[Gelöst] Box zu Box - VPN nur für Telefonie möglich?

[dstockm]

Hallo,

ich habe zwei Boxen per VPN verbunden und möchte gern den Zugriff auf das VPN beschränken.
Bestimmten Geräten (im WLAN) den Zugriff zu gewähren wäre schön. Es würde notfalls aber reichen wenn nur die Box selbst das VPN nutzen kann. Die benötigt es nämlich für die Telefonie:

FB4060 192.168.10.1 --> in diesem Netz hängt die Telefonanlage
FB7580 192.168.5.1 --> diese Box meldet sich als Nebenstelle über die VPN-Verbindung an der Telefonanlage 192.168.10.17 an

Konfig der FB7580:
Nun habe ich das Problem dass, wenn ich "Nur bestimmte Geräte nutzen die VPN-Verbindung" auswähle, die Box das mit "Fehlercode: 1" quittiert und die Änderung nicht übernimmt.
In der Hilfe findet man dazu nur etwas was mit der Telefonie zu tun hat. Das scheint schon daruf hinzudeuten, dass die Box selbst dann nicht mehr in das fremde Netz kommen würde. Man kann die Box selbst ja auch nicht bei den "bestimmten Geräten" auswählen...

Mache ich es über "VPN-Tunnel ist nur an den ausgewählten LAN-Anschlüssen der FRITZ!Box verfügbar", kann man die Änderung speichern. Aber die Telefonie ist trotzdem weg.
Ich habe dann auch keinen Zugriff mehr über VPN auf die Oberfläche (192.168.10.x --> 192.168.5.1).

Gibt es hierfür eine Lösung oder geht das mit Bordmitteln einfach nicht?

 

[kleinkariert]

Das sieht sehr nach einem Bug der 7580 aus, denn weder der Fehlercode noch die komplette VPN-Unterbrechung zur 4060 sollten an dieser Stelle auftreten.
Wie schaut das aus, wenn du zum Test wenigstens ein Gerät zulässt?

 

[dstockm]

Ich hatte gar kein Gerät abgewählt. Es reicht den ersten Haken bei "nur bestimmte Geräte ..." zu setzen. Die einzelnen Geräte sind dann ja noch ausgewählt.

Bei dem anderen Versuch war es m.E. keine komplette VPN-Unterbrechung. Die Verbindung wurde noch als aktiv angezeigt. Ich bin nur nicht mehr an die 192.168.5.1 rangekommen (also in Gegenrichtung sozusagen) und die Telefonie wurde unterbrochen.
Ich hatte LAN2 ausgewählt, aber kein Gerät daran. Ich denke ein daran angeschlossenes Gerät wäre schon noch durch den Tunnel gekommen.

Edit: Notfalls müsse es doch funktionieren, wenn ich das gesamte Netz als Gastnetz an LAN4 hänge. Auch das WLAN könnte ich als Gast-WLAN "verdammen". Dann dürfte der VPN-Zugriff ja auch nicht gehen. Nicht gerade ideal, wäre aber eine akzeptable Variante.

 

[kleinkariert]

Bei meinem Test soeben zwischen 2x 7590 hat es funktioniert wie eingestellt.
Die Funktion ist also grundsätzlich ok.

 

[dstockm]

Soll heißen die Boxen selbst sind immer noch durch das VPN gekommen? Sowohl bei den einzelnen Geräten als auch bei der Variante mit einzelnen Anschlüssen?
Hat die 7590 schon was Neueres als Version 7.29 drauf?

 

[kleinkariert]

Leider haben beide Boxen schon aktuelle Inhaus + aktuelle Labor.
Der Test mit der abgeschalteten VPN-Nutzung eines PCs ergab wie erwartet:
- PC kam weder auf andere Fritzbox oder PCs dahinter.
- Mein PC konnte immer noch per VPN auf die andere Fritzbox.

Wie hast du jetzt dein kaputtes VPN repariert?

 

[dstockm]

Ich habe beide Optionen "bestimmte Geräte" und "bestimmte LAN-Anschlüsse" nicht aktiviert. Dann läuft ja alles wie es soll, nur dass eben jeder in den Tunnel darf.

Vielleicht nochmal zur Verdeutlichung meines Wunsches:
Die VPN-Verbindung brauche ich im Wesentlichen nur für die Anbindung der Telefonie. Alle (oder die meisten) angeschlossenen Geräte sollen den VPN-Tunnel nicht nutzen können.
Versuche:
einzelne Geräte --> Fehlermeldung
Ports --> Telefonie auch weg
Das gilt für die Richtung 7580 --> 4060, also Konfiguration in der 7580 mit V 7.29
In die andere Richtung ist erstmal egal.

 

[kleinkariert]

Jetzt würde ich mal eine alternative Fritzbox dafür testen, denn prinzipiell sollte jede Box mit Firmware 7.29 dein Vorhaben unterstützen.

Update, da ich noch einen kleinen Bug bei 7.29 gefunden habe:
Es scheint mit einer 7590 (7.29) praktisch wie gewünscht zu funktionieren, eine TK-Anlage habe ich zwar nicht extra dafür, aber die Box-zu-Box-Telefonie bleibt funktionell.
Der kleine Bug kommt hervor bei der Abwahl aller Geräte, da wird beim Speichern die Option "Nur bestimmte Geräte nutzen die VPN-Verbindung" ganz abgeschaltet. Man muss also ein unbedeutendes(?) Gerät in der Liste aktiviert lassen.

 

[dstockm]

Mir war bei Deinem Test die Richtung nicht ganz klar und ich wollte nur Mißverständnisse vermeiden.

Ich könnte mal von meiner 7590 mit V7.29 auf die 4060 testen. (Gleich vorweg: die 7590 kann ich nicht gegen die 7580 tauschen - VDSL250).
Aber egal was dabei herauskommt wird mich das nicht groß weiterbringen, denn einen Tausch der 7580 gegen eine Neue Box wollte ich vermeiden. Und ob die noch ein Update bekommt...?

Ich denke ich werde heute Abend mal die Variante mit dem Gastnetz ausprobieren. Müsste doch eigentlich gehen, oder?

 

[PeterPawn]

Mit passend konfigurierten Selektoren (accesslist-Parameter in der VPN-Konfiguration) kann man eine VPN-Verbindung auch auf SIP-Signalisierung und RTP-Übertragungen beschränken (anhand der IP-Adressen und Portnummern). Nur geht das eben nicht über das GUI der AVM-Firmware ... aber das ist allemal sinnvoller, als alle anderen Geräte ins Gastnetz zu stecken, nur damit die am Ende nicht die VPN-Verbindung benutzen (können).

 

[dstockm]

Also das mit dem Gastnetz erfüllt schonmal seinen Zweck. Ist jetzt auch nicht so schlimm, weil auf der Seite mit dem Gastnetz ohnehin nur ein paar Geräte mit reinem Internetzugriff sind. Außerdem kann ich dann das Nicht-Gast-WLAN als Management-WLAN für mich benutzen.
Das mit der Config klingt durchaus interressant, aber das möchte ich mir vorerst nicht geben.

Jetzt muss ich nur noch schauen dass es keine Probleme mit der alten 7390 gibt, die am LAN4-Gastnetz der 7580 als reiner IP-Client / Accesspoint in der zweiten Etage hängt. Da scheint es heute wohl ein paar Problemchen gegeben zu haben. (Die wird vermutlich sowieso noch gegen einen Repeater 1200AX o.ä. ausgetauscht)

Was mir noch als Möglichkeit eingefallen ist: Ich kann ja auch auf Seiten der 4060 den VPN-Zugang einschränken - z.B. nur auf die Telefonanlage.

Ich denke ich werd's so erstmal probieren. Vielleicht kommt ja noch eine 7.30 raus...

 

[dstockm]

Kleines Update: Nun habe ich mal auf Seiten der 4060 das VPN auf die Telefonanlage beschränkt. Das funktionierte erwartungsgemäß. Ich konnte auch weiterhin durch das VPN die 4060 selbst erreichen.

Also habe ich noch ein wenig herumkonfiguriert und testweise nochmal auf der 7580 nur einzelnen Geräten den VPN-Zugang erlaubt.
Tja, ich weiß nicht wieso, aber das Problem ist verschwunden. Telefonie geht weiterhin. Keine Ahnung woran es lag.

--> Problem gelöst