Zum Inhalt springen
IDO DNS Service
Menü
Anmelden Konto anlegen
Alle Themen

Zwei Kunden im Fernzugriff zusammenschalten

Fernzugriff · Zwei Kundennetze desselben Kontos

Zuletzt überarbeitet am

Für den Kunden, der zwei Firmen führt und sie gegenseitig erreichbar haben will. Am Ende erreicht jede Seite die Geräte der anderen unter einer Adresse, die ihr Router ohnehin kennt — und an den Routern selbst ist dafür nichts einzurichten.

Sie brauchen dafür die Konfigurationsdatei dieser Gegenstelle. Sie entsteht im Kundenbereich unter Fernzugriff und enthält Ihren geheimen Schlüssel — sie liegt nur einmal vor. Wir speichern den geheimen Teil nicht und können ihn Ihnen kein zweites Mal geben. Ist die Datei weg, legen Sie die Gegenstelle neu an; das dauert eine Minute.

Diese Anleitung gehört zu Fernzugriff von IDO DNS Service — was die Leistung kann und was sie kostet.

Wofür das gedacht ist

Ein Kunde führt zwei Firmen, und die sollen sich gegenseitig erreichen — der Server der einen, die Arbeitsplätze der anderen. Bei uns sind es zwei Kundennetze, streng getrennt; das ist die Voreinstellung und der Grund, weshalb kein Kunde den anderen sieht. Die Zusammenschaltung hebt diese Trennung für genau dieses Paar auf, und für kein anderes.

Sie selbst brauchen sie nicht. Aus Ihrem Verwaltungsnetz erreichen Sie ohnehin jeden Kunden Ihres Kontos. Hier geht es darum, dass die Kunden einander erreichen — ohne Sie.

Mehrere Standorte desselben Kunden

Ein Kunde mit zehn Filialen ist ein Kundennetz mit zehn Standorten — eine Zusammenschaltung brauchen Sie dafür nicht, und es gibt sie zwischen ihnen auch gar nicht. Erreichen konnten sich die Filialen untereinander trotzdem lange nicht: Jeder Router trägt ein entferntes Netz, und das ist der Tunnelbereich. Das Büro-Netz der Nachbarfiliale ist nicht darin.

Seit dem 15.09.2026 bekommt jedes Büro-Netz seinen eigenen Bereich im Tunnel — ganz gleich, ob es einem verbundenen Kunden gehört oder der Filiale nebenan. Sie finden ihn bei jeder Gegenstelle unter „Von anderen Standorten aus erreichbar unter“.

Filiale Nord fragt nach Filiale Süd:
192.168.20.240 — der Server, wie er dort wirklich heißt
10.80.5.240 — dieselbe Maschine, von Nord aus

Ab dem zweiten Standort ist das keine Frage mehr. Legen Sie einen weiteren an, entsteht sein Bereich beim nächsten Abgleich von selbst. Nur die Maske in den älteren Routern muss ihn umfassen — steht dort eine zu enge, sagt es die Gegenstellenseite unter „Netze, die es beim Anlegen noch nicht gab“.

Die Adresse ist eine andere — und das ist der Kern

Naheliegend wäre, dem Router der einen Firma das Netz der anderen beizubringen. Das geht nicht: Eine FRITZ!Box trägt genau ein entferntes Netz, und darin steht der Tunnelbereich, über den Sie hereinkommen. Nachtragen lässt sich nichts — das Feld ist nach dem Anlegen schreibgeschützt —, und ein zweites WireGuard-Profil scheitert daran, dass eine FRITZ!Box ein Schlüsselpaar für alle ihre Verbindungen hat.

Also übersetzt der Vermittlungsserver. Er zeigt das Netz der anderen Firma innerhalb des Tunnelbereichs, den der Router ohnehin kennt:

192.168.178.240 — der Server bei HOC
10.80.1.240 — dieselbe Maschine, von der Hausverwaltung aus

Der Netzanteil wird getauscht, die letzte Zahl bleibt stehen. Daran erkennen Sie und Ihre Techniker jede Adresse wieder.

An den Geräten der beiden Kunden ist dafür nichts einzurichten: kein neues Netz, keine neue Maske, kein Neuanlegen der Verbindung.

Dasselbe 10.80.1.x bedeutet je nach Absender das eine oder das andere Netz — von der Hausverwaltung aus die HOC, von der HOC aus die Hausverwaltung. Deshalb genügt ein Bereich für beide Richtungen.

Was Sie brauchen

  • Zwei Kundennetze desselben Kontos, beide mit einem eingerichteten Standort. Über Kontogrenzen hinweg gibt es keine Zusammenschaltung — das wäre eine Verbindung zwischen den Kunden zweier Dienstleister.
  • Unterschiedliche Büro-Netze. Zweimal 192.168.178.0/24 lässt sich nicht verbinden: Kein Router könnte die beiden auseinanderhalten. Wir weisen es beim Verbinden ab und sagen, welches Netz im Weg ist.
  • An den Routern der Kunden: nichts. Weder ein neues Netz noch eine neue Maske, und die Verbindung bleibt, wie sie ist.

Einrichten

  1. Verbinden

    Fernzugriff → Kunde auswählen → Verbindungen → den anderen Kunden auswählen → Verbinden. Beide müssen demselben Konto gehören; über Kontogrenzen hinweg gibt es das nicht.

  2. Die Adresse ablesen

    Auf derselben Seite steht jetzt in der Spalte „Von hier aus erreichbar unter“ der Bereich und ein Beispiel — die Adresse, die ein Techniker beim Kunden wirklich eingibt.

  3. Prüfen

    Nach spätestens einer halben Minute trägt der Vermittlungsserver die Übersetzung. Von einem Rechner im Büro der einen Firma: ping 10.80.1.240 — mit der Adresse aus Schritt 2.

Trennen und wieder verbinden

Trennen räumt vollständig ab. Mit der Verbindung fallen die Regeln auf dem Vermittlungsserver und die Adressübersetzung; nach einer halben Minute ist beides weg. Es bleibt nichts liegen, das danach noch eine Weile funktionierte.

Wieder verbinden stellt es her — ebenso schnell und ohne Zutun an den Geräten.

Die Adresse bleibt dieselbe. Seit dem 15.09.2026 gehört der Bereich dem Netz und nicht der Verbindung: Er entsteht einmal und bleibt danach stehen, auch über Trennen und Wiederverbinden hinweg. Was jemand notiert hat — Remotedesktop-Einträge, Lesezeichen, Skripte —, gilt weiter.

Davor wurde er mit jeder Verbindung neu vergeben, und nach einer Trennung konnte er ein anderer sein. Wer noch Adressen aus dieser Zeit im Umlauf hat, prüft sie einmal in der Spalte „Von hier aus erreichbar unter“.

An den Geräten ändert sich nichts: Der Bereich wird so gewählt, dass er in die Maske passt, die dort schon steht. Nur wenn darin keine Nummer mehr frei ist, steht daneben „Geräte brauchen neue Maske“ — und dann ist es einmal Arbeit, kein Rätsel.

Wenn es nicht klappt

„Geräte brauchen neue Maske“ steht neben der Adresse

Der Bereich wird so vergeben, dass er in die Maske passt, die im Router schon steht — dann ist an den Geräten nichts zu tun. Nur wenn darin keine Nummer mehr frei ist, muss die Anwendung ausweichen, und dann sagt sie es an genau der Stelle, an der Sie die Adresse ablesen.

Zu tun ist dann einmal Folgendes, bei beiden Standorten: die weitere Subnetzmaske eintragen, die im Hinweis steht. Die genauen Werte stehen bei jeder Gegenstelle unter „Von Hand einrichten“. Bei einer FRITZ!Box heißt das: die WireGuard-Verbindung einmal neu anlegen — das Feld ist danach schreibgeschützt.

Bei Standorten, die Sie ab dem 14.09.2026 anlegen, kommt das seltener vor. Sie bekommen die Maske von vornherein eine Stufe weiter, als gerade nötig wäre — aus 255.255.252.0 wird 255.255.248.0. Das verdoppelt die Nummern, die später noch hineinpassen, und kostet den Kunden nichts, was er merkt: 1024 Adressen des 10er-Bereichs, die durch den Tunnel gehen statt ins eigene Netz.

Welche Maske ein Standort wirklich bekommen hat, merkt sich die Anwendung seitdem. Vorher rechnete sie den Wert bei jedem Aufruf neu — und sobald ein Netz dazukam, kam etwas anderes heraus als das, was im Router steht. Genau daran ist der erste Versuch gescheitert.

Wird später ein Kunde gelöscht, wird eine kleinere Nummer frei. php cli/spiegelbloecke_neu_vergeben.php zeigt dann, welcher Bereich stattdessen ginge, die Maske daneben — und ob er in das passt, was heute in den Geräten steht. Geschrieben wird erst beim zweiten Aufruf mit --anwenden.

Der Ping geht, die Freigabe nicht

Das ist fast immer die Windows-Firewall am Ziel. Der Server sieht als Absender den Vermittlungsserver (10.80.0.1) und nicht die Adresse des anfragenden Rechners — anders fände die Antwort nicht zurück, und nebenbei erfährt keine der beiden Firmen die inneren Adressen der anderen.

Eine Firewallregel, die nur „eigenes Subnetz“ zulässt, blockt damit. Ergänzen Sie dort den Tunnelbereich.

Namen funktionieren nicht

\\SERVER\Freigabe und server.fritz.box zeigen auf die echte Adresse im fremden Büro, und die ist von hier aus nicht erreichbar. Nehmen Sie die Spiegeladresse.

Ich erreiche die Spiegeladresse aus meinem Verwaltungsnetz nicht

Das ist richtig so, und Sie brauchen sie dort auch nicht. Die Übersetzung gilt nur für Pakete aus den beiden Kundennetzen — daran hängt die ganze Unterscheidung, welches Netz gemeint ist. Aus Ihrem Verwaltungsnetz erreichen Sie beide Büros ohnehin direkt unter ihren echten Adressen.

Dasselbe gilt für die Fernwartung: Ihr Gateway steht im Verwaltungsnetz. Tragen Sie dort die echte Adresse ein — die Anwendung sagt es Ihnen auch, wenn Sie versehentlich die Spiegeladresse nehmen.

Eine Seite hat zwei Büro-Netze

Das geht. Jedes Netz bekommt seinen eigenen Bereich, und in der Spalte „Von hier aus erreichbar unter“ steht dann eine Zeile je Netz.

Bis zum 15.09.2026 gab es für diese Richtung gar keine Spiegelung: Ein Bereich gehörte damals dem Paar und fasste ein Netz — welches von beiden gemeint war, konnte niemand sehen.

Wie es weitergeht

Steht die Verbindung, ist der nächste Schritt meist der Server im fremden Büro: Remotedesktop ohne Zertifikatswarnung. Soll der Kunde selbst bedient werden, ohne dass auf seinem Rechner etwas installiert wird, ist Fernwartung im Browser der Weg — die läuft über Ihr Gateway und braucht die Zusammenschaltung nicht.

Weiter im selben Bereich

Ihr Gerät ist nicht dabei? Alle Anleitungen

Kommen Sie nicht weiter? Sehen Sie zuerst unter Häufige Fragen nach.

Steht die Antwort dort nicht, schreiben Sie uns an info@idodns.de — mit dieser Anleitung im Betreff. Was mehrfach gefragt wird, steht danach hier.