AVM VPN, auf 7270 hinter einer 7170, welche Portfreigaben erforderlich ?

[flunki]

Servus,

möchte per AVM VPN ein remote LAN an eine 7270, welche hinter einer 7170 (DSL-Zugang) hängt, verbinden. Die 7170 ist per dyndns registiert und erreichbar. Auf dieser soll jedoch kein VPN laufen. Welche Ports muss ich da bitte freibohren um auf 7270 dahinter (auf der soll VPN laufen) zu kommen?

Als exposed host geht das sicherlich, wollte jedoch nur die absolut notwendigen Ports öffnen.

Der Supportbereich AVM und ne Suche im Forum hat mich noch nicht weitergebracht, eventuell habe ich jedoch dabei was übersehen . . .

Danke im Voraus für eine entsprechende Info, gerne auch Link.

Beste Grüße
Frank

 

[flunki]

Moin,

mit den Ports UDP 500, 4500 und TCP 10000 alle symetrischauf die WAN-IP der 7270 zeigend habe ich es probiert. Leider ohne Erfolg.

Mit exposed host auf WAN IP 7270 geht es, lieber währe mir jedoch lediglich die entsprechenden Ports zu öffnen.

Habt Ihr mir bitte eine Tipp ?

So schaut der Setup aus:
I-Net - dyndns - 7170 - exposed host - 7270 - VPN - LAN (Ziel) = geht.
I-Net - dyndns - 7170 - portfreigaben - 7270 - VPN - LAN (Ziel) = geht nicht.

Danke im Voraus

Gruß Frank

 

[stinkstiefel]

Als exposed host geht das sicherlich, wollte jedoch nur die absolut notwendigen Ports öffnen.

Warum, vertraust du dem Paketfilter der 7270 etwa nicht?

 

[flunki]

Doch, schon. Kann jedoch im LAN hinter der 7170 kein unsinnigen Traffic gebrauchen.

Gruß Frank

 

[frank_m24]

Hallo,

mit den Ports UDP 500, 4500 und TCP 10000 alle symetrischauf die WAN-IP der 7270 zeigend habe ich es probiert.

TCP 10000 ist unnötig, dafür fehlt ESP.

 

[flunki]

OK, danke für die Hilfe!
Ports UDP 500, 4500 und ESP in der 7270 auf die WAN-IP der 7170 freigegeben sowie "use_nat_t = yes;" in beiden VPN.cfgs führt zu dem gewünschten Ergebnis.

Um nun auch noch durch die 7170 (192.168.0.0) auf das Netz der 7270 (192.168.201.0) zu kommen habe ich in der

vpnuser.cfg
accesslist = "permit ip any 192.168.0.0 255.255.255.0",
"permit ip any 192.168.201.0 255.255.255.0";

fritzbox.cfg
accesslist = "permit ip 192.168.0.0 255.255.255.0 192.168.0.130 255.255.255.255",
"permit ip 192.168.201.0 255.255.255.0 192.168.0.130 255.255.255.255";

eingestellt.

Gruß Frank