Fritzbox VPN Null-Route

[scimitar]

Hallo,

Ich habe das Problem, das ich den gesamten Traffic über einen VPN Tunneln muss. Bei meiner Fortinet funtioniert das mit einer Null Route in Phase 2. Ich kann also 0.0.0.0/0 wählen. Wenn ich aber Versuche auf der Fritzbox in phase2localid ipnet als ipadresse=0.0.0.0 und als mask=0.0.0.0 einzutragen (klar auch auf der Fortinet geändert ;-) ) kommt der Tunnel nicht mehr hoch. Sobald ich dort ein Netz eintrage geht. es. Kann die Fritzbox das vielleicht nicht? Danke schon mal für die Antwort.

Gruß

Christian

 

[doc456]

Hallo,

nein, so geht es nicht, denn bei der Fortinet ist 0.0.0.0 WAN, nicht so bei der Box (Linuxversion).

 

[scimitar]

Gibt es eine alternative?

 

[doc456]

Hmmm, warum nutzest du nicht den Client der Fortinet?

Aber versuch mal in der Fortinet im Menü VPN IPSec einzurichten. (USER+Firewall anpassen nicht vergessen, oder PC's freigeben)

 

[scimitar]

Ok. Ich erkläre mal mein Problem genauer ;-) Auf der einen Seite steht eine Fortinet 110, welche alle zugänge regelt, also zentraler Router und Firewall. Auf der anderen Seite habe ich eine Fritzbox mit nur! UMTS über eine Vodafone CorporateDataAccess. Dadurch bekommt die Box eine Private IP im UMTS-Netz. Dadurch muss ich aber auch den gesamten traffic über diese IP Tunneln. Solange ich die Fritz-Box nur im UMTS Betrieb betreibe, können alle Clients hinter der Fritz normal arbeiten (NAT). Der gesamte Traffic, wird also über die Fortinet geleitet und dort über das Routing verteilt. Nur habe ich damit das Problem, das ich keinen direkten Zugriff auf die Endgeräte hinter der Fritz habe. Also habe ich eine IPSEC verbindung aufgebaut um darüber das Netz hinter der Fritz zur Fortinet zu routen. Das Funktioniert auch sehr gut. Leider aber nur für den gerouteten IP-Adress Bereich. Ins Internet kommen die Clients dann z,B. nicht mehr, da ich mich durch den CorporateDataAccess schon in einen Tunnel befinde. Daher suche ich nach einer Möglichkeit der Fritz beizubringen alles über die IPSEC Verbindung zu routen. Das kenne ich halt von der Fortinet als 0.0.0.0/0. Bei andern heisst es wohl "any" etc.

 

[doc456]

Hmmm, das wirst du der Fritz imho nur mit Freetz und dnsmasq beibringen können.

Schau mal im Freetz-Bereich oder direkt bei freetz.org.

 

[pete-patata]

Dieser Link zur AVM FAQ-Sammlung erklärt, wie 2 Fritzen per VPN gekoppelt werden. -> http://www.avm.de/de/Service/FAQs/FAQ_Sammlung/14254.php3

Hier wird die Frage "Wie kann ich über eine VPN-Verbindung zwischen zwei FRITZ!Box-Geräten (LAN-LAN) auf mehrere IP-Netzwerke hinter einer FRITZ!Box zugreifen?" besprochen. -> http://www.avm.de/de/Service/FAQs/FAQ_Sammlung/15144.php3

Dort gibt es ein Beispiel für eine FRITZBOX.CFG Datei. -> http://www.avm.de/de/Service/FAQs/FAQ_Sammlung/images/FRITZBOXCFG-zwei-Netzwerke-LANLAN.pdf

btw:
In der aktuellen c't gibt es einen Beitrag über VPN-Router und über VPN in der Praxis. Da sind Tips zu VPN der 7170 und 7270 zu finden.

 

[scimitar]

@doc456: Habe ich fast "befürchtet" ich wollte es aufgrund der Updatebarkeit erst mal mit der Orginal-Firmware versuchen. Danke!

@pete-patata: Auch Dir danke, auch wenn diese Infos leider nicht bei meinen Problem weiterhelfen, da die "normale" IPSEC verbindung ja funktioniert, nur die variante mit Nullroute halt nicht.

 

[pete-patata]

Nicht gelesen?

 

[scimitar]

Doch, aber was Du meinst ist "permit ip any ...." und Routing auf ein weiteres Netz. Das ist aber nicht das was ich suche. Ich benötge in der Phase2 eine Einstellung, das jede Art von Traffic durch den Tunnel geroutet wird.Also das Gegenetz(Fortigate Seite) 0.0.0.0/0 hat.

 

[doc456]

Hallo,

er meinte aus dieser Anleitung den Punkt 4:

# Suchen Sie den Eintrag "accesslist" und ergänzen Sie den Wert um das zweite IP-Netzwerk:
acesslist =
"permit ip any 192.168.200.0 255.255.255.0",
"permit ip any 192.168.250.0 255.255.255.0"; [COLOR="Green"]hier vielleicht 0.0.0.0 255.255.255.255 ?[/COLOR]
HINWEIS:
Beachten Sie, dass die Einträge für die IP-Netzwerke durch Komma getrennt und der Wert für "accesslist" mit einem Semikolon beendet werden muss!

Wäre ja möglich, das es funktioniert. :noidea:

 

[scimitar]

Ich weiss. Ich habe das versucht, auch in Verbindung mit einem Routing auf die Firewall. Leider nimmt die Fritz keine Defaultrouten mit 0.0.0.0 und Subnetz 0.0.0.0.

 

[pete-patata]

Wie sieht denn die Fritz Box config Datei aus?

 

[scimitar]

So test die zweite. So verrückt und widersinnig wie es ist, aber mit 0.0.0.0 255.255.255.255 geht es zumindest auf IP-Ebene. Jetzt gibt es noch eine zweite Frage. DNS für DHCP. Kann ich ohne Freetz einen anderen DNS bei DHCP als die Box eintragen?

 

[doc456]

Hallo,

ja kannst du, wenn der DNS-Srv erreichbar ist und auch die Box dort auch eingetragen ist.

BtW, meine Ideen sind doch manchmal gar nicht so übel... :mrgreen: