[Problem] Fritzbox VPN selber IP Bereich

[fritzbox-fan]

Hallo
Ich habe scheinbar ein Problem.
Ich möchte gerne mit einem Android Handy per VPN zur Fritzbox verbinden.
Ich habe gelesen das es nur dann geht wenn die Privaten ips der beiden Netzwerke unterschiedlich sind.

Heißt wenn ich bei jemand im Wlan zu Gast bin und der hat den gleichen Adressbereich wie ich zuhause an der Fritzbox geht nichts mehr.

Stimmt das ?

Und man kann nichts dagegen machen ?

Mein Test verlief halt so ich habe per Mobilfunk die VPN Verbindung aufgebaut aber ich bekam keine ip im lokalen Netzwerk (Von der Fritzbox).
Surfen ging in dem man bei DNS die Fritzbox ip eingibt im Handy.
Liegt wohl am Mobilfunk richtig ?

Mein Ziel ist halt im Urlaub an fremden Wlans sicher zu verbinden.

 

[chked]

Stimmt das ?

Ja

Und man kann nichts dagegen machen ?

Jein. Du kannst dein Heimnetz in den 172er Bereich verlagern und als Class-C Netz einrichten, damit wird die Kollisionsgefahr geringer.

 

[wusel-09]

Ich habe scheinbar ein Problem.

Evtl. zwei.

Ich möchte gerne mit einem Android Handy per VPN zur Fritzbox verbinden.
Ich habe gelesen das es nur dann geht wenn die Privaten ips der beiden Netzwerke unterschiedlich sind.

Jein. Ersteinmal ist es generell eine unkluge Idee, 192.168.178.0/24 (FB-Voreinstellung) produktiv zu nutzen. Denn über das VPN bekommst Du eine IP (.200 aufwärts normalerweise, zumindest als man noch »Fritz!Box-Fernzugang« zur Erstellung der Konfigurationsdatei bemühen mußte) aus Deinem Heimnetz; wenn Du nun im Netz eines Bekannten mit ebenfalls 192.168.178.0/24 als Heimnetzadressbereich bist, muß Dein Handy eine Route zur DynDNS-Adresse Deiner FritzBox (DSL-IP, z. B. 91.92.93.94) über das lokale Defaultgateway, normalerweise dann 192.168.178.1, einrichten. Wahrscheinlich wird es klappen für alle Adressen, die nicht in 192.168.178.0/24 liegen; jenes Netz wird aber über das WLAN-Interface erreicht, d. h. anstatt auf Deine Systeme hinter dem VPN zuzugreifen, wirst Du höchstwahrscheinlich die lokalen Systeme erreichen. (Das könnte man ändern, in dem eine »bessere« Route nach Hause über das VPN eingetragen wird, aber bei Android und Co. sind solche Eingriffe eher nicht möglich.)

Heißt wenn ich bei jemand im Wlan zu Gast bin und der hat den gleichen Adressbereich wie ich zuhause an der Fritzbox geht nichts mehr.

Jein; das VPN dürfte aufgebaut werden, aber Du dürftest keine Systeme bei Dir erreichen und ggf. auch keine mehr im LAN des Gastgebers. Ins Internet solltest Du über Dein VPN gehen, ob Du allerdings Namensauflösung hast, ist fraglich. (Wobei: Fritz!Box-Gastnetz ist normalerweise auf 192.168.179.0/24, wenn Du nicht zufälltig das als Heimnetz hast, und Du im Gastnetz Deines Gastgebers bist, sollte alles klappen.)

Kurz: praktisch ja, da geht nix; technisch wäre was möglich, aber das ist den Aufwand selten wert.

Wenn Du ganz sicher gehen willst, nimmst Du für Dein Heimnetz ein eher untypisches Netz aus dem Bereich der reservierten Netze. 192.0.2.0/24, 198.51.100.0/24 oder 203.0.113.0/24 bieten sich da an; für Umgebungen, wo RFC1918 benutzt wird, setze ich für mein VPN gerne auf 203.0.113.0/24 Typischerweise reicht aber auch, 192.168.33.0/24 o. ä. zu nehmen, denn die üblichen Defaults sind 192.168.0/20, 192.168.1/24, 192.168.2/24 (Telekom-Heimnetz), 192.168.178/24 (FB-Heimnetz), 192.168.179/24 (FB-Gastnetz) — mit z. B. 192.168.84/24 auf eine Doppelnutzung zu stoßen, wäre schon großes Pech …

Mein Test verlief halt so ich habe per Mobilfunk die VPN Verbindung aufgebaut aber ich bekam keine ip im lokalen Netzwerk (Von der Fritzbox).
Surfen ging in dem man bei DNS die Fritzbox ip eingibt im Handy.

Und hier liegt ggf. Dein zweites Problem, denn genau das sollte »out of the box« klappen. Aus dem Mobilfunknetz sollte die VPN-Verbindung nach Hause klappen, und zwar so, daß auch der DNS-Dienst funktioniert. DAS würde ich vorab klären, ein (Fritz-) VPN sollte per Klick aktiviert werden und dann einfach laufen, ohne was ändern/wo eintragen zu müssen!

 

[fritzbox-fan]

Also ich hatte jetzt einen test gemacht mit VPN übers Handynetz und bekam keine lokale Fritzbox ip die Fritzbox habe ich auf 192.168.2.1.
Es kam zu einer Internet Verbindung Skype ging mit und ohne VPN aber der DNS funktionierte nicht. Erst als ich für den DNS die Fritzbox ip oder die google DNS ip eingegeben habe funktionierte es.
Also 192.168.178. verwende ich grundsätzlich nicht.

 

[wusel-09]

Grade noch mal probiert, Fritz!VPN per VpnCilla über o2 aktiviert, alles tut, inkl. Namensauflösung.

 

[fritzbox-fan]

Welche Fritzbox ip haben sie denn ?
Bei mir war es auch o2.

Ich habe ein HTC Sensation mit dieser ROM http://www.android-hilfe.de/custom-...enmod-11-3-0-16-kernel-june-20-2014-a-23.html

Und eine Fritzbox 7270 v3 mit der neusten FW.

 

[wusel-09]

WIe gesagt, ich nutze "VpnCilla" (gekauft), damit tat es einfach. Ich nutze damit Nexus 4 (o2), Nexus 7 (UMTS, 2012; D2), Nexus 7 (LTE, 2013; D1), … mit jeweils eigenen VPN-Zugängen, die ich aus der initialen Konfigurationsdatei erstellt habe (ich nutze das VPN schon läger ...). IP-Bereich der FB ist 192.168.176.0/24; FB ist eine 7490. Ich habe aber teils auch Fallback-Setups auf eine 7270v3, das tut dann genauso (ist nur mit 6/1 MBits/sec weniger spanned als der 50/10-Zugang ;-))

 

[fritzbox-fan]

Können sie mir sagen wie ich das VpnCilla einstellen muss ?
Weil die test version habe ich auch schon benutzt und auch da keine ip bekommen von der Fritzbox.
Oder gibt es da eine gute Anleitung ?
Zum einrichten an der Fritzbox haben sie da die Fritzbox Software benutzt zum erstellen der Config die man dann auf die Fritzbox hochläd ?

 

[wusel-09]

Ich habe im September 2013 mir mal mit dem Windows-Programm (»Fritz-Fernzugang«) Beispieldateien für Netz-Netz-Kopplung und Roadwarrior-Zugang erstellt und die dann nach Schema F angepaßt. In Firmware 4.xx mußte man noch eine Konfigurationsdatei zusammenbasteln, wenn man >1 Zugang haben wollte (ich wollte 3 Standorte und 4 Mobilgeräte anbinden); heute reicht es, eine Datei hochzuladen, die FB klebt das dann passend zusammen.

Ich gehe davon aus, daß Deine FB einen DynDNS-Namen hat? Hier anbei eine Datei, die nach Austausch von AAA.BBB.CCC (lokales Netz 192.0.12.0/24 => AAA=192, BBB=0, CCC=12) durch die ersten drei Bytes Deines lokalen Netzes in die FB hochgeladen werden können sollte; in VpnCilla dann die DynDNS-Adresse der Box sowie bei den entsprechenden Stichwörtern die Geheimnisse angeben (»key-id«, »key«, »username«, »passwd«), sollte tun. (Solange die IP ...204 nicht woanders verwendet wird; sonst diese eben auch anpassen, wird dem Androiden bei Einwahl zugewiesen.)

vpncfg {
    connections {
        enabled = yes;
        conn_type = conntype_user;
        name = "MeinAndroid";
        always_renew = no;
        reject_not_encrypted = no;
        dont_filter_netbios = yes;
        localip = 0.0.0.0;
        local_virtualip = 0.0.0.0;
        remoteip = 0.0.0.0;
        remote_virtualip = AAA.BBB.CCC.204;
        remoteid {
            key_id = "MeineVPNs";
        }
        mode = phase1_mode_aggressive;
        phase1ss = "all/all/all";
        keytype = connkeytype_pre_shared;
        key = "NochEinC00lesGeheimnis";
        cert_do_server_auth = no;
        use_nat_t = yes;
        use_xauth = yes;
        use_cfgmode = no;
        xauth {
            valid = yes;
            username = "MeinAndroid";
            passwd = "HierEinPasswordHin";
        }
        phase2localid {
            ipnet {
                ipaddr = 0.0.0.0;
                mask = 0.0.0.0;
            }
        }
        phase2remoteid {
            ipaddr = AAA.BBB.CCC.204;
        }
        phase2ss = "esp-all-all/ah-none/comp-all/no-pfs";
        accesslist =
        "permit ip 0.0.0.0 0.0.0.0 AAA.BBB.CCC.204 255.255.255.255";
    }
    ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500",
    "udp 0.0.0.0:4500 0.0.0.0:4500";
}

Und wenn's damit klappt: VpnCilla-Verbindung löschen, VPN-Verbindung in FB löschen, Datei editieren und bessere »Geheimnisse« eintragen (mind. »key«, »password«, ggf. »key_id«). Dann hochladen, händisch VpnCilla mit den neuen Daten konfigurieren, verbinden, sollte laufen.

 

[fritzbox-fan]

Ok danke werde ich nachher mal anschauen ich benutze den myfritz dienst als DynDNS