VPN-Tunnel via DSL - welche Hardware muss sein?

Computer: Hardware Netzwerk
1

Hallo liebe Wissende,

wir planen zwischen zwei Betriebsstätten ein VPN zu errichten, um die Rechner miteinander zu vernetzen. Nun haben wir mal einen Fachmann gefragt und bekamen von diesem die Antwort, dass das mit handelsüblichen Routern á la D-Link nicht gehen würde. Man brauche besondere Router, z.B. LANCOM für ca. 400 € /St., sowie spezielle Software, so dass das Ganze mit ca. 1000 € zu Buche schlüge.

Nun kenne ich es aber aus meiner alten Firma, dass das dortige VPN mit ganz normalen Routern lief. Und wundere mich nun etwas über diesen Rat…

Wer weiss was?

Dank & Gruß
Claus

2

Hi,

wir planen zwischen zwei Betriebsstätten ein VPN zu errichten,
um die Rechner miteinander zu vernetzen.

Wer weiss was?

Mit was für Leitungen (auf beiden Seiten!) wollt ihr das denn realisieren?

Gruß,

Malte

3

Hallo Malte,

mit 56k-Modems natürlich :wink:
Kleiner Scherz, wir haben DSL, das eine ist DSL 6000, das andere IIRC ne 3000er-Leitung.
Letztlich geht es nur um eine Access-basierte Anwendung, die gemeinsam genutzt werden soll…

Any ideas?

Gruß
Claus

4

Hi,

mit 56k-Modems natürlich :wink:
Kleiner Scherz, wir haben DSL, das eine ist DSL 6000, das
andere IIRC ne 3000er-Leitung.
Letztlich geht es nur um eine Access-basierte Anwendung, die
gemeinsam genutzt werden soll…

Any ideas?

Ja. Die Leitungen sind ja ziemlich schmal, insofern berücksichtigt bei eurer Planung, dass die VPN-Bandbreite von der verfügbaren Bandbreite für den Internettraffic abgezogen werden muss (auch jeweils die Senderichtung beachten, die ja bei ADSL stets erheblich geringer ist!).

So, jetzt zur Umsetzung:

Wenn ihr von den Leitungen her in diesem Rahmen bleibt, dann kann man das natürlich mit zwei SOHO-Routern machen. Ich würde allerdings von D-Link abraten, hab keine guten Erfahrungen mit Geräten dieser Firma gemacht. Besser ist da schon sowas: http://www.netgear.de/Produkte/Router/Firewall/FVS12… (nur ein Beispiel, nicht als konkrete Produktempfehlung werten!).

Es gibt jedoch noch ein wenig mehr zu bedenken - nicht nur die Bandbreite ist entscheidend, sondern auch die Anzahl der gleichzeitig auftretenden Verbindungen. Es wäre nicht das erste Mal, dass ein SOHO-Router daran scheitert.

Außerdem stellt sich immer die Frage der Zukunftssicherheit - reicht so eine Schmalspurlösung auch in 1/3/5 Jahren noch? Es entstehen ja nicht nur Kosten für die Hardwareanschaffung, sondern auch für Konfiguration, Administration und jew. Einarbeitung.

Zuletzt bleibt noch ein Punkt, den (IIRC) Schorsch hier unlängst anbrachte: Es gibt einem Admin kein gutes Gefühl, wenn Internetgateway, Firewall und VPN-Terminator auf ein und derselben Maschine bereitgestellt werden.

Alles drei sind Geschichten, die zumindest sorgfältig durchdacht und implementiert werden sollten. Sie tragen alle das Potential in sich, Löcher in eure Netzwerkgrenzen zu bohren. Ein site-to-site-VPN sit da zwar nicht so kritisch wie ein VPN-ZUgriff von außen, aber trotzdem…

Gruß,

Malte

5

Hallo Malte,

Ja. Die Leitungen sind ja ziemlich schmal, insofern
berücksichtigt bei eurer Planung, dass die VPN-Bandbreite von
der verfügbaren Bandbreite für den Internettraffic abgezogen
werden muss (auch jeweils die Senderichtung beachten, die ja
bei ADSL stets erheblich geringer ist!).

okay, spätestens jetzt muss ich mich outen als DAU. Was ist da so massiv an Datensendung nötig? Vielleicht reden wir auch aneinander vorbei: Wir reden von der gemeinsamen Verwendung einer Access-Datenbank mit einem Umfang von heute ca. 65 MB, lass uns mit Blick auf die Zukunft 100 MB sagen.

So, jetzt zur Umsetzung:
Wenn ihr von den Leitungen her in diesem Rahmen bleibt, dann
kann man das natürlich mit zwei SOHO-Routern machen. Ich würde
allerdings von D-Link abraten, hab keine guten Erfahrungen mit
Geräten dieser Firma gemacht. Besser ist da schon sowas:
http://www.netgear.de/Produkte/Router/Firewall/FVS12…
(nur ein Beispiel, nicht als konkrete Produktempfehlung
werten!).

Gibt es dafür einen Grund?

Es gibt jedoch noch ein wenig mehr zu bedenken - nicht nur die
Bandbreite ist entscheidend, sondern auch die Anzahl der
gleichzeitig auftretenden Verbindungen. Es wäre nicht das
erste Mal, dass ein SOHO-Router daran scheitert.

Was auch immer SOHO heißen mag :frowning:

Zuletzt bleibt noch ein Punkt, den (IIRC) Schorsch hier
unlängst anbrachte: Es gibt einem Admin kein gutes Gefühl,
wenn Internetgateway, Firewall und VPN-Terminator auf ein und
derselben Maschine bereitgestellt werden.
Alles drei sind Geschichten, die zumindest sorgfältig
durchdacht und implementiert werden sollten. Sie tragen alle
das Potential in sich, Löcher in eure Netzwerkgrenzen zu
bohren. Ein site-to-site-VPN sit da zwar nicht so kritisch wie
ein VPN-ZUgriff von außen, aber trotzdem…

Hm, denke ich denn so in die falsche Richtung? Ich kenne das mit dem VPN aus dem Programm, was wir beim Rettungsdienst für die Einsatzabrechnung genutzt haben (sollte dir ja bekannt vorkommen). War auch Access-basiert (CKS, falls dir das was sagt), lief über VPN von den Wachen zur Abrechnungsstelle. Und war eigentlich nix besonderes, lief über stinknormale DSL-Leitungen (bis vor 2-3 Jahren sogar noch über IDSN) mit stinknormaler Hardware.
Etwas ähnliches haben wir nun auch vor, auch Access-basiert, wenn auch keine Abrechnung. Und das soll so kompliziert sein? Irgendwie habe ich einen massiven Denkfehler befürchte ich gerade :frowning:

Dank & Gruß
Claus

6

Hi,

Ja. Die Leitungen sind ja ziemlich schmal, insofern
berücksichtigt bei eurer Planung, dass die VPN-Bandbreite von
der verfügbaren Bandbreite für den Internettraffic abgezogen
werden muss (auch jeweils die Senderichtung beachten, die ja
bei ADSL stets erheblich geringer ist!).

okay, spätestens jetzt muss ich mich outen als DAU.

kein Problem.

Was ist da so massiv an Datensendung nötig?

Das weiß ich doch nicht, das muss man herausfinden und berücksichtigen :smile:

Wir reden von der gemeinsamen Verwendung
einer Access-Datenbank mit einem Umfang von heute ca. 65 MB,
lass uns mit Blick auf die Zukunft 100 MB sagen.

Hm, da bin ich dann überfragt. Keine Ahnung, wie Access die Nutzung via Netzwerk behandelt.

Wenn ihr von den Leitungen her in diesem Rahmen bleibt, dann
kann man das natürlich mit zwei SOHO-Routern machen. Ich würde
allerdings von D-Link abraten, hab keine guten Erfahrungen mit
Geräten dieser Firma gemacht. Besser ist da schon sowas:
http://www.netgear.de/Produkte/Router/Firewall/FVS12…
(nur ein Beispiel, nicht als konkrete Produktempfehlung
werten!).

Gibt es dafür einen Grund?

Wofür jetzt? Dass das keine konkrete Produktempfehlung ist? Das hat den Grund, dass ich eure Anforderungen nicht gut genug kenne, als dass ich sowas wagen würde :smile: Am Ende heißt’s sonst „Der Malte ist Schuld!“ :wink:

Es gibt jedoch noch ein wenig mehr zu bedenken - nicht nur die
Bandbreite ist entscheidend, sondern auch die Anzahl der
gleichzeitig auftretenden Verbindungen. Es wäre nicht das
erste Mal, dass ein SOHO-Router daran scheitert.

Was auch immer SOHO heißen mag :frowning:

„Small Office/Home Office“, also Geräte in der Kategorie Fritz!Box et. al.

Zuletzt bleibt noch ein Punkt, den (IIRC) Schorsch hier
unlängst anbrachte: Es gibt einem Admin kein gutes Gefühl,
wenn Internetgateway, Firewall und VPN-Terminator auf ein und
derselben Maschine bereitgestellt werden.
Alles drei sind Geschichten, die zumindest sorgfältig
durchdacht und implementiert werden sollten. Sie tragen alle
das Potential in sich, Löcher in eure Netzwerkgrenzen zu
bohren. Ein site-to-site-VPN sit da zwar nicht so kritisch wie
ein VPN-ZUgriff von außen, aber trotzdem…

Hm, denke ich denn so in die falsche Richtung?

…lief über VPN von den Wachen zur Abrechnungsstelle. Und
war eigentlich nix besonderes, lief über stinknormale
DSL-Leitungen (bis vor 2-3 Jahren sogar noch über IDSN) mit
stinknormaler Hardware.
Etwas ähnliches haben wir nun auch vor, auch Access-basiert,
wenn auch keine Abrechnung. Und das soll so kompliziert sein?

Es _muss_ nicht so kompliziert sein. Wie kompliziert das ist, hängt ganz maßgeblich von eurem Budget und euren Ansprüchen ab. Wenn in eurem Netzwerk Daten umherschwirren, die unternehmenskritisch sind, sollte euch das allerdings schon ein bisschen was wert sein - dazu braucht’s keine zwei Router, die 400 Öcken kosten, aber schon etwas Sachverstand.

Bleiben wir mal beim Thema: Wie viele PCs sitzen denn jeweils auf den beiden Seiten des geplanten VPN?

Gruß,

Malte

7

Nabend,

Hm, da bin ich dann überfragt. Keine Ahnung, wie Access die
Nutzung via Netzwerk behandelt.

Also wenn es bei meiner vorigen Dienststelle sogar via ISDN lief (okay, ich gebe zu: Es war nervtötend!), dann sollte es doch bei DSL x000 machbar sein, oder?

Wofür jetzt? Dass das keine konkrete Produktempfehlung ist?
Das hat den Grund, dass ich eure Anforderungen nicht gut genug
kenne, als dass ich sowas wagen würde :smile: Am Ende heißt’s
sonst „Der Malte ist Schuld!“ :wink:

Das heißt es sowieso :smile:
Ich meinte eher, was gegen D-Link spricht…

„Small Office/Home Office“, also Geräte in der Kategorie
Fritz!Box et. al.

Ok, keinen Tag ohne was dazu zu lernen…

Es _muss_ nicht so kompliziert sein. Wie kompliziert das ist,
hängt ganz maßgeblich von eurem Budget und euren Ansprüchen
ab. Wenn in eurem Netzwerk Daten umherschwirren, die
unternehmenskritisch sind, sollte euch das allerdings schon
ein bisschen was wert sein - dazu braucht’s keine zwei Router,
die 400 Öcken kosten, aber schon etwas Sachverstand.

Der ist eigentlich da (dachte ich), die Daten sind Kundendaten und sollten insofern natürlich schon irgendwie nicht ganz so leicht zugänglich sein.

Bleiben wir mal beim Thema: Wie viele PCs sitzen denn jeweils
auf den beiden Seiten des geplanten VPN?

Einmal mein Rechner in der Zweigstelle und der Netzwerkserver in der Hauptstelle. An dem hängen dann dort intern noch weitere Rechner, auf die aber kein Zugriff möglich sein muss. Im Prinzip muss ich von X auf diese Access-Datenbank auf dem Server in Y zugreifen können - nicht mehr, nicht weniger. Vielleicht ist ja auch VPN gar nicht das Mittel der Wahl?

Dank & Gruß
Claus

8

Hi,

Hm, da bin ich dann überfragt. Keine Ahnung, wie Access die
Nutzung via Netzwerk behandelt.

Also wenn es bei meiner vorigen Dienststelle sogar via ISDN
lief (okay, ich gebe zu: Es war nervtötend!), dann sollte es
doch bei DSL x000 machbar sein, oder?

sollte man meinen.

Wofür jetzt? Dass das keine konkrete Produktempfehlung ist?
Das hat den Grund, dass ich eure Anforderungen nicht gut genug
kenne, als dass ich sowas wagen würde :smile: Am Ende heißt’s
sonst „Der Malte ist Schuld!“ :wink:

Das heißt es sowieso :smile:
Ich meinte eher, was gegen D-Link spricht…

Ich persönlich habe die Dinger als instabil, mies zu konfigurieren und schlecht supported/dokumentiert empfunden.

Bleiben wir mal beim Thema: Wie viele PCs sitzen denn jeweils
auf den beiden Seiten des geplanten VPN?

Einmal mein Rechner in der Zweigstelle und der Netzwerkserver
in der Hauptstelle. An dem hängen dann dort intern noch
weitere Rechner, auf die aber kein Zugriff möglich sein muss.
Im Prinzip muss ich von X auf diese Access-Datenbank auf dem
Server in Y zugreifen können - nicht mehr, nicht weniger.

Das ist alles? Ein User auf der einen Seite muss auf einen Server auf der anderen Seite, sonst geht nix hin oder her? Okay, das ist wirklich ein Minimal-Szenario, und macht die Sache einfacher :smile:

Vielleicht ist ja auch VPN gar nicht das Mittel der Wahl?

Doch doch, passt schon. Dann kannst Du einen Großteil meines Geschreibsels vergessen. Also, irgendwelche 400 EUR-Geräte sind dann nicht nötig. Es sind für „sowas“ sogar kostenlose Lösungen denkbar (die allerdings etwas „Gebastel“ erfordern).

Die einfachste Variante ist dann bspw. der oben verlinkte Router auf beiden Seiten, Kostenpunkt ~60 EUR je Stück und eine VPN-Verbindung zwischen beiden, fertig. Das ist vom Sicherheitsaspekt her „so mittel“, aber vermutlich ausreichend.

Jedenfalls kommt da so leicht niemand rein, wenn wir davon ausgehen, dass auf beiden Seiten der VPN-Strecke vertrauenswürdige Netze stehen (das bedeutet u.a., dass Dein Rechner sicher sauber ist!) und die VPN-Verbindung sorgfältig eingerichtet wird (dafür ist es erforderlich, dass derjenige, der das tut, wirklich verstanden hat, wie VPNs funktionieren!).

Performancetechnisch dürften tatsächlich keine Probleme auftauchen.

Also: Meine Empfehlung - auf Grundlage der bisherigen Infos und unter Ausschluß jeglicher Gewähr! - ist, die 1000 EUR-Lösung abzulehnen, die gen. Geräte in Betracht zu ziehen und die entsprechend einrichten zu lassen.

Gruß,

Malte

9

Hm, da bin ich dann überfragt. Keine Ahnung, wie Access die
Nutzung via Netzwerk behandelt.

Angeblich - ich habe keine eigenen Erfahrungen - verursacht eine Abfrage auf eine geschlüsselte Tabelle einen vollständigen Transfer dieser Tabelle auf den abfragenden Rechner - der dann aber immerhin binär sucht.

Ob diese Behauptung stimmt, ob sie auch für aktuelle Access-Versionen noch Gültigkeit besitzt (sofern sie jemals gültig war), kann ich nicht beurteilen. Dass aber Access keine DB oder gar ein DBMS, sondern lediglich ein Frontend zur Abfrage eines solchen ist, kann ich bestätigen.

Aufgrund meines zweifelhaften Kenntnisstands gehe ich davon aus, dass die Anschaffung eines SQL-Servers und die Portierung der Anwendungen darauf mittelfristig deutlich günstiger ist, als die für Access-Anwendungen bereitzustellende Bandbreite.

Gruss
Schorsch

10

… auch bei Access 2003. Deshalb ist der Datentransfer relativ hoch.

Cheers, Felix