Wird das jetzt zum Ratespiel (ich liebe "quizzen") oder willst Du es lieber systematisch in Angriff nehmen? Allerdings natürlich ohne Garantie für's Gelingen, weil da immer noch Du selbst mit entsprechender Initiative gefordert wärst ... was soll man sich denn z.B. darunter vorstellen, wenn Du
mlst schrieb:
noch etwas mehr in den Einstellungen im config File ändern
willst, während ich ja ausdrücklich geschrieben habe, daß das über das GUI zu konfigurieren sein sollte? Ich wüßte jetzt nicht, daß das GUI da am Ende eine Konfigurationsdatei ausspuckt; also hast Du entweder nicht verstanden, was ich meinte oder Du hast etwas vollkommen anderes gemacht und nimmst jetzt einfach an, daß das mit dem Ergebnis meines Vorschlags gleichzusetzen wäre.
Willst Du es wirklich in Angriff nehmen, versuche ich gerne zu helfen ... das setzt dann aber tatsächlich voraus, daß Du die Vorschläge zumindest ausprobierst und an die Stelle von "leider funktioniert das nicht, IKE 2027 Fehler - timeout" dann
echte Angaben setzen wirst (und das sind erzeugte Konfigurationsdateien und VPN-Protokolle und keine bloßen Vermutungen bzw. die doch sehr unspezifischen Angaben aus dem Eventlog der FRITZ!Box) und wenn Du dann zu solchen Aussagen wie "ich denke man muß ..." genötigt sein solltest, diese wenigstens im Ansatz begründest,
warum Du das denkst. Diese Begründung müßte ja dann wenigstens wieder im Ansatz die Beschreibung dessen enthalten, was Du nun eigentlich gemacht hast und das wäre zumindest mal ein Punkt, wo man dann sehen könnte, was Du nun gemacht hast.
Bisher kannst Du da praktisch jeden beliebigen Fehler gemacht haben, von einem falschen (aber existierenden) DNS-Namen für das VPN-Gateway bis zu einer falschen Zuordnung der "shared secrets" zu den entsprechenden Angaben in der AVM-Konfiguration. Wenn Du davon ausgehst, das könnte jemand für Dich machen und Dir Schritt für Schritt vorkauen, wie Deine Konfiguration am Ende aussehen muß, dann solltest Du Dich besser der AVM-KB zum VPN zuwenden. Es wäre tatsächlich denkbar, daß man die Verbindung speziell konfigurieren muß (dann wirklich auf der Basis einer Konfigurationsdatei, die man immer wieder in die Box importiert, wenn man sie geändert hat) oder daß es tatsächlich nicht funktioniert (die Box kann (offiziell) nicht mit Zertifikaten umgehen) ... aber aus dem bisher Geschriebenen kann man alles oder nichts ableiten.
Sollte es Dir also Ernst sein mit diesem Anliegen ... dann bitte auch richtig. Mir geht es da ein wenig wie Faustus ("Ich bin zu alt, um nur zu spielen ...") und wenn das "nur Konversation" oder "fröhliches Herumprobieren" werden soll, klinke ich mich lieber aus. Bei systematischem Vorgehen bin ich dann gerne dabei ... aber dann muß man auch bis zu "des Pudels Kern" vordringen, um "im Stück" zu bleiben.
- - - Aktualisiert - - -
@Joe_57:
Das ist richtig ... wenn da tatsächlich entsprechende zusätzliche Vorkehrungen auf dem Notebook getroffen werden, daß nicht auch dieses als Gateway in das Firmennetz genutzt werden kann, dann
kann das einen Unterschied machen.
Trotzdem verstehe ich noch nicht, was der Admin des entfernten Netzes damit zu schaffen hätte, wenn ein Benutzer sich entsprechend verbindet und woher Du die Firmen-Policy dort kennst.
Letzten Endes ist ein BYOD-Ansatz auch nichts anderes als das Verbinden eines weiteren LANs mit dem Firmennetzwerk und ein Admin, der in seinem Netz jedem beliebigen Client blind vertraut, nur weil der über ein VPN verbunden ist, hat sein Verständnis für Netzwerke (nach dem Motto: "alles, was im LAN ist, ist vertrauenswürdig") irgendwo vor den Zeiten der ganzen "mobile devices" eingefroren.
Wenn da nicht noch andere AAA-Techniken zum Einsatz kommen (z.B. eben Zertifikate für die Authentifizierung eines gezielten Clients), ist das in heutiger Zeit vollkommen unzureichend, die Netzwerksicherheit nur auf der Basis irgendwelcher Adressen zu definieren - die goldenen Zeiten des "guten LAN" sind mehr als vorbei und je schneller das auch noch der letzte Admin begriffen hat, um so eher sind die Firmennetze dann auch besser gegen Angriffe gewappnet. Wenn das VPN tatsächlich auf die ausgegebenen Geräte (Firmen-Laptop) beschränkt werden soll, nimmt man da Zertifikate mit nicht exportierbaren "private keys" und dann geht da ohnehin nichts in der Richtung, in die der Fragesteller will. Dann stellt sich auch die Frage, warum der TO überhaupt mit anderen Geräten auf das Netz in der Firma zugreifen will ... wenn das z.B. auch das Abrufen des (ohnehin auf dem Tablet konfigurierten) E-Mail-Postfachs in der Firma im heimatlichen LAN ermöglichen soll, hat vermutlich weder der Admin noch der IT-Chef oder die GF etwas dagegen, wenn die Arbeitnehmer auch noch daheim erreichbar sind auf diesem Wege.
Also ... so wenig, wie ich sicher wissen kann, wie das Netz beim Fragesteller in der Firma aufgebaut ist, so wenig kannst Du es wissen und an die Stelle der technischen Antwort
nur die eigene Vermutung zur Rechtmäßigkeit des Anliegens zu setzen, finde ich wenig hilfreich. Wenn man seine Bedenken an dieser Stelle artikulieren will, ist das sicherlich legitim ... aber das kann auch gut als zusätzlicher Hinweis untergebracht werden und muß nicht
an die Stelle einer passenden Antwort treten ... just my 2 cents.
Solange das kein "offensichtlich kriminelles oder rechtswidriges Anliegen" ist, gibt es nach meinem Dafürhalten keinen Grund, solche Fragen nicht zu beantworten.
