Router Mikrotik -> Routing

Letztendlich ersetzt hier dein Server den Router. Wieso willst du also alles vom Router an den Server forwarden lassen wenn du den Server auch direkt als Gateway einsetzen kannst? Erspart dir einige Regeln und die Performance verbessert sich enorm.

Im einfachsten Fall lässt du vom Router einfach die IP des Servers als Gateway verteilen, nun musst du nur noch am Server das Routing in die VPN übernehmen. Allerdings verstehe ich ehrlich gesagt nicht wieso man die VPN nicht einfach direkt vom Router erledigen lässt, OpenVPN/IPsec sollte der Router doch selbst können. Zwischen 10 Kisten hin und her zu routen erscheint mir etwas überflüssig.

Wozu willst du Freifunk nochmals über eine VPN leiten? Freifunk selbst nutzt doch bereits schon eine VPN. Zwar nicht verschlüsselt, aber das ist ja egal.

Ich möchte nur bestimmten Traffic über VPN Routen.. Z.B Rechner A soll meine Hausbank direkt ansurfen, andere Hompages über vpn. Mein Webserver dürfte auch nicht über vpn gehen.
Performanceunterschiede habe ich jetzt nicht festgestellt, der kleine Router schafft 1gbit routing mit 25 IP Filterregeln mit 25 einfachen Regeln sogar 2gbit.

Bei Vpn wollte ich auf Openvpn setzten. Beim letzten Test hätte ich das gleiche Problem wie jetzt. Mit mehreren Routingtables klappt es irgendwie nicht, zeitgleich auf unterschiedliche Gateways in fremde Netzte zu Routen . Hinzu kam das Problem, dass Mikrotik keinen Auth Key zusätzlich zum User/Passwort unterstützt und ich so auf ipsec wechseln müsste.
Ein bisschen Sorge habe ich auch wegen der Performance. Wenn der kleine Router mindestens 100 Mbit bzw. auch evt. 400 mbit per vpn Routen soll (Wenn er das überhaupt schafft), dürfte natürlich stark die Performance für anderes Routing in die Knie gehen.

Der Server soll nur ankommenden Lan Traffic per VPN weiterleiten. Meinen Router also auch nicht ersetzen.

Heute habe ich es auch geschafft. Der Server bzw das Gateway ist nun im gleichen Netz wie mein Testclient, der zum Server geroutet werden soll. Warum es nicht mit einem Gateway in ein fremdes Netz klappt, ist mir unklar, schließlich klappt es ja auch mit dem Main Routingtables für eth1/Wan.
Kann ja nur ein Konfigfehler von mir sein

Ohne deine genaue Konfiguration, Wunsch und Routingtabelle zu kennen kann dir da ehrlich gesagt kaum jemand helfen, da kann man nur raten und das ist gerade bei Routinggeschichten hoffnungslos. Ich würde daher dazu raten dich beim Hersteller zu erkundigen.

"Dyamisch" Seiten durch die VPN zu leiten ist in der Regel relativ komplex da iptables Regeln auf der IP basieren (die Domain wird einmalig aufgelöst), die IP hinter deinen Domains ändert sich leichtsam mal, dann routet dein Router den Traffic ins Leere, kurz du darfst deine Regeln neu laden, dann wird zwar erneut aufgelöst, aber meistens löscht man dabei dann die State Tabelle... Und gerade deine Hausbank wird als DDoS Schutz sehr sicher auf ein CDN setzen.

Routing != VPN. Und Forwading/Mangling/etc. kann sich nochmals unterscheiden, die Herstellerangaben beziehen sich meistens auf Spezialfälle in denen irgendwelche (herstellerspezifischen) Hardwarebeschleunigungen greifen, in der Realität kann eine Konfiguration davon leichtsam abweichen und dann wird so ein Router grottenlahm. Und dein Server agiert hier sehr wohl wie ein Router, denn er verbindet zwei Netze (deine VPN und dein Heimnetz), aber wie ich bereits sagte, wenn dann würde ich das ganz im Router selbst lösen, durch eine Konfiguration die auf deinen Server angewiesen ist hast du im Fall eines Ausfalls desselbigen enorme Probleme, bei einer Lösung nur mittels Router könntest du das leicht automatisch abfangen.

Ich verstehe noch immer nicht, was diese abhängige Konfiguration von Hausbank usw. bringen soll, wenn du anonym surfen möchtest, dann solltest du alles durch die VPN leiten (ansonsten hast du DNS oder sonstige Leaks) und die Systeme am besten physikalisch trennen, sonst kannst du dir die VPN gleich sparen. Sprich sicherheitstechnisch gewinnst du dadurch rein gar nichts. Wenn deine Hausbank kein HTTPS anbietet, dann würde ich unabhängig von der VPN/dem ISP davon abraten, das Online Portal deiner Bank weiterhin zu nutzen. Wenn sie jedoch HTTPS zeitgemäß einsetzt, dann spricht nichts dagegen diese über die VPN Verbindung zu nutzen.

Für einzelne Webseiten reicht in der Regel ein Browseraddon wie FoxyProxy, dadurch kannst du Proxy Server für gewisse Webseiten definieren und z.B. BBC über einen UK Proxy betrachten. Dieser Proxy kann natürlich auch eine AutoSSH Verbindung vom NAS zu einem VServer in UK sein.

Wie gesagt kann Mikrotik kein Auth Key zum Username und Passwort, auch hohe Bandbreiten werde ich ohne Einschrenkungen nicht nutzen können. Daher fällt für mich die Mikrotiklösung flach. Die Fragen aus meinem ersten Post könnte ich mir ja mittlerweile selber beantworten.

Mikrotik hat ein Multi Routing Table. Es können also mehrere Tabellen parallel geführt werd. Das klappt jetzt auch super, einschließlich mit Fallbackgateways, falls der Server down ist.
Wie ich genau welche Anwendung nun Route, habe ich mir bisher noch nicht endgültig überlegt. Und spielt ja eigentlich auch weniger eine Rolle.
Dass ich aber bestimmte Serveranwendungen nicht über VPN schicken kann, steht soweit schon fest.
Ansonsten merke ich durch Mangle keinen Unterschied.

Dass ich im Mikrotik mein Servergateway für das VPN nicht über ein aneren Netz erreiche, kann ja nur an der allgemeinen Konfiguration liegen. Da ich nun aber weiß, das das Routing funktioniert, wenn der Server im gleich Netz steht,, kann ich mich dem nochmal in Ruhe annehmen.


Soweit funktioniert jetzt ja alles. Und das mit super Performance.