Fritzbox hinter VPN über VPN nicht erreichbar

[Brüllmücke]

Ich hoffe bei folgendem Problem auf Eure Unterstützung.
Folgender Sachverhalt
Ich habe eine VPN-Verbindung zwischen meinem Heimnetzwerk (Fritzbox_A, KGD-Anschluss) und einem LAN Anschluss der Fritzbox (Fritzbox_B) eines Bekannten (Vodafone-DSL) eingerichtet.
Diese habe ich ähnlich der AVM-Anleitung „1627-VPN-Verbindung zwischen zwei FRITZ!Boxen für einzelne LAN-Anschlüsse einrichten“ eingerichtet.
Am entsprechenden LAN-Anschluss meines Bekannten ist eine weitere Fritzbox (Fritzbox_C) über LAN1 angeschlossen , welche im IP-Client-Modus läuft.
Die Verbindung steht auch stabil und am entsprechenden LAN-Anschluss meines Bekannten kann ich sowohl direkt auf mein eigenes Netzwerk zugreifen, als auch von dort über meine public-IP das Internet nutzen.

Konfiguration
Netzwerk-Präfix bei mir: 192.168.178.0
IP Adresse Fritzbox_A (Fritz!Box 7270): 192.168.178.1
Netzwerk-Präfix bei meinem Bekannten: 192.168.177.0
IP Adresse Fritzbox_B (Fritz!Box 7390):: 192.168.177.1
Netzwerk-Präfix des Subnetzes bei meinem Bekannten: 192.168.176.0
IP Adresse Fritzbox_C (Fritz!Box 7050):: 192.168.176.7

Nun zu meinem Problem
Die Fritzbox_C (192.168.176.7) ist aus meinem Heimnetzwerk nicht erreichbar, jedoch kann ich andersherum von der Fritzbox_C auf mein Heimnetzwerk zugreifen.
Bei einem Ping auf die Adresse 192.168.176.1 (VPN Subnetz bei meinem Bekannten) aus dem Fritzbox_C-Netzwerk meines Bekannten wird lediglich jeder zweite Ping beantwortet, aus meinem Netzwerk (192.168.178.0) problemlos.
Ich habe bereits einige Tage gegrübelt und bin zum Schluss einem wilden Aktionismus verfallen.

Weshalb ist die Fritzbox_C von Fritzbox_A aus nicht erreichbar?
Weshalb wird lediglich jeder zweite Ping auf die Adresse 192.168.176.1 beantwortet?

Vielen Dank im Voraus für Eure Hilfe.

 

[Micha0815]

Schaue mal in der accesslist der vpn.cfg nach, ob alle IP-Bereiche enthalten.

accesslist = "permit ip any 192.168.178.0 255.255.255.0",
             "permit ip any 192.168.177.0 255.255.255.0",
	     "permit ip any 192.168.176.0 255.255.255.0";

Durch ein , (Komma) trennen und am Schluss ein ; (Semikolon)

Könnte klappen. Oder auch gefährlich sein

LG

 

[PeterPawn]

@Brüllmücke:
Ich kann es gerade nicht nachstellen und habe auch keine definitive Erklärung (nur eine Theorie), wie das bei mehr als einem einzelnen Gerät an so einem reservierten LAN-Anschluß tatsächlich ablaufen sollte, aber bist Du tatsächlich sicher, daß die FRITZ!Box B überhaupt am reservierten LAN-Port die IP-Adresse 192.168.176.1 verwendet?

Es wird ja eigentlich ein Tunnel von Box A zu diesem einzelnen LAN-Port an Box B erzeugt und nicht zur Box B selbst ... ein Zugriff auf die entfernte FRITZ!Box wäre dann per Definition nicht machbar/erwünscht, die gehört ja zu ihrem eigenen LAN (192.168.177.0/24) und wer dort zugreifen will, der baut halt eine VPN-Verbindung zu diesem LAN und nicht zu einem einzelnen Port auf.

Zumindest ohne aufgebauten Tunnel hat jedenfalls eine 7490 mit 06.30 dem "ipsecbr1"-Interface (das ist dieser isolierte Port) keine IP-Adresse zugewiesen - ob die nach dem Verbindungsaufbau noch kommt, würde ich nicht beschwören wollen.

Ich tippe eher darauf, daß da die FRITZ!Box ohne eigene IP-Adresse anstelle aller Ziele im entfernten Netz (das wäre für die FRITZ!Box B dann 192.168.178.0/24) als ARP-Proxy antwortet (EDIT: und das auch nur auf den reservierten Ports, also dem "ipsecbr1"-Interface) und damit die Pakete für die andere Seite des Tunnels "an Land zieht", auch ohne irgendwelche konfigurierten Gateways o.ä. - allerdings ist das nicht "live" beobachtet, weil ich meine Konfiguration nicht total ändern kann/will, um das mal zu probieren.

Ich würde an Deiner Stelle mal eine Verbindung aufbauen und dann tatsächlich auf der Box B selbst prüfen (per Telnet-Zugang - und nicht auf Box C oder Box A), ob die überhaupt die 192.168.176.1 verwendet - das ist ja Deine Vermutung, wenn ich den Aufbau richtig verstehe; ansonsten sehe ich nicht, wo da eine 192.168.176.1 herkommen sollte, wenn Box C die .6 ist. Wenn Du schreibst, daß Du von Box A aus (eigentlich eher aus dem LAN hinter Box A heraus, wie Du schreibst) problemlos die 192.168.176.1 "pingen" kannst, wäre ja die Frage, wer Dir da tatsächlich antwortet.

Und @Micha0815 muß ich leider widersprechen ... wenn Du eine "accesslist" mit allen drei verwendeten Subnetzen hast (was ohnehin keinen Sinn macht, eines davon ist immer lokal, egal an welchem Standort), dann landen auch die durch diese "accesslist" ausgewählten Daten in diesem Tunnel (solange sie es überhaupt bis zum "dev dsl" schaffen und nicht schon vorher auf "dev lan" versacken). Was bei Verwendung derselben Remote-Range in mehreren Verbindungen passiert, weiß ich gar nicht - ich würde auf eine Abhängigkeit von der Reihenfolge des Verbindungsaufbaus tippen bei der Frage, wer die Daten dann am Ende erhält.

Wenn @Brüllmücke nichts in der Beschreibung ausgelassen hat, kennt die FRITZ!Box A das komplette 192.168.177.0/24-Netz überhaupt nicht, daher braucht es dafür auch keinen Eintrag in der "accesslist" - es soll ja gerade kein Zugriff auf 192.168.177.0/24 möglich sein, sonst wäre da ja keine Portreservierung für die VPN-Verbindung notwendig.

Aber auch hier gilt für das Verständnis der Details der eingerichteten VPN-Verbindung wieder: "Das ganze Leben ist ein Quiz" ... ohne passende cfg-Dateien (mit lesbaren Angaben) und Protokolle. Da das alles etwas "schwammig" ist in diesem Format einer "Textaufgabe", habe ich mir hier tatsächlich mal die Nachfragen gespart (auch wenn ich das schon am 03. gelesen hatte und mir nicht sicher war, ob nicht sogar die 7050 mit ihrem alten OS oder einem defekten LAN2-Port schuld sein könnte - die beiden vorhandenen LAN-Ports sind m.E. nicht hardwareseitig geswitched, das ist Software - und genau zu dieser Zeit ging nicht einmal WHMF, wo man das hätte überprüfen können) und wollte erst einmal selbst testen, was es mit dieser .1 bei einer "ipsecbridge" nun tatsächlich auf sich hat. Aber das schaffe ich gerade nicht ohne weiteres und den (falschen) Tipp mit den "acccesslist"-Einträgen konnte ich dann doch nicht so stehen lassen ... sorry.

 

[PeterPawn]

Beim TO ist das eine VPN-Verbindung zwischen einer FRITZ!Box und einem einzelnen Port einer anderen FRITZ!Box (IPSec-Bridge), an dem wiederum eine dritte FRITZ!Box als IP-Client angeschlossen ist.

Leute ... lest doch einfach den kompletten Thread - das sind hier gerade mal drei Beiträge gewesen. Das ist zwar tatsächlich alles in Prosa in #1 anstelle von konkreten Konfigurationsbeispielen, aber doch (mit kleinen Abstrichen) durchaus präzise erläutert.

Wenn am Schluß nur noch anhand von Stichworten in den Synapsen nach entsprechenden Rudimenten von vorher schon mal gelesenen Beiträgen "gesucht" wird und aus diesen Versatzstücken dann erkennbar nicht zutrefffende Aussagen zusammengestellt werden, dann ist das am Ende auch nicht besser als die "Standardantworten" des AVM-Supports, wenn die ihrerseits den Link auf den ersten zu den angegebenen Stichworten passenden Artikel aus der Knowledge-Base verschicken.

 

[Micha0815]

Sorry @brüllmücke, dass mein Vorschlag falsch ist.

Ich habe dies gerade mal nachgestellt, indem ich eine FB7240 als C mit einem anderen IP-Segment hinter B via LAN geschaltet habe.

Als Client hinter C sehe ich B und A.
Als Client hinter B sehe ich nur A und B.
Als Client hinter A sehe ich nur B.

TX an PeterPawn und Riverhopper für die Erläuterungen

LG

 

[PeterPawn]

So, jetzt fehlt der Beitrag von Riverhopper (offensichtlich gelöscht), ich nehme den also als Vollzitat hier noch auf, damit der Zusammenhang erhalten bleibt:

Hallo zusammen,
Kaskadierung von VPN-Routern mit IPsec (d.h. Router C hinter Router B) wird nicht gehen, da die Ports UDP/500 für IPsec ohne NAT-T
und Port UDP/4500 für IPsec mit NAT-T schon von Router B "abgegriffen" werden, d.h. bei Router C kommen keine IPsec Frames an.

LG Riverhopper

Oder ich lösche #4 ebenfalls komplett ... mal sehen, kommt auf die ToDo-Liste bzw. vielleicht nimmt mir ein Admin/Mod die Entscheidung auch ab.

@Micha0815:
Ich wollte Dir auch nicht "auf die Füße treten", das war nur tatsächlich der vollkommen falsche Weg, der bei seiner Umsetzung unter Umständen die Daten des TO gefährdet hätte (wenn die Daten wegen der "accesslist" in das falsche Netz übertragen werden) und da konnte ich mir das nicht verkneifen.

Hast Du eigentlich tatsächlich auch wie der TO bei Deinem Test die Funktion "VPN auf bestimmte LAN-Ports beschränken" aktiviert? Bei einer simplen "Zusammenschaltung" der beiden entfernten FRITZ!Boxen, die nur unterschiedliche Netzsegmente verwenden und wo die zweite Box nur über die erste als "remote peer" zu erreichen ist, wäre nämlich Deine Lösung mit der geänderten "accesslist" dem Grunde nach wieder richtig ... nur die Aufnahme des lokalen Netzes wäre immer noch nicht sinnvoll, aber vermutlich auch unschädlich, weil eben der Traffic über "dev lan" gehen würde und damit gar nicht an der IPSec-Selektion sichtbar wäre.

 

[Micha0815]

Gnade Gott

...
@Micha0815:
Ich wollte Dir auch nicht "auf die Füße treten", das war nur tatsächlich der vollkommen falsche Weg, der bei seiner Umsetzung unter Umständen die Daten des TO gefährdet hätte (wenn die Daten wegen der "accesslist" in das falsche Netz übertragen werden) und da konnte ich mir das nicht verkneifen.

Es lag mir wahrlich fern etwas beim TE gefährden zu wollen. Ein kurzes Einspielen und Testen (als Client hinter A) einer vpn.cfg in A wäre imho ein überschaubares Risiko gewesen?

Hast Du eigentlich tatsächlich auch wie der TO bei Deinem Test die Funktion "VPN auf bestimmte LAN-Ports beschränken" aktiviert? Bei einer simplen "Zusammenschaltung" der beiden entfernten FRITZ!Boxen, die nur unterschiedliche Netzsegmente verwenden und wo die zweite Box nur über die erste als "remote peer" zu erreichen ist, wäre nämlich Deine Lösung mit der geänderten "accesslist" dem Grunde nach wieder richtig ...

Ich habe "VPN" nicht auf einzelne LAN-Ports beschränkt, da ich wie hier beschrieben eine weitere FB mit anderem IP-Segment nur kurz getestet hatte um dies (aus Eigeninteresse) "Nachzustellen".

nur die Aufnahme des lokalen Netzes wäre immer noch nicht sinnvoll, aber vermutlich auch unschädlich, weil eben der Traffic über "dev lan" gehen würde und damit gar nicht an der IPSec-Selektion sichtbar wäre.

Weshalb der TE die FBs B und C in unterschiedlichen IP-Netzen betreibt, hat er ja nicht erwähnt.

LG

 

[PeterPawn]

@Micha0815:
Das VPN funktioniert tatsächlich bei der Beschränkung auf einen oder mehrere LAN-Anschlüsse (ohne manuellen Eingriff kann man das WLAN da nicht einbeziehen) schon ziemlich anders ... das ist nicht nur eine "Randnotiz". Dazu wird auch das LAN tiefgreifend umkonfiguriert, deshalb steht da im GUI auch etwas von einem erforderlichen (manuellen) Neustart, bevor Änderungen dort wirksam werden (zumindest solche, die die Konfiguration der ipsecbr*-Interfaces betreffen).

In diesem Modus hat Box A tatsächlich keinen Zugriff auf Box B und deren eigenes LAN - lediglich auf die "abgetrennten" LAN-Anschlüsse und dort verwaltete Geräte (dazu gehört hier auch die Box C), die auch zwingend ein anderes Netzwerk-Segment verwenden müssen als die Box B in ihrem eigenen LAN.

Bei Konfiguration über das GUI würde ich (aus dem Stand, müßte man noch mal probieren) sogar behaupten wollen, daß eine zweite VPN-Verbindung zwischen Box A und Box B nicht funktionsfähig konfiguriert werden kann, weil bei beiden Verbindungen die Angaben unter "localid" und "remoteid" phür (sic! ) Phase1 identisch wären und die Box die Verbindungen (als Responder) nicht auseinanderhalten könnte beim Aufbau.

Daß es sich beim TO um diese Variante des VPN handelt, geht aus der in #1 verlinkten (ne, nur angeführten) Anleitung hervor.

EDIT: Und um nochmal kurz auf solche "einseitigen Änderungen" nur für Box A einzugehen: Das funktioniert in den allermeisten Fällen eben auch nur dann, wenn da tatsächlich nur noch ein läppischer Fehler auf einer Seite zu korrigieren ist ... ansonsten besteht so eine VPN-Konfiguration eben immer aus zwei Teilen (ich werde nicht müde, das zu betonen), die auch zueinander passen müssen. Eine einseitige Änderung einer "accesslist" bringt nur unter der Annahme tatsächlich etwas, daß diese Einstellung auf der anderen Seite bereits paßt - das ist in einigen Fällen sicherlich so, aber lange nicht in allen und von solchen "nur mal schnell testen"-Änderungen würde ich abraten (und das angesichts meines bekannten Faibles für solche Experimente), weil nach meiner Erfahrung sich die meisten Nutzer dabei doch "verlaufen" und so etwas nicht wieder richtig "zurückstellen" können. Auch sind solche manuellen Einstellungen eben wieder nur mit extern editierten Konfigurationen oder irgendeinem Kommandozeilenzugriff zu realisieren - daher ist's bei den meisten mit einem "schnellen Test" ohnehin Essig.

 

[splenditnet]

hallo zusammen,
ich bin relativ neu in der AVM-IPsec-VPN Thematik, deshalb habe ich mir mal die Netzkonfig zum Problem des TE "zusammengedampft":

Netzkonfig:

Fritzbox_A, FB7270, KGD-Anschluss, (VPN LAN2LAN Tunnel mit ipsecbr*-Interface zu Fritzbox_B):
LAN-IP: 	192.168.178.1/24
Remote-VPN-IP: 	192.168.176.???/24			# Habe IP aus VPN-Subnet nicht auf Anhieb in #1 gesehen


Fritzbox_B, FB7390, Vodafone-DSL, (VPN LAN2LAN Tunnel mit ipsecbr*-Interface zu Fritzbox_A):
LAN-IP: 	192.168.177.1/24
Remote-VPN-IP: 	192.168.178.???/24			# Habe IP aus VPN-Subnet nicht auf Anhieb in #1 gesehen
ipsecbr-IP:	192.168.176.1/24			# LAN2 wird als VPN-Subnet verwendet


Fritzbox_C, FB7050 (IP-Client-Modus, ohne VPN-Config):
LAN-IP: 	192.168.176.7/24

Diagnose-Ergebnisse:

Fritzbox_A# ping Fritzbox_B				# OK
Fritzbox_A# ping Fritzbox_C				# geht nicht, 

Fritzbox_B# ping Fritzbox_A				# OK
Fritzbox_B# ping Fritzbox_C				# 

Fritzbox_C# ping Fritzbox_A				# OK
Fritzbox_C# ping Fritzbox_B				#

Leider fehlen mir weitere Daten (VPN-Config Netzkonfig) um eine vernünftigen Lösungsvorschlag zu nennen;
auch möchte ich die Glaskugel nicht auspacken und etwaige Fehlerquelle "z.B. accesslist von VPN-Config@FritzBox_A, ..." nennen.


Hier wäre Mitwirkung des TE gewünscht zwecks Bereitstellung folgender Inputs:
1.) VPN Konfigurationsdateien von FritzBox_A und FritzBox_B
sind in Export-Datei (/var/flash/vpn.cfg) enthalten (Zeilen key, remoteip, remotehostname noch anonymisieren)
2.) Netzkonfig von FritzBox_B und FritzBox_C
dies könnte u.a. der Export-Datei (/var/flash/ar7.cfg) entnommen werden (Abschnitt ethinterfaces { } mit allen Interfaces, dito Abschnitt brinterfaces { })
ich denke dies ist bei FB7390 der einfacher Weg, da hier telnet-Zugang seit FW 06.30 m.W. nicht mehr vorhanden ist

freue mich konstruktive Inputs.

Gruß
Splenditnet

PS: AVM Link zur VPN LAN2LAN Tunnel mit ipsecbr*-Interface Technik http://avm.de/service/fritzbox/frit...xen-fuer-einzelne-LAN-Anschluesse-einrichten/

 

[Micha0815]

Danke @PeterPawn für die Ermahnung in #8 (musste ich durch Spielchen eben selbst schmerzhaft Feststellen)

Danke @splenditnet , dass Du nochmals auf den AVM-Artikel verlinkt hast (in FRYFM-Manier). Das Problem der 1h-Regel hatte ich total verdrängt obschon PeterPawn dies schon öfters nachhaltig und eindringlich erwähnt hat.

LG und ich werde besser hier meinen Mund halten und #2 Bearbeiten

 

[Brüllmücke]

Danke @All. Nachdem ich die Vorschläge und Diskussion hier verfolgt habe, und mich in einige Gedankengänge versucht habe hereinzudenken habe ich im Rahmen weiterer Tests nun meine Lösung gefunden.
So simpel diese auch ist, die Änderung des Netzwerk-Präfix bei mir auf 192.168.179.0 (IP Adresse Fritzbox_A 192.168.179.1) hat für mich das Problem gelöst.
Weshalb nun der Default-Präfix 192.168.178.0 eine Verbindung unterbindet ist mir nicht bekannt, schlussendlich jedoch auch egal.
Es funktioniert nun.

Vielen Dank nochmals an ALLE für die Unterstützung.