier gerade echt der Kopf weg und ich bin mit meinem Latein am Ende. Auch drei-stündiges googlen verhalf mir nicht zu einer Lösung.

Ich möchte von unterwegs aus eine VPN Verbindung mit meiner heimischen FritzBox 7270 herstellen, dies kann wahlweise mit dem OSX eigenen VPN Tool passieren, aber auch mit einem (möglichst kostenlosen) Third-Party Programm.

Die Einrichtung und das Herstellen einer Verbindung ist gar kein Problem, nur möchte ich bei einer bestehenden Verbindung das mobile Internet ganz normal weiternutzen, das Remote-Netzwerk soll dafür NICHT benutzt werden. Unter Windows XP erreicht man dies ganz einfach, indem man den Menüpunkt "Standardgateway für das Remotenetzwerk verwenden" in den Einstellungen aktiviert.

Wo finde ich die Option unter OSX? Es kann doch nicht sein, dass so eine einfache Funktion unter WinXP implementiert ist, unter OSX Lion (!) jedoch nicht?!

Bedanke mich schon jetzt für hilfreiche Beiträge!

 

[adehlfing]

Niemand eine Idee? Ansonsten rufe ich morgen mal bei Apple an, dann soll mir der Kundenberater das erklären.

 

[Insulaner]

Also, ich verstehe, was Du machen möchtest.
Allerdings ist dieses "Feature" sehr oft nicht erwünscht/erlaubt.
Sicherheitsrisiko, weil gleichzeitig im Privaten Netz und im unsicheren Internet.

Ich habe das selber mit dem VPN-Client von MAC noch nicht ausprobiert.
Allerdings würde ich annehmen, dass diese Konfiguration an Deinem
VPN-Gateway erfolgt. So ist das jedenfalls bei sehr vielen VPN-Lösungen.
Muss eigentlich auch so sein, weil sonst durch rumfummeln an der Client-Seite
das VPN unerwünscht geöffnet werden könnte.

Also:
Bei dem VPN-Gateway konfigurierst Du normalerweise, welche Netze erreicht werden dürfen.
In der Regel soll das so sein, dass alles durch den VPN-Tunnel geht.
Das ist sogut wie immer Default.
Nehmen wir an, Du hast das Netz 192.168.1.0 mit der Subnetzmaske 255.255.255.0
und nur dieses Netz soll durch den VPN-Tunnel erreicht werden, so würde ich mal schauen,
ob Du bei dem Gateway, explizit dieses Netz proklamieren kannst.

 

[adehlfing]

Hallo Insulaner,

erstmal vielen Dank für deine Antwort.

Dass dieses Feature teilweise nicht erlaubt ist, kann ich verstehen. Bei mir geht es allerdings nur um den Zugriff auf mein NAS auf dem sich hauptsächlich Musik befindet, von mir aus können Hacker ruhig an meinem Musikgeschmack teilhaben Sicherheit steht also nicht an erster Stelle.

Ich bin leider noch nicht sehr bewandelt, was VPN angeht, daher habe ich VPN mit folgender Anleitung von AVM eingerichtet:
http://www.avm.de/de/Service/Service-Portale/Service-Portal/VPN_Interoperabilitaet/16206.php

Was müsste ich hier verändern, damit dein Lösungsvorschlag greift?

Alternativlösung: Falls ich es gar nicht hinbekomme, würde es mich zumindest freuen, wenn ich über das VPN Netzwerk ins Internet käme, denn zur Zeit funktioniert nichteinmal das.

Grüße!

 

[Insulaner]

Hallo,

so wie ich das sehe ist der Punkt 11 in der Konfiguration zu ändern:

Zitat:
11
Bei bestehender VPN-Verbindung werden alle Internetanfragen an die FRITZ!Box weitergeleitet. Beim Einsatz einer FRITZ!Box mit einer Firmware-Version ab xx.04.86 können Sie auch bei bestehender VPN-Verbindung auf Server außerhalb des FRITZ!Box-Netzwerks zugreifen, wenn Sie im Wert des Eintrags "accesslist" den unterstrichenen Teil wie folgt ändern:

accesslist = "permit ip 0.0.0.0 0.0.0.0 192.168.100.201 255.255.255.255";
HINWEIS: Jetzt werden bei bestehender VPN-Verbindungen alle Internetanfragen über die entfernte FRITZ!Box geleitet. So können Sie bspw. Ihre E-Mails auch aus öffentlichen und unsicheren WLAN-Netzwerken verschlüsselt abrufen.


Es muss heissen:
accesslist = "permit ip 192.168.100.0 0.0.0.255 192.168.100.201 255.255.255.255";

Damit wird dann nur das Netz 192.168.100.0 in den VPN-Tunnel geschickt. Wichtig ist die invertierte Subnetzmaske bei der Accessliste einzutragen,
also nicht wie gewohnt 255.255.255.0 sondern 0.0.0.255.
Probiers mal aus. Sollte dann klappen.

 

[AcidUncle]

Hi,

das Problem an der Geschichte ist, dass Du für das was Du vor hast Split-Tunneling konfigurieren musst. Dabei wird in einer Policy auf deinem VPN-Gateway definiert, welche Destination-IP's oder Netze Du in den IPSec-Tunnel schickst und welches den normalen weg also am Tunnel dran vorbei gehen.

Ich kann Dir aber nicht sagen, ob das bei einer FritzBox funktioniert...... bei einer ASA ist das kein Ding.

Greetz
AcidUncle