FB7390 VPN->FB3170 und iPhone Problem

[liquid]

Hallo.
Ich möchte an meine FB7390, eine FB3170 und ein iPhone4 per VPN anbinden.
Die beiden Verbindungen lassen sich auch aufbauen und das VPN 7390<->3170 läuft auch störungsfrei. Nur über die VPN Verbindung vom iPhone komme ich weder ins interne Netz noch ins Internet. Die Verbindung wird aber ganz normal aufgebaut und auch in der FB7390 angezeigt. Richte ich das VPN nur für das iPhone alleine ein, funktioniert auch diese Verbindung störungsfrei.

/*
 * C:meine config.cfg
 * Mon Nov 29 15:19:45 2010
 */

vpncfg {
        connections {
                enabled = yes;
                conn_type = conntype_lan;
                name = "3170.dyndns.org";
                always_renew = no;
                reject_not_encrypted = no;
                dont_filter_netbios = yes;
                localip = 0.0.0.0;
                local_virtualip = 0.0.0.0;
                remoteip = 0.0.0.0;
                remote_virtualip = 0.0.0.0;
                remotehostname = "3170.dyndns.org";
                localid {
                        fqdn = "7390.dyndns.org";
                }
                remoteid {
                        fqdn = "3170.dyndns.org";
                }
                mode = phase1_mode_aggressive;
                phase1ss = "all/all/all";
                keytype = connkeytype_pre_shared;
                key = "123456789";
                cert_do_server_auth = no;
                use_nat_t = yes;
                use_xauth = no;
                use_cfgmode = no;
                phase2localid {
                        ipnet {
                                ipaddr = 192.168.11.0;
                                mask = 255.255.255.0;
                        }
                }
                phase2remoteid {
                        ipnet {
                                ipaddr = 192.168.0.0;
                                mask = 255.255.0.0;
                        }
                }
                phase2ss = "esp-all-all/ah-none/comp-all/pfs";
                accesslist = "permit ip any 192.168.0.0 255.255.0.0";
        } {
                enabled = yes;
                conn_type = conntype_user;
                name = "[email protected]";
                always_renew = no;
                reject_not_encrypted = no;
                dont_filter_netbios = yes;
                localip = 0.0.0.0;
                local_virtualip = 0.0.0.0;
                remoteip = 0.0.0.0;
                remote_virtualip = 192.168.11.100;
                remoteid {
                        key_id = "[email protected]";
                }
                mode = phase1_mode_aggressive;
                phase1ss = "all/all/all";
                keytype = connkeytype_pre_shared;
                key = "0987654321";
                cert_do_server_auth = no;
                use_nat_t = yes;
                use_xauth = yes;
                use_cfgmode = no;
			xauth {
			valid = yes;
			username = "user";
			passwd = "pass";
			}
                phase2localid {
                        ipnet {
                                ipaddr = 0.0.0.0;
                                mask = 0.0.0.0;
                        }
                }
                phase2remoteid {
                        ipaddr = 192.168.11.100;
                }
                phase2ss = "esp-all-all/ah-none/comp-all/no-pfs";
                accesslist = 
                             "permit ip 0.0.0.0 0.0.0.0 192.168.11.100 255.255.255.255";
        }
        ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500", 
                            "udp 0.0.0.0:4500 0.0.0.0:4500";
}


// EOF

 

[liquid]

Ich hatte zwischenzeitlich mit AVM Kontakt aber die verweisen mit auf ihre Supportseiten und können mir ansonsten nicht weiter helfen.

Weiss denn von eich keiner Rat? Hat noch nie jemand ein iPhone und eine Fritzbox zusammen als 2 VPNs eingerichtet? Wäre über jede Hilfe sehr dankbar!

 

[jimknopf78]

In der 3170er Konfig ist ein falsches Subnetz drin (192.168.0.0/16).

 

[liquid]

Die 3170 funktioniert ja. Die Einstellungen oben (die 3170 betreffend), hat ja das "FRITZ!Fernzugang einrichten" Programm vorgenommen. Wieso ist in der 3170 ein falsches subnetz?

 

[jimknopf78]

Steht doch da: Du hast ein /16 Subnetz erzeugt, dass die /24er Subnetze impliziert. Grundlagen IP Routing, z.B. hier im IPPF Wiki! Todsünde. Die Box hat damit zwei Ziele für die Daten, und entscheidet sich im Falle des iPhones für das falsche.

 

[liquid]

vielen Dank! Das war die Lösung.

 

[avmphone]

es tut mir leid, wenn ich hier eine Anfängerfrage stellen muss. Ich habe bei dem iPhone vs. 3170 auch etwas Kummer: die beiden Verhandeln, verbinden sich aber nicht.
AVM sagte mir, dass dieses Gerät nicht per VPN mit dem iPhone spricht, weil es die notwendige Firmware nicht unterstützt. Aber offensichtlich gehts ja doch.

An welcher Stelle ist in der Config von "liquid" das Subnetz falsch?

 

[KunterBunter]

Welche Firmware-Version hat deine Fritzbox 3170?
VPN-Funktionalität integriert ist erst seit der Version 49.04.53. Insofern kann die Auskunft von AVM sogar richtig sein.

An welcher Stelle ist in der Config von "liquid" das Subnetz falsch?

In der Zeile beim ersten Auftreten von "accesslist".

 

[avmphone]

Ich habe die Firmware-Version 49.04.58, sollte die aktuellste sein. Aber in dem Tutorial von AVM ist die Rede von .04.86 oder sowas.

Bei mir sieht das so aus (alles großgeschriebe entspricht den FEldern beim iPhone):

enabled = yes;
                conn_type = conntype_user;
                name = "GRUPPENNAME";
                always_renew = no;
                reject_not_encrypted = no;
                dont_filter_netbios = yes;
                localip = 0.0.0.0;
                local_virtualip = 0.0.0.0;
                remoteip = 0.0.0.0;
                remote_virtualip = 192.168.1.202;
                remoteid {
                        [B][U][I]key_id[/I][/U][/B] = "GRUPPENNAME";
                }
                mode = phase1_mode_aggressive;
                phase1ss = "all/all/all";
                keytype = connkeytype_pre_shared;
                key = "SHARED SECRET";
                cert_do_server_auth = no;
                use_nat_t = yes;
                use_xauth = yes;
                use_cfgmode = no;
		xauth {
		valid = yes;
		username = "ACCOUNT";
		passwd = "KENNWORT";

                phase2localid {
                        ipnet {
                                ipaddr = 0.0.0.0;
                                mask = 0.0.0.0
                        }
                }
                phase2remoteid {
                        ipaddr = 192.168.1.202;
                }
                phase2ss = "esp-all-all/ah-none/comp-all/no-pfs";
                accesslist = 
                             "permit ip 0.0.0.0 0.0.0.0 192.168.1.202 255.255.255.255";
        }
        ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500", 
                            "udp 0.0.0.0:4500 0.0.0.0:4500";

 

[KunterBunter]

1. Benutze code tags wie in dem Beispiel oben.
2. Deine config enthält Syntaxfehler. Wird sie überhaupt von der Fritzbox geladen?

 

[avmphone]

1. Sorry
2. Ja, liess sich ohne Probleme laden. Ich hab jetzt alles nochmal Zeile für Zeile mit dem im Tutorial angegebenen Beispiel verglichen und tatsächlich einen Fehler gefunden. Das oben fett/unterstrichen/kursiv markierte hieß in meinem Originalfile anders.

Edit: das läuft immer noch nicht. Im Router steht "Fernzugang (VPN) wird aufgebaut, GRUPPENNAME", aber das iPhone sagt irgendwann wieder"VPN-Verbindung Kommunikation mit VPN-Server fehlgeschlagen".

 

[KunterBunter]

Ich hab jetzt auch nochmal Zeile für Zeile mit dem im Tutorial angegebenen Beispiel verglichen und festgestellt, dass du in der accesslist die gleiche IP-Adresse eingetragen hast wie in der remote_virtualip.
Die Syntaxfehler (fehlendes Semikolon und Klammer) sind auch immer noch drin.

 

[avmphone]

Was ist denn dasProblem bei identischer Adresse für remote_virtualip und accesslist? Mein XP Rechner, der problemlos über VPN mit der Boxverbunden wird, hat da ebenfalls die selbe Adresse, die mit der er im Lan angemeldet werden soll.

Ich hab hier noch ein fehlendes Semikolon gefunden und eine fehlende Klammer:

                phase2localid {
                        ipnet {
                                ipaddr = 0.0.0.0;
                                mask = 0.0.0.0[U][I][B];[/B][/I][/U]                        }
                [B][I][U]}[/U][/I][/B]

...es geht immer noch nicht...