Fritz VPN an Cisco Uni Netz, Weboberfläche aus Internet erreichbar

[stefan-koch]

Hallo zusammen,

ich habe mit der FritzBox 7240 (IP: 192.168.188.1) mit FritzOS 5.53 eine VPN-Verbindung im Uni-Netz (nutzt Cisco VPN) hergestellt.
Die Fritz nutzt LAN1 als WAN ist also direkt im Wohnheim per Ethernet angeschlossen (und nicht per ADSL - was auch wenig Sinn machen würde).

Das funktioniert soweit, nur ist die Firewall nicht korrekt konfiguriert: Das Webinterface ist aus dem Internet erreichbar, und ich vermute auch Telnet usw.

Ich habe schon versucht "permit ip any any" zu ersetzen durch "permit ip 192.168.188.0 255.255.255.0 any" oder "permit ip 192.168.188.0 255.255.255.0 any connection outgoing-related"
Bei beiden alternativen Funktioniert kein Internetzugriff (z. B. ping von client oder fritzbox selbst)
Ich habe natürlich noch viel mehr Möglichkeiten durchprobiert, die nichts brachten...

Wie kann der Zugriff von außerhalb (auf Webinterface, ...) korrekt unterbunden werden?
Was macht "use_nat_t = no" bzw. "use_nat_t = yes"?
Was bedeutet *_virtualip?
Sollte auch phase2localid verwendet werden, wenn ja mit welchen Angaben?
Bei der generellen Firewall-Einstellung gibt es ja auch highoutput und lowinput - was ist der unterschied zur VPN accesslist und was ist eigentlich das highinput und lowoutput?


"reject ip any host IP-VPN-Server" dient dazu, dass zusätzliche VPN-Verbindungen die Clients aufbauen nicht nochmal durch das VPN durchgeleitet werden.
Weil die FritzBox nur ca. 5 MBit schafft und der Client selber viel mehr und beim Durchleiten die Geschwindigkeit nur sinken kann...
Gibt es da nicht eine elegantere Methode z. B. mit Metriken, dass die lokale LAN Verbindung bevorzugt gegenüber der VPN-Verbindung genutzt wird ohne dieses "reject" zu benutzen?
Verschlüsselt die FritzBox 7240 per Software und nicht per Hardware, und könnte ansonsten mehr als 5 MBit/s schaffen?

Achja und noch was anderes.
Den DNS-Server der normalerweise z. B. auf Linux Clients mit vpnc automatisch richtig eingetragen wird muss ich auf der FritzBox Weboberfläche unter Zugangsdaten, DNS-Server manuell einstellen.
Warum geht das nicht automatisch?
Und wenn der eingestellt ist, dann kann man per telnet auch Hostnamen wie google.com anpingen. Die Zeitserverabfrage geht auch.
Aber das VoIP der FritzBox benötigt beim Registrar die IP von z. B. sipgate und nicht (sipgate.de)
Warum das?

Vielen Dank.

Gruß

Stefan

VPN-Konfiguration

vpncfg {
        connections {
                enabled = yes;
                conn_type = conntype_lan;
                name = "VPN";
                always_renew = no;
                reject_not_encrypted = no;
                dont_filter_netbios = yes;
                localip = 0.0.0.0;
                local_virtualip = 0.0.0.0;
                remoteip = IP-VPN-Server;
                remote_virtualip = 0.0.0.0;
                localid {
                        fqdn = "Gruppenkennung";
                }
                mode = phase1_mode_aggressive;
                phase1ss = "all/all/all";
                keytype = connkeytype_pre_shared;
                key = "Gruppenpasswort";
                cert_do_server_auth = no;
                use_nat_t = no;
                use_xauth = yes;
                xauth {
                        valid = yes;
                        username = "Benutzername";
                        passwd = "Passwort";
                }
                use_cfgmode = yes;
                phase2remoteid {
                        ipnet {
                                ipaddr = 0.0.0.0;
                                mask = 0.0.0.0;
                        }
                }
                phase2ss = "esp-all-all/ah-all/comp-all/no-pfs";
                accesslist = "reject ip any host IP-VPN-Server", "permit ip any any";
        }
        ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500", 
                            "udp 0.0.0.0:4500 0.0.0.0:4500";
}

Siehe auch: http://www.lrz.de/services/netz/mobil/vpn/ipsec-avm/

 

[KunterBunter]

Auf welche Weise kommst du denn aus dem Internet auf deine Fritzbox? Die Fritzbox hast doch gar keine öffentliche IP-Adresse erhalten.

 

[stefan-koch]

Die FritzBox bekommt durch das VPN eine öffentliche IP der Universität zugeteilt und wenn man die ins Smartphone (übers Handynetz) eingibt, dann kommt das Webinterface der FritzBox.

 

[KunterBunter]

Dann befindet sich die Fritzbox aber nicht in einem virtuellen privaten Netz, sondern im Internet.
Macht das die Universität mit allen so, dass sie direkt ohne Firewall ins Internet gestellt werden?

 

[stefan-koch]

Jeder Rechner der sich mit dem Cisco VPN-Server verbindet bekommt eine öffentliche IP zugeteilt.
Und anscheinend hat jeder selbst für eine funktionsfähige Firewall zu sorgen.
Generell haben Unis einen Pool an öffentlichen Adressen, so dass auch meist jeder stationäre Rechner in der Uni eine öffentliche IP hat (und nicht per NAT am Internet angebunden ist)

Wie sollte nun die FritzBox Firewall korrekt eingestellt werden?

 

[KunterBunter]

Die Firewall der FritzBox ist nur bei einem Internetzugang aktiviert. In einem VPN ist sie ohne Funktion.
Du müsstest dann einen zweiten Router dahinterschalten, um eine Firewall zu bekommen.

 

[stefan-koch]

Kann das nicht irgendwie über die accesslist erreicht werden?

 

[MaxMuster]

Nein, diese accesslist bezieht sich nur auf das IPSec-VPN selbst und bestimmt, was "durch das VPN geht".

nat_t steht für NAT Traversal, das brauchst du, wenn du zwischen den IPS-Knoten NAT hast.

Erster(!) Schritt wäre meiner Meinung, das WEB-Interface auf einen anderen Port zu legen, um "Spielkinder" fern zu halten und telnet abschalten.

Echte (AVM) Firewall geht wie schon geschrieben so nicht, weil die nur an das "dsl" (Internet-) Interface gebunden wird.

Du könntest es mit freetz und iptables versuchen und Zugriffe aus dem Internet verbieten.

 

[stefan-koch]

Aber bei Verbindungen per UMTS-Stick wird schon eine Firewall aktiviert. Oder verlässt man sich hier auf ein NAT des Mobilfunkproviders?
Kann man die nicht händisch durch editieren der .export Datei auch für VPN aktivieren?

 

[MaxMuster]

Bei UMTS-Betrieb wird eben dieses das "Internet-Interface" (analog wie das "LAN-1" Interface bei "Internet über LAN 1" zusammen mit "Verbindung selbst aufbauen"). (Nur) diese Interfaces "kennt" eben AVM als Weg ins Internet und macht dort NAT und Firewall.
Beides fehlt bei VPN, weil AVM nicht vorsieht, dass hierüber (noch) ein Interface ins Internet ist, sondern darüber nur eine Verbindung in ein anderes Natz. Genau genommen müssten dann ja zwei Zugänge zur Box abgesichert werden, der aus AVM-Firmware-Sicht "normale" Internetzugang (der ins Wohnheimnetz) und dann der VPN-Weg.

Wenn diese Art, wie es aussieht, ein "üblicher" Zugang ist könntest du mit Verweis darauf ja AVM mal vorschlagen/anfragen, ob sie das nicht auch unterstützen könnten. Vielleicht ist das ja für die recht einfach machbar.

 

[Freetz!Box]

@stefan

1. Ist das Wohnheim nicht auch Teil des Uninetzes?

2. Mit der VPN-Verbindung umgehst du die Firewall der FRITZ!Box. Darüber hinaus möchtest du den Zugriff von außen verhindern was zu der Frage führt wozu du das VPN eigentlich brauchst?
Posting 2:

Wenn diese Art, wie es aussieht, ein "üblicher" Zugang ist könntest du mit Verweis darauf ja AVM mal vorschlagen/anfragen, ob sie das nicht auch unterstützen könnten.

Soll er sich lächerlich machen?

 

[stefan-koch]

Vorteil des VPNs ist, dass sich mein Smartphone nicht jedesmal im VPN anmelden muss.
Beim Cisco AnyConnect muss jedesmal das Passwort eingegeben werden.

 

[Freetz!Box]

Wozu musst du dein Smartphone überhaupt per VPN anmelden?

 

[stefan-koch]

Ohne VPN gibts keinen Internetzugriff...

Wäre es nicht möglich vllt. auf diese Art und Weise etwas hinzubekommen?: http://www.ip-phone-forum.de/showthread.php?t=255674&p=1886097&viewfull=1#post1886097

 

[Freetz!Box]

Ohne VPN gibts keinen Internetzugriff...

Kein Internet im Wohnheim? :gruebel:

 

[stefan-koch]

Internet gibt's im Wohnheim nur nach einer VPN-Authentifizierung.
Genauso wird es im Uni-WLAN gehandhabt.

 

[Freetz!Box]

Achso, dann schreib doch einfach nur die IP deines Smartphones in die accesslist. Bsp. "permit ip 192.168.188.21 255.255.255.255 any". In dem Beispiel wäre 192.168.188.21 die IP deines Smartphones. Für weitere Clients fügst du einfach weitere Einträge hinzu. Musst hierbei aber bedenken das nur die Firewallregeln des Uninetzes gelten.

 

[stefan-koch]

Eine Änderung von
accesslist = "reject ip any host 192.168.219.254", "permit ip any any";
nach
accesslist = "reject ip any host 192.168.219.254", "permit ip 192.168.188.20 255.255.255.255 any";

hat zur Folge, dass gar keine VPN Verbindung mehr aufgebaut wird. Diese zumindest nicht mehr als Aktiv im Webinterface angezeigt wird.

 

[Freetz!Box]

@stefan

Füg das mal hinzu. Wäre natürlich doof wenn der VPN-Server eingehenden Verkehr mit der eigenen IP zur FRITZ!Box schickt.

"permit ip 192.168.188.1 255.255.255.255 <IP-VPN-Server> 255.255.255.255

 

[MaxMuster]

Soll er sich lächerlich machen?

Überhaupt nicht. Ich habe jetzt von mehreren Unis/Wohnheimen gehört, die den Internetzugang über ein VPN herstellen lassen.
Und es gibt durchaus Router-Hersteller, die als "WAN"-Interface eine VPN-Verbindung anbieten (z.B. per PPTP oder L2TP). Mehr als "Wir sehen dafür keinen Markt" kann ja AVM nicht sagen.