[Problem] VPN mit Fritz!Fernzugang auf Windows 11

[francwalter]

Hallo,

ich muss für eine Kundin einen HP 2655 G10 Laptop mit Windows 11 Pro für unterwegs mit VPN auf ihr Heimnetz ausstatten.

Also habe ich nach der AVM Anleitung die uralte Anwendung Fritz Fernzugang (und - einrichten) installiert, auf der FritzBox der Kundin (eine 6490 cable) die VPN cfg-Datei eingelesen und kann auch angeblich eine Verbindung zum Heimnetz aufbauen, von außerhalb. In Fritz!Fernzugang steht dann "Verbindung zu XY aufgebaut", ohne Fehlermeldung.

Ich habe den Rechner bei mir daheim und hab ihn über mein eigenes WLAN ins Internet verbunden.
Mein Heimnetz hat 192.168.0.0 und das der Kundin den Standard mit 192.168.178.0
Ich komme aber mit aufgebautem VPN nicht in ihr Heimnetz rein oder ich weiß nicht, wie ich das sehen soll.
Gebe ich im Explorer ein: \\192.168.178.250, das ist ihre DS214, ihr NAS (oder auch mit 1 am Schluss, das ist ihre FritzBox 6490 cable) kriege ich keine Verbindung, das ist nicht bekannt.
Im Browser kriege ich Zeitüberschreitung sowohl für 192.168.178.1 als aber auch für meinen Router mit 192.168.0.1
Immerhin kriege ich eine Anmeldemaske, wenn ich auf meinen eigenen PC per IP zugreifen will und kann mich auch anmelden und komme auf dessen Freigaben.
Anpingen kann ich überhaupt kein Gerät.

Allerdings habe ich PiHole (Werbungsblocker über lokalen DNS) im Einsatz, ändert aber auch nichts, wenn ich auf dem Rechner der Kundin als DNS für die WLAN Verbindung manuelles DNS mit 8.8.8.8 eintrage.
Ich habe es auch mal über mein Telefon versucht, also einen Hotspot, aber das ändert auch nichts (dann komme ich natürlich auch nicht mehr auf meinen PC).
Adressen vom Heimnetz der Kundin kann ich mit aufgebauter VPN nicht aufrufen. Pingen gibt auch kein Ergebnis.
Windows Defender Firewall hab ich testweise komplett aus.

Hat jemand da eine Idee, woran das liegen könnte?

Oder gibt es (auch kommerziell) eine VPN Software die zuverlässig funktioniert mit einer FritzBox 6490 cable (die ja KEIN WireGuard kann)?
Das Shred VPN ist ja auch uralt und bevor ich da vielleicht ähnlich viel Zeit verbrate ohne Ergebnis, kauf ich ihr lieber was, ich sitze da schon lange genug dran.

Danke für Tipps. franc

 

[chrsto]

Bitte Screenshots der VPN Konfiguration

Oder gibt es (auch kommerziell) eine VPN Software

Software Downloads

Download von IPsec VPN Clients für Windows 11/10/8, Android, macOS u.a.

www.ncp-e.com

Hat jemand da eine Idee, woran das liegen könnte?

Nicht ohne die Konfiguration (Screenshots) gesehen zu haben.

 

[frank_m24]

Hat die Kabelbox eine öffentliche IP, die für dich erreichbar ist? IPv4 oder IPv6?

 

[francwalter]

Beides, IP 4 und 6.

Screenshot wovon genau?
Von allen Fenstern beim Einrichten?
Das wären sehr viele.
Ich bin nach der Anleitung von AVM vorgegangen.

Jetzt habe ich die VPN Verbindung in der FB gelöscht und auch auf dem Rechner, wollte es neu machen.
Habe die cfg, zuvor neu in "Fritzbox VPN einrichten" erstellt, in der FB eingelesen, es wurde mit OK quittiert aber sie ist nicht zu sehen! FB auch neu gestartet.

Mir war nämlich aufgefallen, dass bereits eine Android/iPhone VPN für die selbe IP bestand, zwar nicht in Benutzung aber sicherheitshalber wollte ich eine unbenutzte IP nehmen.

 

[frank_m24]

Beides, IP 4 und 6.

Zeig mal die jeweils ersten drei Zifferngruppen der IPs.

 

[chrsto]

Screenshot wovon genau?

Von den IP Adressen der FritzBox
Von einem ggf. vorhandenen Dyndns Dienst
Von der VPN Konfiguration der FritzBox
(alles sinnvoll anonymisiert)

 

[francwalter]

Zeig mal die jeweils ersten drei Zifferngruppen der IPs.

62.143.160....
2a02:908:1a00:...

[Edit Novize: Beiträge zusammengefasst - siehe Forumsregeln]

[Edit Novize: Überflüssiges Fullquote gelöscht - siehe Forumsregeln]

IP-Adressen habe ich ja schon frank_m24

DynDNS Dienst ist keiner eingetragen, da genügt ja auch der MyFritz DynDNS Dienst, den nutze ich natürlich.

Übrigens der VPN Dienst in der FB für Android/iPhone funktioniert, das habe ich gerade ausprobiert. Kann ich von meinem Telefon aus auf die FritzBox drauf, eindeutig. Dann leuchtet auch der Status grün:


[Edit Novize: Riesenbild auf Vorschau verkleinert - siehe Forumsregeln]

Jetzt habe ich mal zum Testen von meinem eigenen PC aus (auch Windows 11) eine Verbindung erstellt und eingebunden, die sehe ich auch in der VPN Liste der FB, aber da schlägt die Verbindung fehl wg. "Im IKE-Modul ist der Fehler 1 aufgetreten", das ist vermutlich eine andere Geschichte (liegt eher an meinem uralt eingerichteten PC, den habe ich seit Windows 8 nicht mehr neu aufgesetzt.

 

[frank_m24]

Mir war nämlich aufgefallen, dass bereits eine Android/iPhone VPN für die selbe IP bestand, zwar nicht in Benutzung aber sicherheitshalber wollte ich eine unbenutzte IP nehmen.

Mir scheint, die VPN Konfiguration ist strubbelig, da geistern vielleicht auch noch alte Reste anderer VPN Konfigurationen herum. Am Ende wird da vermutlich nur ein Reset auf Werkseinstellungen helfen.

 

[francwalter]

Es geht!
Hurra!



Ich kann mit dem Laptop jetzt die FB der Kundin aufrufen, bin also in deren Netz damit.

Ich hatte alles noch mal gelöscht und mit der 203 eingetragen. Dann verbunden und nach Reload in der FB sah man auch das grüne Status-Lämpchen
Hurra.
Danke für die Hilfe!

Was war anders jetzt? Außer der unbenutzten IP habe ich die CheckBox "Alle Daten über den Tunnel..." nicht aktiviert:


[Edit Novize: Riesenbilder auf Vorschau verkleinert - siehe Forumsregeln]

Die CheckBox "Alle Daten über den Tunnel" ist ja eigentlich auch für die Katze. Heute schickt man ja sowieso keine lesbaren Pakete mehr durch das Internet, ist ja immer alles SSL verschlüsselt (Mail, Web usw.). Das drosselt nur die Geschwindigkeit, falls das örtlich benutzte Netz schneller ist als das heimische Internet, außerdem wird durch das VPN auch noch etwas gedrosselt).

Jetzt muss ich noch den Defender wieder anschalten und schauen ob es dann immer noch geht.
... Ja geht noch

 

[Peter_Lehmann]

Die CheckBox "Alle Daten über den Tunnel" ist ja eigentlich auch für die Katze.

Ich betrachte das als eine sehr gewagte These!
Auch, dass wirklich alles mit TLS verschlüsselt ist, würde ich schon nicht als eine Tatsache betrachten. Ich möchte hier nur DNS und auch VOIP nennen.
Zumindest sollte ein Nutzer immer einen Vergleich zwischen den (hier genannten und auch tatsächlich vorhandenen, aber im praktischen Betrieb kaum spürbaren) Nachteilen und seinem eigenen Sicherheitsbedürfnis durchführen.
Ohne Frage gilt das oben genannte für ein VPN, welches nur einem "Familienadmin" ermöglichen soll, auf einen entfernten Router usw. zuzugreifen.

Ich betreibe seit 2019 ein für rein private und nicht-kommerzielle Nutzung schon recht großes WireGuard-Netz mit immerhin 9 Endpunkten (AVM 4040 und 7412) in drei Ländern, an denen insgesamt über 50 Clients der jeweiligen Nutzer angeschlossen sind. Unsere mobilen Geräte übertragen (aushäusig) sämtlichen Traffic über den jeweiligen Tunnel zum eigenen (oder bewusst ausgesuchten "anderen") WireGuard-Endpunkt. Einschließlich der DNS-Auflösung über einen der 5 im Netz installierten pihole bzw. AdGuard. Die mit iperf3 mehrfach am Tag automatisiert gemessene Bandbreite erreicht immer fast den lt. Vertrag möglichen Wert des Uplinks - und das reicht uns völlig aus.

vy 73 de Peter

 

[francwalter]

So ein Mist! Der VPN Zugang ging ja schon mal, von dem Laptop der Kundin auf ihr Heimnetz (192.168.178.0), wenn sie in meinem eigenen WLAN (mein Netzwerk: 192.168.0.0) war und sich von dort aus verbunden hatte.
Jetzt fuhr sie aber in Urlaub, einen mobilen WLAN Router dabei, über den ging es aber nicht mehr.
Aber auch nicht über Hotspot von ihrem Telefon aus oder in sonst irgendeinem WLAN (allerdings vermutlich über eine FritzBox mit dem selben Netz, also 192.168.178.0. da geht ja bekanntlich das VPN dann nicht)
Im Journal steht:
Zeitüberschreitung- Die Gegenstelle konnte nicht erreicht werden.

Jetzt bin ich bei der Kundin vor Ort und es geht nicht. Ich hab den Laptop mit ihrem mobilen Router verbunden (ein TP-Link 4G LTE M7010) und es funktioniert einfach nicht (Zeitüberschreitung).
Die Konfig gelöscht und noch mal importiert, nichts. Per MyFritz DynDNS komme ich aber vom Laptop über den mobilen Router durchaus auf ihre FritzBox Cable 6490 drauf, also die Dyn-Adresse funktioniert schon. In der Cable FB steht auch eine IP4 drin.

Der mobile Router gibt dem Laptop eine IP 192.168.0.114, also nicht im selben Netz wie die Cable FB (192.168.178.0). Allerdings steht auch noch ein "Ethernet 2" als Verbindung da, ohne dass ein LAN Kabel im Laptop stecken würde, mit einer anderen IP 192.168.0.137. Als ob der mobile Router zwei IPs vergeben würde. Das ist genauer gesagt ein "Remote NDIS based Internet sharing device", habe ich jetzt mal deaktiviert.

Ich vermute, das VPN würde wohl nach wie vor von mir daheim aus funktionieren, aber über den mobilen Router oder das Telefon Hotspot halt nicht.
Sollte es nicht über jede Internetverbindung funktionieren, sofern das Netzwerk nicht die selbe IP hat (also nicht wie der Heimrouter 192.168.178.0) ???

Was kann das denn noch sein?

 

[frank_m24]

Das ist genauer gesagt ein "Remote NDIS based Internet sharing device", habe ich jetzt mal deaktiviert.

Gibt es eine USB Verbindung zum Router? Das hört sich danach an.

Was kann das denn noch sein?

• Ein IPv4/IPv6 Problem
• Eine Sperre beim Mobilfunkanbieter für VPNs
• Eine Sperre im Router für VPNs oder den Port

 

[francwalter]

Gibt es eine USB Verbindung zum Router? Das hört sich danach an.

Nein. Ich hab das auch dann deaktiviert, ich weiß gar nicht was das ist, brauchen tut man es jedenfalls nicht. Der Laptop ist im Büro (bei der Kundin) immer per WLAN im Netz, nicht mal per LAN-Kabel.
Scheint irgendein Microsoft Sonderzeugs zu sein, das NDIS.

• Ein IPv4/IPv6 Problem

Dann dürfte es ja generell nicht gehen. Die MyFritz-DynAdresse geht ja auch, ist erreichbar, übrigens auch von dem mobilen Router.

• Eine Sperre beim Mobilfunkanbieter für VPNs

Die SIM im Router (übrigens auch die im Smartphone der Kundin, mit dem sie es auch über Hotspot versucht hatte) ist von 1&1.

• Eine Sperre im Router für VPNs oder den Port

Ich finde dazu leider nichts einschlägiges.


Jetzt habe ich den Laptop (den HP 255 G10) wieder mit heim genommen, habe ihn in mein lokales WLAN (war ja schon mal) verbunden und das VPN geht hier wieder sofort (wie ja schon zuvor).
Gibt es das denn, eine VPN Sperre im mobilen Datenfunk? Dann dürften die VPN Verbindungen der Android Telefone ja auch gelegentlich Probleme machen, aber die gingen bei mir bisher immer.
Aber es hatte ja auch nicht mit meinem eigenen Telefon als Hotspot geklappt und mein Smartphone kann durchaus eine VPN zu meiner eigenen FritzBox aufbauen (oder zu anderen), also per VPN mit der Android VPN.

-- Zusammenführung Doppelpost gemäß Boardregeln by stoney

Zufälligerweise habe ich gerade auch noch eine Congstar SIM mit aktiven Daten hier, damit geht es auch.
Also scheint tatsächlich 1&1 die Ursache zu sein (die SIM im mobilen Router und das Smartphone der Kundin sind beide 1&1).

Wird wohl so sein, dass 1&1 für mobile Daten einfach keine IPv4 IP vergibt, vermute ich, dann geht es wohl auch nicht.

 

[frank_m24]

Nein. Ich hab das auch dann deaktiviert, ich weiß gar nicht was das ist, brauchen tut man es jedenfalls nicht.

Das ist heikel. Wenn auf der Verbindung Gateway und DNS zur Verfügung gestellt werden, hast du dich damit ausgesperrt. Du solltest herausfinden, was das ist und wo es herkommt.

Scheint irgendein Microsoft Sonderzeugs zu sein, das NDIS.

Das ist das Standard Driver Interface für Netzwerkkarten unter Windows. Also kein Sonderzeugs.

Gibt es das denn, eine VPN Sperre im mobilen Datenfunk?

Früher war das normal. Heute eher ungewöhnlich.

Wird wohl so sein, dass 1&1 für mobile Daten einfach keine IPv4 IP vergibt, vermute ich, dann geht es wohl auch nicht.

Nein, das ist sicher nicht so. Es gibt sicherlich keine öffentliche Adresse, aber eine CGNAT Adresse auf jeden Fall. Da ist die Gefahr bei Congstar größer, von denen gibt es wirklich IPv6 Only Tarife.

Ein MTU Problem könnte ich mir noch vorstellen.

 

[francwalter]

Ich sehe ja auch eine IPv4 wenn ich im Netz (über die mobile Routerverbindung) meine IP abfrage.
61.8.138.181
In der Verwaltungsseite des TP-Link ist auch unter Advanced > NAT Forwarding > ALG alles (PPTP, L2TP, IPSec) Pass-through aktiviert.
Dort sehe ich aber auch unter Status > Connection Status > IPv4 Adress: 10.83.109.178, also eine interne NAT Adresse.
Könnte das das Problem sein? Dass intern eine "falsche" IP vergeben ist, also keine öffentliche?


Wofür das Gerät "Remote NDIS based Internet Sharing Device" herkam, weiß ich nicht, der Laptop hat keinerlei Sonderfunktionen, sondern dient einzig zum Arbeiten mit Mail und Dateien, ein reines Endgerät. Der muss auch kein Internet teilen für andere Geräte. Ich vermute, das kommt vom Smartphone per USB anstecken.
Ich finde diesen Netzwerkadapter, nachdem ich ihn deaktiviert hatte, auch nur noch ausgeblendet im Geräte-Manager und unter Erweiterte Netzwerkeinstellungen > Hardware und Verbindungseigenschaften wird er ganz am Schluss aufgeführt.
Geht aber alles genau so, hat also nichts geändert.

 

[frank_m24]

In der Verwaltungsseite des TP-Link ist auch unter Advanced > NAT Forwarding > ALG alles (PPTP, L2TP, IPSec) Pass-through aktiviert.

ALGs sind immer gefährlich. Deaktiviere die auf jeden Fall mal testweise.

Dort sehe ich aber auch unter Status > Connection Status > IPv4 Adress: 10.83.109.178, also eine interne NAT Adresse.

Alles andere hätte mich auch gewundert.

Könnte das das Problem sein? Dass intern eine "falsche" IP vergeben ist, also keine öffentliche?

Nat ist für VPN immer problematisch, aber man kann es hinbekommen.

Ich vermute, das kommt vom Smartphone per USB anstecken.

Dann hätte es keine IP aus dem fraglichen Subnetz.

 

[francwalter]

ALGs sind immer gefährlich. Deaktiviere die auf jeden Fall mal testweise.

Alle deaktiviert, ändert nichts.

Nat ist für VPN immer problematisch, aber man kann es hinbekommen.

Ja, aber wie, wenn man keinerlei aussagekräftige Fehlermeldung hat?
Das ist ein Stochern im Trüben.
Was mich irritiert ist, dass es auch über den Hotspot mit meinem Telefon (o2, genauer: Smartmobil) nicht geht.
Das Problem muss doch bekannt sein, ist FritzFernzugang eine Nischenlösung?
Was kann man denn noch für eine Soft- oder Hardware nehmen, damit es mit so einem mobilen Router funktioniert?

Dann hätte es keine IP aus dem fraglichen Subnetz.

Mir fällt gerade ein, ich hatte den mobilen Router per USB-Kabel (nur zum Laden) an dem Laptop der Kundin dran, daran liegt das. Ich hab ihn jetzt mal wieder dran und da ist er wieder:


Aber das hat halt leider nichts mit meinem Problem zu tun

Ich werde jetzt mal meine Congstar SIM in den mobilen Router einsetzen, vielleicht geht es ja damit. Dann wird 1&1 einfach wieder gekündigt.

EDIT: leider mit der Congstar SIM das selbe, kein VPN möglich. Was kann denn das sein? Das Problem müssten doch auch noch andere haben!?
Jetzt probiere ich mal die Einstellungen zur Firewall: Firewall für FRITZ!Fernzugang einrichten da kommt man in der FritzBox Fehlersuche drauf...

Hilft aber alles nichts. Ich habe die Ports weitergeleitet:





Und auch DMZ probiert:



Die IP ist derzeit (DHCP) 192.168.0.187:



Die kann man auch nicht fixieren, wie in einer FB. Der Router ist minimal ausgestattet, also mit sehr wenig Funktionalität.
Da es aber eh nichts bringt, die Portweiterleitungen, ist es auch egal, ob die IP immer wieder ändert.

Ich brauche wohl in erster Linie einen Router, der den FritzFernzugang auch kann. Aber welcher ist das?
Die zweite Frage ist, ob die mobile Verbindung (mit 1&1) das dann hergibt.
Sind also zwei Fragezeichen, Router und SIM.
Ich muss mich wohl mal an AVM wenden, die müssten das doch wissen.

 

[frank_m24]

Das Problem muss doch bekannt sein, ist FritzFernzugang eine Nischenlösung?

Nein, keine Nischenlösung. Aber es nutzt IPSec, das kann bei NAT problematisch sein. Grundsätzlich kann man die AVM Lösung aber über Mobilfunk nutzen, dafür gibt es viele Beispiele auch hier im Forum. Wenn es bei dir mit mehreren SIMs nicht geht, deutet das eher auf ein Konfigurationsproblem hin, vielleicht ein Adress-Konflikt oder sowas. Hast du das überprüft?

Was kann man denn noch für eine Soft- oder Hardware nehmen, damit es mit so einem mobilen Router funktioniert?

Am besten funktioniert OpenVPN, das kann man am flexibelsten konfigurieren. Wireguard hat die beste Performance.

Mir fällt gerade ein, ich hatte den mobilen Router per USB-Kabel (nur zum Laden) an dem Laptop der Kundin dran, daran liegt das. Ich hab ihn jetzt mal wieder dran und da ist er wieder:


Aber das hat halt leider nichts mit meinem Problem zu tun

Da wäre ich mir nicht so sicher. Die Verbindung hat einen Adress-Konflikt auf deinem Rechner erzeugt. Das kann durchaus ein Rolle spielen.

 

[francwalter]

Nein, keine Nischenlösung. Aber es nutzt IPSec, das kann bei NAT problematisch sein. Grundsätzlich kann man die AVM Lösung aber über Mobilfunk nutzen, dafür gibt es viele Beispiele auch hier im Forum. Wenn es bei dir mit mehreren SIMs nicht geht, deutet das eher auf ein Konfigurationsproblem hin, vielleicht ein Adress-Konflikt oder sowas. Hast du das überprüft?

Ich bräuchte ein Beispiel in Form von einer bestimmten Hardware und einem mobilen Provider, wo finde ich so eines?

Und was für ein Adresskonflikt soll das sein? Ich habe im NAT auf dem Laptop 192.168.0.0 und die entfernte FB hat ja den Standard (192.168.178.0).
Mir fällt da kein Adresskonflikt ein. Das Konfigurationsproblem müsste dann ja auf dem Laptop sein, weil es ja auch mit verschiedenen Smartphone Hotspots nicht geht.
Mir scheint, irgendwas übersehe ich da oder irgendwo steht, dass es so gar nicht gehen kann und das hab ich noch nicht gefunden.
Also definitiv habe ich noch keine konkrete Anleitung entdeckt, wo mit einem Smartphone Hotspot oder einem mobilen Router und FritzFernzugang ein VPN auf eine FritzBox (insbesondere die Cable 6490) erstellt wird. Daher denke ich ja auch, dass der FritzFernzugang eher so eine Nischenlösung wäre. Es gibt wenig einschlägige Anleitungen und keine mit mobilem Hotspot (wenigstens keine, die ich gefunden hätte bisher, oder nur solche, wo es keine Lösungen gab.).

Am besten funktioniert OpenVPN, das kann man am flexibelsten konfigurieren. Wireguard hat die beste Performance.

WireGuard kann die Cable 6490 ja leider nicht, sonst hätte ich natürlich das genommen. OpenVPN wäre eine Möglichkeit, aber dann natürlich aufwendig, das müsste ich dann wohl auf dem Synology laufen lassen (die FB hat kein OpenVPN) und konfigurieren.

 

[frank_m24]

Ich bräuchte ein Beispiel in Form von einer bestimmten Hardware und einem mobilen Provider, wo finde ich so eines?

Einfach mal suchen. Im Forum gibt es mehrere Beispiele, vor allem von Ferienhäusern oder Wohnmobilen, die über Mobilfunk angebunden sind.

Und was für ein Adresskonflikt soll das sein? Ich habe im NAT auf dem Laptop 192.168.0.0 und die entfernte FB hat ja den Standard (192.168.178.0).

Es gibt ja mindestens 3 Beteiligte in dem Spiel: Notebook mit Router, Mobilfunkprovider und Gegenseite, wobei man für die Gegenseite ggf. sogar 2 IPs berücksichtigen muss (WAN Adresse und lokales Netzwerk). Wenn es da an einer Stelle Überschneidungen gibt, dann hakt es.