Dauerhafte VPN Verbindung von Fritzbox zu Fritzbox

[Macdaddie]

Hallo zusammen,

ich tüftele hier schon seit einigen Tagen, komme aber nicht wirklich auf einen Grünen Zweig:

Folgende Situation:

Ich bin öfters einmal unterwegs und habe eine kleine Fritzbox 4020 die ich je nach dem was vorhanden ist in einem Hotel via WLAN, Kabel oder Mobilfunkmodem mit dem Internet verbinde. Mit dieser baue ich dann ein eigenes WLAN auf.

Auf meinen Geräten habe ich überall einen VPN Client eingerichtet, mit welchem ich dann die Verbindung zu einer Fritzbox 7490 daheim aufbauen kann und so auch in einem öffentlichen Netzwerk recht sicher surfen kann.

Nun hatte ich die Überlegung die VPN Verbindung direkt über die kleine Fritzbox aufbauen zu lassen so dass ich nicht immer an meinen Geräten darauf achten muss, dass die VPN Verbindung aktiv ist.

In der 7490 habe ich einen Benutzer angelegt und die Berechtigungen für VPN und Internetzugriff erteilt.
Mein Netzwerk daheim ist via www.meinname.net erreichbar.

Via Android funktioniert der Verbindungsaufbau via www.meinname.net und unter iOS via meinname.net wunderbar.

Nun habe ich versucht in der kleinen Fritzbox eine Lan-Lan-Kopplung bzw. eine Verbindung zu einem Firmen-VPN einzurichten.

In das IP-Netzwerk der Gegenstelle lautet 192.168.178.0, das der kleinen Box 192.168.188.0

Leider erhalte ich beim Verbindungsaufbau nur die Fehlermeldung VPN-Fehler: meinname.net, IKE-Error 0x2027. Dieser deutet laut Doku auf einen Timeouts hin.

Auch wenn ich die IP direkt eingebe erhalte ich diesen Fehler. Hat jemand eine Idee? Über das selbe Netzwerk kann ich wie gesagt via Smartphone eine Verbindung aufbauen.

Welche Art der Verbindung muss ich überhaupt wählen? Und ist das was ich vorhabe überhaupt möglich?

Danke für eure Antworten.

Philipp

 

[PeterPawn]

VPN-Konfiguration auftrennen in "initiator" und "responder", es gibt einige Threads zu diesem Thema hier. Allerdings ist die Konfiguration eines reinen Responders mit dem GUI-Assistenten für VPN-Verbindungen wohl nicht möglich - die 4020 mit ihrer "Spezialversion" der Firmware habe ich aber auch noch nicht in der Hand gehabt.

 

[Macdaddie]

Hallo PeterPawn,

danke für deine Antwort.
Via dem Programm für das Einrichten eines Fernzugangs habe ich es nun hinbekommen und kann als Lan-Lan Kopplung auf meine Fritzbox zugreifen. Auch der Aufruf meines NAS funktioniert ohne Probleme.

Soweit so gut. Leider wird noch nicht der gesamte Internetverkehr via VPN abgewickelt. Wenn ich meine IP über wieistmeineip.de die Prüfung mache erhalte ich die IP der 4020 angezeigt. Leider hat die Suche im Forum keinen wirklichen Hinweis gebracht. Der Configfile der 4020 sieht im Augenblick wie folgt aus:

/

vpncfg {
connections {
enabled = yes;
conn_type = conntype_lan;
name = "www.xxxx.net";
always_renew = no;
reject_not_encrypted = no;
dont_filter_netbios = yes;
localip = 0.0.0.0;
local_virtualip = 0.0.0.0;
remoteip = 0.0.0.0;
remote_virtualip = 0.0.0.0;
remotehostname = "www.xxxx.net";
keepalive_ip = 192.168.178.1;
localid {
fqdn = "xxxx.myfritz.net";
}
remoteid {
fqdn = "www.xxxx.net";
}
mode = phase1_mode_aggressive;
phase1ss = "all/all/all";
keytype = connkeytype_pre_shared;
key = "xxxx";
cert_do_server_auth = no;
use_nat_t = yes;
use_xauth = no;
use_cfgmode = no;
phase2localid {
ipnet {
ipaddr = 192.168.188.0;
mask = 255.255.255.0;
}
}
phase2remoteid {
ipnet {
ipaddr = 192.168.178.0;
mask = 255.255.255.0;
}
}
phase2ss = "esp-all-all/ah-none/comp-all/pfs";
accesslist = "permit ip any 192.168.178.0 255.255.255.0";
}
ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500",
"udp 0.0.0.0:4500 0.0.0.0:4500";
}

Wenn ich es richtig verstehe muss ich noch etwas an der acesslist ändern. Leider habe ich keine Idee was da wirklich reinkommt um den gesamten Verkehr über die 7490 zu routen.

Danke für Deine/Eure Unterstützung.

 

[PeterPawn]

Du könntest es mit

accesslist = "permit ip 192.168.188.0 255.255.255.0 any";

in der 4020 versuchen ... aber das ist meinerseits ungetestet und ein "funktioniert" wäre nett, wenn es denn klappen sollte.

Gegenüber dem "permit ip any any" (falls das auch funktionieren würde, es gibt Berichte für beide Ergebnisse) hat das m.E. den Vorteil, daß ungeachtet der unbekannten Arbeitsweise der AVM-Implementierung bereits als IPSec gekapselte Pakete nicht erneut für die Transformation ausgewählt werden, selbst wenn sie die Liste noch einmal durchlaufen, weil diese Pakete ja bereits die externe Adresse der FRITZ!Box als Absender enthalten würden.

Auch nicht zu vergessen ... mit der eingeschränkten "accesslist" können die Clients der 7490 nicht über die 4020 ins Internet, da die dazu gehörenden Antworten auf der 4020 ja die Absenderadressen der jeweiligen Internetdienste hätten und nicht in den Tunnel gehen würde (sie sind nicht von 192.168.188.0/24) - auf der 7490 bleibt die "accesslist" ohnehin, wie sie bisher wahrscheinlich ist, wenn es im Moment funktioniert.

 

[OctoMax]

Ich habe so ziemlich dasselbe Setup, also keine LAN-LAN-Kopplung, sondern die VPN-Verbindung zu einem "Firmen-LAN" ("conntype_out").
Es ist zwar etwas länger her, aber ich bin der Meinung das ich anfänglich auch Probleme hatte die VPN-Verbindung aufzubauen, was bei mir half,
war das setzen externer DNS-Server in der 4020 unter "Internet -> Zugangsdaten -> DNS-Server".

Gruß Octomax

 

[Macdaddie]

Hallo,

danke für eure Hinweise. Leider haben die beiden Vorschläge von PeterPawn in der 4020 beim VPN Verbindungsaufbau nur zu einem IKE Fehler 0x202d (DNS Timeout) geführt.

Ich hätte dann jedoch die Idee via dem Fernzugang einrichten Programm nochmal eine IPhone cfg anzulegen, da ich hier ja den Hacken habe den gesamten Verkehr via VPN abzuwickeln. Den Accesslistteil habe ich dann in meine Lan-Lan cfg kopiert... Und siehe da... Es hat funktioniert.

Dieser Teil sieht nun wie folgt aus:

accesslist = "permit ip any 192.168.178.0 255.255.255.0",                             
                             "reject udp any any eq 53", 
                             "reject udp any any eq 500", 
                             "reject udp any any eq 4500", 
                             "permit ip any any";

Kleiner aber schicker Nebeneffekt ist, dass ich auch aus dem Heimnetzwerk auf die 4020 komme. Wobei mir das ja nichts bringt, da ich eh nie da bin, wenn ich diese VPN Verbindung in Betrieb habe.

Danke für eure Hilfe.

 

[PeterPawn]

Frage: Ist das nun der Teil mit der "accesslist" aus der Client- oder aus der Server-Konfiguration? Client wäre iPhone, Server wäre FRITZ!Box. Ausgehend von dem "permit ip any 192.168.178.0 255.255.255.0" müßte das die Konfiguration für den Client sein, denn Deine 7490 hat ja die 192.168.178.0/24. Andererseits macht es gar keinen Sinn, für ein iPhone eine VPN-Konfigurationsdatei mit dem "FRITZ!Fernzugang einrichten"-Programm von AVM zu erstellen - wo sollte man die auf dem iPhone einspielen? Also irgendwie verstehe ich den zweiten Satz in #6 nicht so richtig, kannst Du das bitte noch einmal klar aufschreiben, was Du da am Ende gemacht hast? Interessant wäre es eben, wie die resultierende Liste entstanden ist ... meines Wissens steht hier noch nirgendwo, wie diese accesslist "abgearbeitet" wird. Wenn da gilt: "first matching action taken", dann würde ja auch DNS-Verkehr (UDP 53) für Zieladressen aus 192.168.178.0/24 durch den Tunnel gehen.

Letztlich macht diese accesslist dann aber dasselbe, was ich auch erreichen wollte ... der IPSec-Verkehr (UDP 500 oder 4500) wird explizit nicht durch den Tunnel geleitet, hier halt anhand von Protokoll und Port und nicht anhand der Absenderadressen. Die zusätzliche Regel für UDP 53 sorgt dann noch dafür, daß die Auflösung des Namens des Peers (bei Dir die 7490) ebenfalls nicht über den Tunnel erfolgt, sonst gäbe das ein Henne-Ei-Problem - das dürfte auch die Ursache Deines Fehlers 0x202d sein, daß da die Adresse Deiner 7490 (offenbar verwendest Du da einen DNS-Namen) nicht aufgelöst werden konnte, weil der Tunnel eben noch nicht stand. Dieses Problem fällt bei mir nicht auf, weil ich eine feste IP-Adresse habe und diese Auflösung nicht erforderlich ist.

Wenn ich das richtig lese, erfolgt aber damit bei Dir jede DNS-Auflösung immer über die lokale Internet-Verbindung der 4020, solange der befragte DNS-Server nicht unter die 192.168.178.0/24-Regel fällt (unter der Annahme, daß eine passende Regel zum Abbruch der Verarbeitung der Liste führt). Zumindest eine Nachverfolgung, was der Hotelgast denn da für Adressen angesprochen hat, ist damit dem DNS-Server des Hotels (der kann ja auch beim Provider stehen) immer noch möglich. Sollte also irgendwann für die 4020 auch mal eine neue Firmware kommen, bei der man - wie bei der aktuellen 7490-Laborversion - den DNS-Server für die DHCP-Clients einstellen kann, solltest Du da mal die 192.168.178.1 versuchen, damit die Clients immer über den Tunnel mit der 7490 daheim als DNS-Forwarder arbeiten.

Das mit dem "aus dem Heimnetz auf die 4020 kommen", verstehe ich aber nicht ... wenn die VPN-Verbindung steht, sollte das doch unter allen Bedingungen funktionieren. Mein Hinweis in #4 bezog sich ja nur darauf, daß der Vorschlag keinen Internetzugriff der 7490-Clients über die 4020 erlaubt und das sollte sich - wenn ich den Zweck der accesslist-Einträge nicht vollkommen mißverstehe - auch mit Deiner accesslist so darstellen. Und das Problem des Verbindungsaufbaus durch die 7490 (die weiß eben nicht, wo sie ihren Peer suchen soll, wenn sie selbst die Verbindung aufbauen will) wirst Du damit ja sicherlich nicht meinen ... das läßt sich so auch nicht lösen, dafür hast Du sicherlich immer noch die Trennung in "initiator" und "responder" vorgenommen, oder?