Hoe een IPv4-adres verkrijgen via Telenet modem?

[rdhoore108]

Ik heb net een aantal Sophos RED-20 toestellen gekocht die een VPN connectie maken met het kantoor, om mijn collega's van thuis te laten werken. Wat blijkt: deze ondersteunen geen IPv6 aan de WAN kant?! Telenet geeft enkel nog IPv6 adressen blijkbaar. Bestaat er een manier om toch een IPv4 te krijgen van een Telenet router/modem?

Alvast bedankt!

Titel gewijzigd door Suzy (admin) | Vorige titel: ipv4 adres nodig

[Arnie · Accepted solution]

Ik ken de Sophos RED-20 niet, maar neem aan dat dit VPN clients zijn, die thuis bij de medewerkers geplaats zullen worden, die dan een VPN-tunnel opbouwen naar de VPN-server op het kantoor. Dat is de meest gebruikelijke VPN setup voor telewerken.

In dat geval zal je geen vast publiek IPv4 adres nodig hebben bij de medewerkers thuis. Normaal mogen dit soort hw VPN clients gewoon achter een Telent HGW geplaatst worden. Zij zullen dan van de Telenet HGW een private IPv4 adres ontvangen (192.168.0.x).

[igvfer]

@rdhoore108  Aan de modem router van Telenet wordt 1 (een) PUBLIEK IPv4 adres toegekend. Intern kent deze modem/router private IPadressen toe in de range 192.168.0.0. Normaal gezien kan een medewerker een VPN verbinding opzetten naar uw VPN server zonder problemen.

De toestellen die je aangekocht hebt zijn in feite routers. Dus uw werknemers moeten hun eigen modem inruilen naar een CV8560E modem/router zodat ze via het mac adres van die Sophos een publiek IP kunnen krijgen naast dat van de Telenet modem/router.

Andere mogelijkheid is uitvissen welke poorten de Sophos gebruikt om een VPN verbinding op te zetten en deze te forwarden in "Mijn Telenet" naar uw Sophos router.

Ik weet niet wat de eigenlijke meerwaarde is van die Sophos maar eigenlijk kan elke medewerker zonder dat ook een VPN verbinding opzetten naar uw VPN server en op uw lokaal netwerk werken.

En vanaf thuis werken en inloggen op uw lokale server net zoals hij op het werk zelf is.

[igvfer]

@rdhoore108  Eigenlijk vind ik dit een beetje overkill hoor. Ik zie bedrijven zoals BNP Paribas, KBC en Dexia niet bij al hun medewerkers zo'n toestel plaatsen. Die maken gewoon een VPN connectie via hun laptop met de nodige credentials en ze moeten dit maar 1 keer instellen op hun laptop. Ik zie dat niet bij mijn dochters die allebei voor een verschillende bank thuiswerk doen, al maanden.

[Arnie]

@igvfer, ik heb thuis ook een HW based VPN client, die zich met de server op het werk verbindt. In mijn geval gaat het om een Cisco 881. Die bouwt de verbinding op naar de server, niet andersom. Er is daarom helemaal geen port-forwarding of "bridge" / passthrough nodig.

Mijn VPN router hangst direkt aan de CV8560E, dus niet achter mijn eigen router. Dit werkt probleemloos.

PS. In mijn geval is de reden voor de HW oplossing het feit dat ik dan een VOIP telefoon of video systeem (DX80) eraan kan koppelen, zonder gebruik te hoeven maken van een softphone op de PC.

[igvfer]

@Arnie  Dat is/was ook mijn idee. De client maakt de verbinding naar de VPN server niet omgekeerd, maar ik weet niet hoe dat toestel juist werkt.

[Arnie]

Ik wilde enkel aangeven dat een omwisseling van het modem, het gebruik van publieke IPv4 adressen of port-forwarding in mijn ogen helemaal niet nodig is.

[rdhoore108]

Bedankt voor alle antwoorden. De reden van dit hardware VPN toestel is inderdaad om ook een VOIP phone aan te kunnen sluiten (net als Arnie). Het is voor medewerkers van ons call-center. Onze PABX ondersteunt geen softphones. Toen ik de laptop rechtstreeks op de Telenet router aansloot, zag ik enkel een IPv6 adres toegekend, geen IPv4. En die Sophos SD-RED 20 maakt duidelijk geen verbinding, hij herstart voortdurend bij mijn collega thuis (terwijl hij wel terug correct werkt als ik hem hier op kantoor inplug) en ik lees overal dat hij enkel IPv4 ondersteunt aan de WAN kant.

Vandaar mijn conclusie dat ik een serieus probleem heb. Die toestellen waren niet mijn keuze, onze provider zei dat dit de enige oplossing was (wat niet waar is, ik heb zelf routers voorzien van OpenVPN en dat werkt perfect), maar wegens de erg beperkte tijd is mijn baas voor hun voorstel gegaan. We moeten tegen 1 februari iedereen thuis operationeel hebben, anders krijgen we van onze lieve FOD een boete van 4000€ per persoon per dag. Dat kregen we verleden week te horen. Mijn leverancier heeft ons snel een oplossing willen geven, waarvoor dank, maar heeft het nu te druk om uit te zoeken waarom deze niet werkt...

Enfin, port forwarding is inderdaad niet nodig. Het enige wat ik nodig heb, is een IPv4 adres ipv IPv6. En daar lijkt het spaak te lopen, tenzij ik iets totaal over het hoofd zie. Zucht.

[Arnie · Accepted solution]

Als je dit toestel met met zijn WAN port aansluit op een LAN aansluiting van de Telenet router, dan zou het een IPv4 uit het subnet 192.168.0.0/24 moeten ontvangen.

De Telenet HGW heeft een ingebouwde DHCP server en zal op DHCPv4 requests antwoorden, zolang dit aan de standaard voldoet. Het maakt niet uit of de client dan een PC, laptop of een Sophos SD-RED 20 is.

De PC of VOIP telefoon die je vervolgens aan de Sophos SD-20 RED aansluit zal een IP adres toegekent krijgen uit dat apparaat. Dat is waarschijnlijk dan uit een klein subnet uit het bedrijfsnetwerk.

Aan wat voor soort Telenet HGW/modem is dit getest?

[igvfer]

@rdhoore108  Ik zoek het misschien wat ver maar die collega zit toch zelf al niet bezig met een VPN verbinding naar een of andere commerciële VPN provider. Of met nog een extra router? Het is zoals @Arnie zegt normaal moet je op een Telenet HGW ( Modem/router) normaal een 192.168.0.0 adres krijgen aan de WAN zijde. En een PC die dan op de LAN zijde wordt aangesloten zal een IPadres krijgen in de range van het netwerk dat de baas gebruikt vermits die alleen verbinding maakt via die VPN tunnel. Natuurlijk zeer ambetant dat de baas nu maar in aktie schiet nadat dit al 9 maanden de norm is, en het nu vlug, vlug, vlug moet gebeuren met nutteloze kosten voor gevolg.

[rdhoore108 · Accepted solution]

@Arnie @igvfer Jullie hebben natuurlijk 100% gelijk... Telenet zou failliet gaan moesten ze geen IPv4 meer geven aan hun residentiële klanten, want zoveel oudere dingen zouden niet meer marcheren. Ik vermoed dat ik gewoon die router (model CH6643E) had moeten herstarten, en dat het probleem ging opgelost zijn. Ik weet niet waarom ik daar niet aan gedacht heb. Ik ga morgenochtend terug en probeer het. 

Ik heb diezelfde Sophos hier bij mij thuis (ook Telenet) zojuist ingeplugd, en binnen de 10 seconden was de VPN op. Paniek voor niets...

Mijn oprechte dank aan jullie beiden voor de erg snelle en behulpzame reacties!

[rdhoore108]

@igvfer Volledig gelijk wat dat vlug vlug betreft, we (IT) hadden niet zitten wachten en waren volledig voorbereid met een software VPN oplossing en remote desktop wat alle andere medewerkers betreft, maar we hadden niet verwacht dat dat call-center ook ging moeten opdoeken, toch niet op zo'n korte tijd... Alle dames zaten al verspreid over een behoorlijke afstand. Enfin, dit terzijde, maar wilde toch niet doen alsof ik het niet gelezen had...

[kristofDW]

@rdhoore108 koppel gewoon de PAPB centrale met een SIP trunk (eventueel in de cloud), zodat je nummers ook in de cloud bereikbaar zijn en zet softphones op de laptops van het callcenter. Zo moeten ze gewoon inloggen op de softphone en het is opgelost.

Wat betreft de vpn, hier kan je natuurlijk een hardwarematige vpn router gebruiken of je zet een open vpn op op een server waar je dan een certificaat opzet (privé key) en op de laptops de public key. Zo heb je een beveiligde connectie met certificaten. Je gebruikt dan gewoon de AD authenticatie als inlog referentie, zodat je connectie SSL beveiligd is met certificaat en credentials. 

Zet dan de beveiliging op 256 AES en het is in orde 🙂

[rdhoore108]

@kristofDW Sorry dat ik dan niet meer gereageerd heb, maar het zijn enorm drukke tijden geweest. Ik heb geen enkele twijfel dat wat je schrijft nuttig is in een andere context, maar ik moet de PABX  gebruiken die het bedrijf momenteel heeft, met alle licenties en call-center software en rapporteringssoftware die erbij horen. En dat is erg limiterend.

Die Sophos RED bakjes zijn trouwens maar zo-zo, we hebben een heel betrouwbare VOIP connectie weliswaar, maar een simpele website raadplegen via dezelfde VPN is dan weer enorm traag... Heb ik geen verklaring kunnen voor vinden in de erg beperkte tijd die ik had, dus gebruiken we dan maar een tweede softwarematige Sophos VPN (gelijkaardig aan wat je uitlegt) op de laptop naast de hardwarematige Sophos RED (waar de laptop dus niet meer op ingeplugd zit), en daar is de snelheid voor dezelfde website dan wel normaal. Beiden gebruiken OpenVPN intern, dus ik begrijp niet goed waar het fout loopt bij de RED, noch had ik de tijd om Sophos customer support eens uit te proberen.

Onze firewall op HQ is Sophos, vandaar de Sophos VPN's ernaartoe, maar intern is het dus allemaal OpenVPN, met een schil er rond om het allemaal gemakkelijk uit te kunnen rollen en te koppelen met MS Active Directory.

Voor een andere toepassing waar we met bepaalde klanten een constante verbinding moeten hebben, had ik zelf OpenVPN op TP-Link routertjes gezet met OpenWRT firmware, actief in 8 locaties, gewoon met certificaten, en het werkt perfect stabiel. 45€ per routertje, vergeleken met 350€ voor zo'n Sophos RED... En het marcheert effectief, wat ik van die RED dus niet kan zeggen. Maar nu in dit geval was er niet de nodige tijd voorhanden om zelf zo'n oplossing op te zetten volgens onze IT manager, en heeft hij dus voor een kant-en-klare oplossing gekozen, met alle kopzorgen van dien. De economie moet ook blijven draaien, natuurlijk.

[Steven-E]

Wat Sophos doet is inderdaad een appliances maken en daar verschillende toeters en bellen op implementeren die meestal gebaseerd zijn op opensource oplossingen, zoals bijv OpenVPN.

Een toegevoegde waarde van zo'n Sophos Red is dat je ze kan laten connecteren naar een Cloud Service waar de toestellen hun licenties, en indien gewenst hun configuratie kunnen downloaden.

Dit is handig voor bedrijven met heel veel remote sites. Zij kunnen die appliances verdelen naar de gebruikers zonder dat daar enige config op hoeft te staan.  De cloud service biedt al de nodige config aan op basis van het serienummer van de appliance.

Ik ben geen fan van Sophos, maar dit principe vindt is wel goed doordacht.

Een Sophos appliance moet achter een Telenet verbinding normaal gezien meteen werken, zonder portforwardings.  OpenVPN is een SSL VPN en draait standaard over UDP (optioneel over TCP) en dat kan perfect genat worden door een Telenet router.

Ter info:

Iets anders is het wanneer je meer coporate VPN appliances gebruikt (Cisco, Fortinet, Palo Alto Networks, Checkpoint, ...)

Deze gebruiken doorgaans het IPsec protocol, wat geen gebruik maakt van UDP of TCP, maar wel van ESP.

ESP kan door upstream routers (zoals de Telenet homegateways) niet genat worden. Enkel UDP en TCP kan genat worden.

In zulke gevallen zal je "NAT Traversal" moeten aanzetten op de IPSEC verbinding. De IPsec pakketjes zullen dan geëncapsuleerd worden in een UDP pakket (UDP 4500). Deze pakketjes kunnen dan weer wel zonder problemen genat worden

https://community.cisco.com/t5/security-documents/how-does-nat-t-work-with-ipsec/ta-p/3119442