[Gelöst] Fritz!Box -> Strongswan VPN Verbindung - Kein Internet da der gesamte Netzwerkverkehr über die VPN-Verbindung gesendet wird

[peterj79]

Hallo zusammen,

erstmal entschuldige mir wenn mein deutsch nicht perfekt ist Ich versuche mein Fritz!Box mit einem VPS-Serverz zu verbinden und den ganzen Netzwerkverkehr über diese Verbindung zu senden (um mit jedem Gerät automatisch mit der IP des Servers zu surfen). Verbindung funktioniert, aber als ich die Option "Gesamten Netzwerkverkehr über die VPN-Verbindung senden" aktiviere ich habe kein Internet mehr obwohl ich den Server (172.10.0.1) noch immer erfolgreich anpingen kann. Seit Samstag ich habe zahlreiche Foren, Anleitungen gelesen, aber ich konnte noch nicht eine richtige Lösung finden. Es gibt hier viele ähnliche Themen aber sie konnten mir leider nicht helfen.

Was ich habe:
1. Fritz!Box 6591 von Vodafone
2. Ubuntu 20.04.4 LTS mit Strongswan installiert

Fritz!Box cfg:

vpncfg {
        vpncfg_version = 1;
        connections {
                enabled = yes;
                editable = yes;
                conn_type = conntype_lan;
                name = "<Name der VPN-Verbindung>";
                boxuser_id = 0;
                always_renew = yes;
                reject_not_encrypted = no;
                dont_filter_netbios = yes;
                localip = 0.0.0.0;
                local_virtualip = 0.0.0.0;
                remoteip = 0.0.0.0;
                remote_virtualip = 172.10.0.1;
                remotehostname = <Server IP>;
                keepalive_ip = 172.10.0.1;
                localid {
                        fqdn = "<MyFRITZ!-Adresse>";
                }
                remoteid {
                        fqdn = "<Server IP>";
                }
                mode = phase1_mode_idp;
                phase1ss = "all/all/all";
                keytype = connkeytype_pre_shared;
                key = "<PRE-SHARED KEY>";
                cert_do_server_auth = no;
                use_nat_t = yes;
                use_xauth = no;
                use_cfgmode = no;
                phase2localid {
                        ipnet {
                                ipaddr = 192.168.0.0;
                                mask = 255.255.255.0;
                        }
                }
                phase2remoteid {
                        ipnet {
                                ipaddr = 172.10.0.0;
                                mask = 255.255.0.0;
                        }
                }
                phase2ss = "esp-3des-sha/ah-no/comp-no/no-pfs";
                accesslist = "permit ip any 172.10.0.0 255.255.0.0";
                app_id = 0;
        }
        ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500",
                            "udp 0.0.0.0:4500 0.0.0.0:4500";
}

ipsec.conf

conn home
    keyexchange=ikev1
    authby=psk
    auto=add
    left=%defaultroute
    leftid=@<SERVER IP>
    leftsourceip=172.10.0.1
    leftsubnet=172.10.0.0/16
    right=%any
    rightid=@<MyFRITZ!-Adresse>
    rightsubnet=192.168.0.0/24
    ike=aes256-sha-modp1024
    esp=3des-sha
    keylife=3600s

/etc/ufw/before.rules

*nat
-A POSTROUTING -s 172.10.0.0/16 -o eth0 -m policy --pol ipsec --dir out -j ACCEPT
-A POSTROUTING -s 172.10.0.0/16 -o eth0 -j MASQUERADE

COMMIT

*mangle
-A FORWARD --match policy --pol ipsec --dir in -s 172.10.0.0/16 -o eth0 -p tcp -m tcp --tcp-flags SYN,RST SYN -m tcpmss --mss 1361:1536 -j TCPMSS --set-mss 1360
COMMIT

*filter
-A ufw-before-forward --match policy --pol ipsec --dir in --proto esp -s 172.10.0.0/16 -j ACCEPT
-A ufw-before-forward --match policy --pol ipsec --dir out --proto esp -d 172.10.0.0/16 -j ACCEPT

Wie geschrieben VPN-Verbindung geht solange bis ich im Fritz!Box Gesamten Netzwerkverkehr aktiviere. Am Server ich habe noch andere VPN-Verbindungen konfiguriert (für Laptop, Handy), sie funktionieren problemfrei. Ich bin kein System Administrator, also ich hoffe ich habe alles wichtiges geteilt.

 

[peterj79]

Gute Nachrichten, endlich konnte ich das Problem lösen. Ich habe mich auch für eine andere Methode entschieden, statt PSK verwende ich jetzt XAUTH. Falls jemand in Zukunft das gleiche Problem hat, kann auch folgendes versuchen. Jetzt kann der gesamte Netzwerkverkehr mühelos über VPN gesendet werden.

Fritz!Box cfg

vpncfg {
        connections {
                enabled = yes;
                editable = yes;
                conn_type = conntype_out;
                name = "<Name der VPN-Verbindung>";
                boxuser_id = 0;
                always_renew = yes;
                reject_not_encrypted = no;
                dont_filter_netbios = yes;
                localip = 0.0.0.0;
                local_virtualip = 0.0.0.0;
                remoteip = 0.0.0.0;
                remote_virtualip = 10.10.10.0;
                remotehostname = "<Server IP>";
                localid {
                        fqdn = "<MyFRITZ!-Adresse>";
                }
                remoteid {
                        fqdn = "<Server IP>";
                }
                mode = phase1_mode_idp;
                phase1ss = "all/all/all";
                keytype = connkeytype_pre_shared;
                key = "<PRE-SHARED KEY>";
                cert_do_server_auth = no;
                use_nat_t = yes;
                use_xauth = yes;
                xauth {
                        valid = yes;
                        username = "<XAUTH USER>";
                        passwd = "<XAUTH PSW>";
                }
                use_cfgmode = no;
                phase2remoteid {
                        ipnet {
                                ipaddr = 10.10.10.0;
                                mask = 255.255.255.0;
                        }
                }
                phase2ss = "esp-all-all/ah-all/comp-all/no-pfs";
                accesslist = "permit ip any 10.10.10.0 255.255.255.0";
                app_id = 0;
        }
        ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500",
                            "udp 0.0.0.0:4500 0.0.0.0:4500";
}

ipsec.conf

conn xauthpsk
    auto=add
    authby=xauthpsk
    left=%any
    leftid=<Server IP>
    xauth=server
    leftsubnet=0.0.0.0/0
    right=%any
    rightsourceip=10.10.10.0/24
    rightsubnet=10.10.10.0/24
    rightdns=8.8.8.8,8.8.4.4
    ike=aes256-sha-modp1024
    esp=aes256-sha1-modp1024