*Problem* VPN-Kopplung LAN-LAN Fritzbox7390 <--> Fritzbox 7490

Bei einer "DS-Lite"-zu-"IPv4"-Kopplung (die muß ja per IPv4 über das CGN des Providers, denn IPv6 pur kann das VPN nicht) braucht es Handarbeit an der Konfiguration der FRITZ!Box am IPv4-Anschluß. Diese darf nicht ihrerseits versuchen, eine Verbindung aufzubauen, da das dabei unweigerlich auftretende Timeout (nichts anderes ist 0x2027) eine vom DS-Lite-Anschluß schon erfolgreich aufgebaute Verbindung wieder mit in den Abgrund reißt.

Wenn Du keinen anderen Weg findest (von Telnet bis zum Einspielen einer extern mit "FRITZ!Fernzugang konfigurieren" erstellten Datei für die 7490 ist alles denkbar), kannst Du das in einer Export-Datei der 7490 entsprechend anpassen (mit dem FBEditor).

Damit die 7490 keine eigenen Verbindungsversuche unternimmt, müssen die Angaben zu "remotehostname" und "remoteip" auf ihrer Seite leer bleiben. Das kann das GUI aber meines Wissens nicht konfigurieren.

Vielleicht erbarmt sich AVM ja in der nächsten Version und baut noch eine Möglichkeit ein, eine FRITZ!Box nur als passiven Responder zu konfigurieren für eine VPN-Verbindung.

Das gibt vermutlich nur einen Fehler beim Import auf der 7390 ... die Syntax ist falsch.

Am einfachsten löschst Du die "remotehostname"- und "remoteip"-Zeilen dort komplett, ansonsten muß das vermutlich eine leere Zeichenkette ("") bzw. eine "0-IP-Adresse" (0.0.0.0) sein, je nach Typ des Parameters.

Wenn ich die Typen der FRITZ!Boxen bei Dir durcheinandergewürfelt habe, tut es mir leid ... das mußt Du selbst sortieren. Deshalb habe ich auch versucht, von "DS-Lite"- und "IPv4"-Box zu schreiben. Für die VPN-Konfigurationen ist der Typ der Box ohnehin egal.

Wobei ich auch schon Berichte hatte, daß sich eine 7490 mit 06.30 und eine 7490 mit 06.20 beim VPN nicht vertragen wollten (54-Minuten-Problem), ob das für 06.24 vs. 06.30 auch gilt, weiß ich nicht. Aber wenn Dich kein konkreter Anlaß von einem Update auf 06.30 abhält, solltest Du auf beiden Boxen einfach dieselbe Version verwenden.

Sir_Vival schrieb:

Muss der myfritz domainname mit https:// oder nach myfritz.net noch mit etwas besonderes eingetragen werden? Was könnte es sonst noch sein?

Zum Vergrößern anklicken....

Nein, das darf sogar nicht der Fall sein, das ist ein DNS-Name, da hat ein Protokoll nichts zu suchen.

Das könnte alles mögliche sein ... Auskunft gibt die "ike.log" - zu finden unter /var/tmp/ike.log per Telnet oder irgendwo in den Supportdaten der Box. Raten bringt da gar nichts ... wenn Du vorher alte VPN-Verbindungen gelöscht hast und nach dem Import neue angezeigt werden, liegt es ja schon mal nicht am Import. Sind die VPN-Verbindungen denn aktiviert (sollte eigentlich Standard sein)?

EDIT: Ich kann mir auch die Frage nicht verkneifen, ob Du mal einen Zugriffsversuch gestartet hast ... so wie Du das VPN konfiguriert hast (keine keepalive_ip in der DS-Lite-Box), ist das ja "on demand" und wird nur aufgebaut, wenn Daten vom DS-Lite-Anschluß zum IPv4-Anschluß zu übertragen sind.

Nur für den Fall, daß die FRITZ!Box bei fehlender "remotehostname"-Angabe die irgendwo anders ableiten will, setze doch einfach mal die Einträge auf leer - für remoteip so, wie es in der DS-Lite-Konfiguration zu sehen ist und für die Zeichenkette bei "remotehostname" eben auf leere Zeichenkette.

Ansonsten kann man mit den Screenshots wenig anfangen, was die Ursache des Problems angeht. Bei der DS-Lite-Box, die ja die Verbindung aufbauen muß, ist nur ein einziger Timeout-Fehler zu sehen ... und der liegt zu allem Überfluß auch noch 15 Minuten vor dem Screenshot der 7390.

Die Konfiguration sieht - vom oben erwähnten Unterschied abgesehen - richtig aus ... wenn Du das einfach noch einmal aus einer Export-Datei ausliest, kann man auch erkennen, was die 7390 beim Import an die Stelle von "remotehostname" gesetzt hat.

Das ganze Maskieren von irgendwelchen MyFRITZ!-Adressen bringt auch nur dann etwas, wenn Du es konsequent und überall machst ... ansonsten verwirrt es nur. Wenn Du in der Konfigurationsdatei den Namen änderst, solltest Du ihn in den PDF-Screenshots nicht veröffentlichen.

Das Ping muß natürlich von der DS-Lite-Box zum IPv4-Anschluß erfolgen, die 7390 kann ihrerseits keine Verbindung aufbauen, wenn sie richtig konfiguriert ist.

Der Keepalive-Eintrag in der DS-Lite-Konfiguration sollte so aussehen:
Ansonsten kann man die Ursache des Fehlers nur erkennen, wenn man das zeitgleiche Protokoll aus der ike.log aus beiden Boxen vorliegen hat.

Theroretisch ist die Konfiguration richtig ... ob Du beim Verändern für die Veröffentlichung selbst irgendwelche Fehler unabsichtlich mit maskierst, kann man natürlich nicht erkennen. Es ist ja sehr löblich, wenn Du die Passphrase ersetzt, aber erstens kannst Du ja bei funktionierender Konfiguration das jederzeit (auf beiden Seiten dann natürlich!) durch eine andere Folge ersetzen und zweitens gehen dabei natürlich event. Tippfehler verloren. Wenn Du die beiden Dateien allerdings mit "Fernzugang konfigurieren" erstellt hast, sollten die Passphrases automatisch übereinstimmen.

An den Konfigurationsdateien sehe ich auf Anhieb auch keinen Fehler, ob der Deinen Bearbeitungen zum Opfer gefallen ist, kann ich naturgemäß nicht einschätzen ... ist aber eher unwahrscheinlich, wenn Du nur die DNS-Namen abgeändert hast. Das Kennwort zu maskieren ist zwar "menschlich", aber entweder unnötig - wenn da der originale verschlüsselte Wert aus der Box steht - oder jederzeit erneut zu ändern, wenn man wirklich den "echten" Key dort stehen läßt (aber das nur nebenbei).

Die Log-Files sind leider (fast) wertlos, da in keiner der beiden Dateien der Aufbau von Phase1 zu sehen ist ... das ist also schon etwas zu spät nach dem Scheitern des Verbindungsaufbaus. So ein Protokoll braucht es nach einem Neustart (des avmike oder der gesamten Box) auf beiden Seiten, damit man den Verbindungsaufbau in P1 (NAT-T ja/nein, Adressen, Ports) noch sehen kann. Zwar kann der Fehler mit einer falschen Header-Länge auch im normalen Betrieb ab und an einmal auftreten, aber wenn das ständig passiert, ist es eigentlich ein Zeichen dafür, daß die Pakete anders verschlüsselt sind, als es der Empfänger erwartet. Das ist normalerweise ein Zeichen dafür, daß beide Seiten mit einer anderen SA operieren und irgendetwas beim Schlüsselaustausch in P1 daneben gegangen ist.

Also beide Seiten neu starten ... mit ein wenig Glück erledigt sich das dann schon von alleine. Ansonsten hat man dann wenigstens die Protokolle mit dem Beginn des VPN-Verbindungsaufbaus und sieht etwas mehr ...

Ok, mit "Password" als real verwendetem Wert habe ich nicht gerechnet.

So ein IKE-Log beginnt normalerweise mit dem Hinzufügen einer VPN-Verbindung und - wenn die durch "keepalive_ip" oder ein "echtes" Paket in diese Richtung gestartet wird - mit der Phase1 des Aufbaus. Das fehlt alles in Deinen Logs, so habe ich das bisher noch nicht gesehen.

Ansonsten sind das ja beides Box-Modelle, wo man sich einen Telnet-Zugang auch noch dann verschaffen kann, wenn es sich um Firmware > 06.25 handelt ... vielleicht hilft das ja weiter.

Normalerweise wird irgendwann (die Bedingungen dafür habe ich noch nie versucht zu ermitteln) auf eine neue "ike.log" umgeschaltet und der vorherige Inhalt steht dann in der "ike.old". Diese sollte m.E. auch in der Support-Datei enthalten sein, wenn das nicht der Fall ist, muß man eben direkt auf die Box und die dort auslesen.

EDIT: Gerade von der 7390 wäre der Teil mit P1 wichtig, denn nur dort kann man sehen, von welcher CGN-IP die Verbindung kommt und ob die tatsächlich "stabil" ist. Wenn da der Provider nach dem Motto "UDP ist ohnehin 'connection-less', also ist die IP egal" nicht trotzdem ein Connection-Tracking macht und innerhalb einer gewissen Zeitspanne solche Pakete immer über denselben Pfad (hier also die IPv4 des CGN-Gateways und auch über einen stabilen Port) versendet, dann stimmen bei den an der 7390 ankommenden Paketen diese Angaben nicht mehr und sie können nicht richtig zugeordnet werden. Über welchen Anbieter beim DS-Lite-Anschluß reden wir überhaupt?

Ich wüßte keinen Weg. Aber die Reaktivierung von Telnet ist ja nun nur eine Fingerübung ... es gibt zig Threads zu diesem Thema, seit sich AVM zur "Abschaffung" entschlossen hat.

Es ist nur nahezu unmöglich, ohne die Protokolldateien irgendetwas zu der Ursache des VPN-Fehlers zu raten ... die Konfiguration sieht wie gesagt richtig aus. Eventuell hilft ja noch ein Paketmitschnitt auf zwei Schnittstellen (1. Internetverbindung und Routing-Schnittstelle), um da irgendetwas im eingehenden Verkehr sehen zu können, falls die IPSec-Pakete tatsächlich nicht von einer konstanten Adresse und demselben Port kommen sollten. Ansonsten habe ich auch keine Ideen mehr ...

Ich bin nur Laie

daher die Frage zur DS-Lite Config

müsste da nicht 10.0.0.0 stehen? Und horcht die DS-Lite 7490-GUI auf 10.0.0.1? Ich würde mir mal eine aus 192.168.x.y aussuchen/probieren wobei x halt ungleich 1. Die 10.x.y.z wird bei mir (UMTS-Fritte) von meinem Provider mir zugewiesen.

Sorry falls ich als Laie/Anfänger danebenliege.

@Micha0815:
Mit "permit ip any 192.168.1.0 255.255.255.0" wird der Verkehr von jeder beliebigen lokalen Adresse (any) an eine Adresse aus dem Netz 192.168.1.0/24 über den Tunnel gesendet. Das müßte - wenn ich die Konstellation bei TE richtig verstehe - so stimmen, auf der DS-Lite-Seite sollte dann natürlich auch 10.0.0.1/24 für das LAN eingestellt sein (das letzte Tupel kann auch abweichen, wenn man es richtig macht). Allerdings würde auch ich erst einmal mit den Adressen etwas experimentieren ... aber aus meiner Sicht spricht auch nichts gegen die Verwendung von 10.0.0.0/24 als Netzwerk auf einer Seite. Ich habe bisher nur dann die (automatische) Verwendung eines Netzes aus dem 10/8-Bereich bei der FRITZ!Box gesehen, wenn für das Gastnetz ein Subnetz benötigt wurde und sowohl 192.168.0.0/16 als auch 172.31.0.0/12 nicht benutzt werden konnten ... und auch dann war das ein /24-Segment mit einer anderen Adresse (10.234.189.1/24 bei LAN1-Verwendung).

Tx @PeterPawn

Nur auf seiner FB7390 hat er

Ich meine einfältig, die Werte sind in den jeweiligen cfg`s vertauscht? Der Zugriff geschieht ja imho von Clients (hinter der FB) in dem Adressraum? Bsp. ein Client mit 192.168.1.15 will 10.0.0.1 aufrufen oder etwas dahinter? Erlaubt ist aber nur eine IP aus 10.0.0.0/24 Bezieht sich das any nicht auf den Adressraum dahinter?

LG

Micha0815 schrieb:

Ich meine einfältig, die Werte sind in den jeweiligen cfg`s vertauscht?

Zum Vergrößern anklicken....

Sehe ich so nicht ... vielleicht bin ich aber auch nur betriebsblind. Blöd ist natürlich, daß man wieder auf die LAN-Konfiguration "schließen" muß und nicht explizit etwas dazu geschrieben wurde.

Bezieht sich das any nicht auf den Adressraum dahinter?

Zum Vergrößern anklicken....

Das "any" als erste Angabe bezieht sich m.W. auf die Absenderadresse und die zweite Angabe (da könnte natürlich auch "any" stehen anstelle von Netzwerkadresse und -maske, wobei das andere Konsequenzen hat) auf die Zieladresse von IP-Paketen.

EDIT:

Bsp. ein Client mit 192.168.1.15 will 10.0.0.1 aufrufen oder etwas dahinter? Erlaubt ist aber nur eine IP aus 10.0.0.0/24

Zum Vergrößern anklicken....

Die 10.0.0.1 liegt doch innerhalb der 10.0.0.0/24 ...

Sorry und ich hatte

eine falsche "Entwurfs-cfg" verglichen und nehme ALLES zurück @PeterPawn.

Hier
ist es ja auch äquivalent beschrieben was in meiner laufenden Konstellation -angepasst- genauso steht.

Trotzalledem -ohne das ansatzweise+hinreichend zu durchschauen- mutmasse ich, dass der Adressraum 10.XXX.XXX.XXX für die DS-Lite unglücklich gewählt? In meiner Konstellation nutzt der CGN eine 10.x.x.x... Adresse? bzw. weist ihr zu?


Wie der CGN die 10er IP in eine Public-IP umsetzt in seiner internen Vergabe/Zuweisung weiss ich als Laie nicht. Nur meine ich, dass der Tunnel von der DS-Lite aus aufgebaut wird?

LG+Sorry

Hallo, ich habe ein ähnliches Problem (zumindest hoffe ich dies).

Ich habe eine Fritzbox 7490 am Ort A und eine Fritzbox 7390 am Ort B, beide haben normale 1&1 Internetzugänge. Die beiden Boxen sind via VPN miteinander verbunden. Jetzt zu meinem Problem. Ich möchte den gesamten Traffic von Ort A über den Tunnel nach B transportieren und dort ins Internet schicken. Kurz gesagt, Ort A soll mit der gleichen IP-Adresse ins öffentliche Netz gehen, wie Ort B.

Kann mir jemand sagen, was ich da ändern muss, damit dies möglich ist.

Vielen Dank schon mal...