VPN: Adresskonflikte

Ihr persönliches VPN erreicht jede private Adresse in den Anlagennetzen, für die Sie berechtigt sind — die gesamten Bereiche 10.0.0.0/8, 172.16.0.0/12, 192.168.0.0/16 und 100.64.0.0/10. Anlagennetze müssen die Adressbereiche, die Mirox intern nutzt, nicht meiden: Die Plattform hält ihren eigenen Datenverkehr von Ihrem getrennt.

Nur die wenigen unten aufgeführten Adressen sind reserviert. Die meisten Anlagen sind davon nie betroffen.

Übersicht

Adresse / Bereich	Betrifft	Was nicht erreichbar ist	Was zu tun ist
`10.112.0.1`	jede Anlage	genau diese eine Adresse	das Gerät umadressieren oder seine Weboberfläche über den Proxy öffnen
`10.112.0.0/16`	jede Anlage, nur Sie	die eine Adresse, die Ihr eigenes VPN-Profil nutzt	Ihr Profil widerrufen und ein neues ausstellen; Anlagennetze aus diesem Bereich heraushalten
das Tunnelnetz des Direkt-VPN: `10.95.0.0/16` (WireGuard), `10.94.0.0/16` (OpenVPN), `10.92.0.0/24` (IPsec)	Anlagen, deren Direkt-VPN von Mirox gehostet wird	die eigene Adresse des Tunnels und die Tunneladressen verbundener Peers — enthält das Anlagennetz die eigene Adresse des Tunnels, das gesamte betreffende Anlagen-Subnetz	das Anlagennetz außerhalb des Tunnelnetzes halten oder den Support kontaktieren, um den Tunnel zu verlegen
`172.16.10.0/24`	Anlagen, die über einen Organisations-VPN-Dienst angebunden sind	die Adressen, die das Organisations-VPN in diesem Bereich nutzt — ist das Anlagennetz größer als dieser Bereich, der gesamte Bereich	Anlagennetze außerhalb von `172.16.10.0/24` halten

Die reservierten Adressen im Detail

`10.112.0.1` — die eigene Adresse des VPN

Jedes VPN-Profil verbindet sich mit 10.112.0.1 — das ist die eigene Adresse des VPN, der Punkt, an dem Ihre Verbindung bei Mirox ankommt. Ein Anlagengerät, das ebenfalls 10.112.0.1 nutzt, kann über das VPN nicht angesprochen werden: Ihre Anfrage erreicht das VPN selbst statt des Geräts. Das ist so gewollt und lässt sich nicht aufheben, denn das VPN benötigt eine eigene Adresse.

Abhilfe: Geben Sie dem Gerät eine andere Adresse, oder öffnen Sie seine Weboberfläche über den Proxy, der das VPN nicht nutzt.

`10.112.0.0/16` — Ihre eigene Profiladresse

Jedes VPN-Profil erhält eine Adresse aus 10.112.0.0/16, die beim Ausstellen des Profils zufällig gewählt wird. Ihr Computer behandelt diese Adresse als sich selbst; nutzt also ein Anlagengerät zufällig genau dieselbe Adresse, können nur Sie dieses eine Gerät nicht erreichen. Die Plattform kann daran nichts ändern — die Kollision entsteht auf Ihrem eigenen Gerät.

Abhilfe: Widerrufen Sie Ihr VPN-Profil und stellen Sie ein neues aus — ein neu ausgestelltes Profil erhält eine neue, zufällig gewählte Adresse. Rotieren genügt nicht: Es ersetzt die Schlüssel, behält aber die Adresse bei. Um die Situation ganz zu vermeiden, halten Sie Anlagennetze aus 10.112.0.0/16 heraus.

Das Tunnelnetz des Direkt-VPN

Wenn sich der Router einer Anlage über ein Direkt-VPN mit Mirox verbindet, läuft der Tunnel zwischen dem Router und Mirox in einem eigenen Netz: 10.95.0.0/16 für WireGuard, 10.94.0.0/16 für OpenVPN und 10.92.0.0/24 für IPsec. Die Adressen innerhalb dieses Tunnels gehören Mirox und den sich verbindenden Peers, nicht der Anlage, daher sind sie nicht als Anlagengeräte erreichbar: die eigene Adresse des Tunnels (10.95.0.1, 10.94.0.1 oder 10.92.0.1) und die Adresse jedes verbundenen Peers.

Ein Fall wiegt schwerer. Mirox sendet den gesamten Datenverkehr in die Anlage von der eigenen Adresse des Tunnels aus. Enthält das Anlagennetz diese Adresse, behandeln die Anlagengeräte sie als Nachbarn in ihrem eigenen Netz und antworten direkt an sie statt über den Router — die Antworten kommen nie an, und das gesamte Anlagen-Subnetz, das die Adresse enthält, ist nicht erreichbar.

Anlagen, deren Direkt-VPN in die andere Richtung läuft — Mirox verbindet sich zum Router der Anlage —, sind nicht betroffen: Dort vergibt der Router der Anlage die Tunneladressen.

Abhilfe: Wählen Sie Anlagennetze außerhalb des Tunnelnetzes. Lässt sich ein Anlagennetz nicht verlegen, kontaktieren Sie den Support, damit der Tunnel in ein anderes Netz gelegt wird.

`172.16.10.0/24` — Organisations-VPN-Dienste

Anlagen, die über einen Organisations-VPN-Dienst angebunden sind, teilen sich ein gemeinsames internes Netz, 172.16.10.0/24. Die Adressen, die das Organisations-VPN in diesem Bereich nutzt, sind nicht als Anlagengeräte erreichbar. Ist das Anlagennetz größer als dieser Bereich — zum Beispiel 172.16.0.0/16 —, ist der gesamte Bereich 172.16.10.0/24 nicht erreichbar.

Abhilfe: Halten Sie Anlagennetze außerhalb von 172.16.10.0/24. Anlagen, die nicht über einen Organisations-VPN-Dienst angebunden sind, sind nicht betroffen — für sie funktioniert dieser Bereich ganz normal.

Weitere Gründe, warum eine Adresse nicht erreichbar ist

Diese Situationen sind keine reservierten Adressen, verursachen aber dasselbe Symptom.

Zwei Ihrer Anlagen nutzen dasselbe Subnetz

Ihr Tunnel kann ein Subnetz immer nur an eine Anlage zur selben Zeit routen. Nutzen zwei Anlagen, die Sie erreichen können, beide zum Beispiel 192.168.1.0/24, markiert die Routenübersicht den Konflikt, und Sie wählen, welche Anlage Vorrang hat — Sie können jederzeit wechseln. Siehe Ein in Konflikt stehendes Subnetz auflösen.

Ihr eigenes lokales Netz überlappt die Anlage

Nutzt das Netz, in dem sich Ihr Computer befindet — Büro, Zuhause oder mobiler Hotspot —, denselben Bereich wie die Anlage, sendet Ihr Computer diesen Datenverkehr in Ihr lokales Netz statt in den Tunnel. Das geschieht auf Ihrem eigenen Gerät, daher kann die Plattform daran nichts ändern.

Abhilfe: Verbinden Sie sich aus einem anderen Netz, oder bitten Sie Ihre IT-Abteilung, einen anderen lokalen Bereich zu verwenden.

Das Anlagennetz nutzt öffentliche Adressen

Nur Datenverkehr für private Adressbereiche gelangt in den Tunnel; alles andere bleibt auf Ihrer normalen Internetverbindung. Ein Anlagennetz, das mit öffentlichen (nicht privaten) Adressen adressiert ist, ist daher über das VPN nicht erreichbar.

Abhilfe: Öffnen Sie die Weboberfläche des Geräts über den Proxy, oder lassen Sie das Anlagennetz in einen privaten Bereich umadressieren.