[gelöst] Fritzbox VPN: Client hinter Home-FB baut keine Verbindung zu Office-FB auf

[TheRealRalf]

Hallo zusammen!
Nachdem ich nun einige Zeit im Forum gesucht habe, ich die Lösungen aber nicht umsetzen konnte, poste ich mal mein Problem:

Ich will von meinem Client zu hause (192.168.178.21) eine VPN-Verbindung ins Büro (192.168.0.0) aufbauen.

Die Fernwartung der Bürobox über xyz.dyndns.org funktioniert.

Wenn ich den Connect starte, bricht Fritz!Fernzugang mit "Der Name der Gegenstelle konnte nicht aufgelöst werden" ab.

Im Log avmike.log lautet der Fehler

2009-10-04 14:28:54 avmike: xyz.dyndns.org: Phase 1 failed (initiator): dns: timeout, abort.

Und nun weiß ich ehrlich gesagt nicht mehr weiter

Wer kann helfen?

Vielen Dank bereits vorab,
Ralf

Meine Config-Dateien sehen aus wie folgt:

fritzbox.cfg

vpncfg {
        connections {
                enabled = yes;
                conn_type = conntype_user;
                name = "<HierStehtDieMailadresse>";
                always_renew = no;
                reject_not_encrypted = no;
                dont_filter_netbios = yes;
                localip = 0.0.0.0;
                local_virtualip = 0.0.0.0;
                remoteip = 0.0.0.0;
                remote_virtualip = 192.168.0.201;
                remoteid {
                        user_fqdn = "<HierStehtDieMailadresse>";
                }
                mode = phase1_mode_aggressive;
                phase1ss = "all/all/all";
                keytype = connkeytype_pre_shared;
                key = "<HierStehtDerKey>";
                cert_do_server_auth = no;
                use_nat_t = yes;
                use_xauth = no;
                use_cfgmode = no;
                phase2localid {
                        ipnet {
                                ipaddr = 192.168.0.0;
                                mask = 255.255.0.0;
                        }
                }
                phase2remoteid {
                        ipaddr = 192.168.0.201;
                }
                phase2ss = "esp-all-all/ah-none/comp-all/pfs";
                accesslist = 
                             "permit ip 192.168.0.0 255.255.0.0 192.168.0.201 255.255.255.255";
        }
        ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500", 
                            "udp 0.0.0.0:4500 0.0.0.0:4500";
}


// EOF

vpnuser.cfg

version {
        revision = "$Revision: 1.30 $";
        creatversion = "1.1";
}


pwcheck {
}


datapipecfg {
        security = dpsec_quiet;
        icmp {
                ignore_echo_requests = no;
                destunreach_rate {
                        burstfactor = 6;
                        timeout = 1;
                }
                timeexceeded_rate {
                        burstfactor = 6;
                        timeout = 1;
                }
                echoreply_rate {
                        burstfactor = 6;
                        timeout = 1;
                }
        }
        masqtimeouts {
                tcp = 15m;
                tcp_fin = 2m;
                tcp_rst = 3s;
                udp = 5m;
                icmp = 30s;
                got_icmp_error = 15s;
                any = 5m;
                tcp_connect = 6m;
                tcp_listen = 2m;
        }
        ipfwlow {
                input {
                }
                output {
                }
        }
        ipfwhigh {
                input {
                }
                output {
                }
        }
        NAT_T_keepalive_interval = 20;
}


targets {
        policies {
                name = "xyz.dyndns.org";
                connect_on_channelup = no;
                always_renew = no;
                reject_not_encrypted = no;
                dont_filter_netbios = yes;
                localip = 0.0.0.0;
                virtualip = 192.168.0.201;
                remoteip = 0.0.0.0;
                remotehostname = "xyz.dyndns.org";
                localid {
                        user_fqdn = "<HierStehtDieMailadresse";
                }
                mode = mode_aggressive;
                phase1ss = "all/all/all";
                keytype = keytype_pre_shared;
                key = "<HierStehtDerKey>";
                cert_do_server_auth = no;
                use_nat_t = yes;
                use_xauth = no;
                use_cfgmode = no;
                phase2localid {
                        ipaddr = 192.168.0.201;
                }
                phase2remoteid {
                        ipnet {
                                ipaddr = 192.168.0.0;
                                mask = 255.255.0.0;
                        }
                }
                phase2ss = "esp-all-all/ah-none/comp-all/pfs";
                accesslist = "permit ip any 192.168.0.0 255.255.0.0";
                wakeupremote = no;
        }
}


policybindings {
}


// EOF

 

[doc456]

Hallo,

wie kommst du darauf, das eine B-Mask bei einem C-Netz in den cfg's zum Erfolg führt, oder war das nur ein versehen?

 

[TheRealRalf]

Arrrrgh! ... Natürlich war da der Hund begraben. Das Büro-Netz ist ein B-Netz.
Hab' das Heimnetz gerade auf 192.169.0.0 umkonfiguriert und siehe da, es geht auf Anhieb...

Werde dann wohl im Büro auf C-Netz umstellen. Is' aber blöd, weil dann auch alle Peripherie umkonfiguriert werden muß. Naja, sei's drum. Is' immer wieder'n Traum, ein fremdes Netz zu übernehmen ... Manchmal ist man einfach zu blind <sigh*>

Danke für die schnelle Hilfe

 

[doc456]

Gerne, aber warum stellst du dein Homenetz nicht auf B um, da hast du weniger zu tun.

Beachte jedoch, das es keine im Netz freigegebene IP's sind...

 

[TheRealRalf]

Hatte ich auch überlegt, aber ich muß noch andere Netze über Cisco warten und da muß es dann wohl wieder ein C-Netz sein. Oder nich'?

(Hab mir heute auch mal den Shrew-Client runtergeladen, da ich gelesen habe, damit könne man Cisco und AVM parallel mit einem Client nutzen. Hast Du da irgendwelche Erfahrungen?)

Gruß, Ralf

 

[doc456]

Leider nein, man kann ja nicht alles Versuchen. :mrgreen:

Aber es geht auch mit mehreren Netzen, such mal im Board.

EDIT: zu Shrew gibt es bei AVM eine Anleitung.

 

[TheRealRalf]

Genau. Aber Shrew is' echt zu cool, ums zu ignorieren
Komme damit sowohl in das B-Netz, als auch über den Cisco ins andere C-Netz. Nur die Namensauflösung macht momentan noch Probleme. Aber zur Not geht's dann eben über die IP

 

[doc456]

Na Prima!

Dann setz den Thread bitte noch auf [gelöst] => 1.Post/Ändern/Erweitert/Titel unten füllen.