[gelöst] VPN zwischen FritzBox und FritzBox Keine Verbindung mehr

[Emilmutzke]

Hallo miteinander,

Folgendes Problem, bei dem ich nicht mehr weiter komme:

Gestern habe ich zwei Fritzboxen umkonfiguriert, sodass sie verschiedene Subnetze haben, um sie per VPN zu verbinden (über das AVM-Interface und das VPNAdmin-Hilfsprogramm).

Folgende Konfiguration: Jeweils FB7170 mit Firmware-Version 29.04.80 und Freetz-1.1.3. Subnetz: 192.168.x.x und 192.168.y.x.

Am Anfang funktionierte es. Ich konnte auf beide Boxen mit der internen IP zugreifen.

Dann hatte ich jedoch das Problem mit einem übersehenen Eintrag in der Hosts-Datei. Ich hatte immer nur die Lmhosts aktualisiert und mich gewundert, warum die internen IPs trotzdem falsch sind, sobald ich DNS in Windows aktiviere. Also dachte ich, es liegt am DNS der Fritzbox (nach dem Cleint-Chache von Windows löschen und DNS-Dienst deaktivieren nichts brachte) und habe herum gespielt, die Box neu gestartet usw und schließlich die VPN-Konfiguration noch einmal erstellt und auf die beiden Boxen übertragen. Seither geht nichts mehr! Den eigentlichen Fehler habe ich dann anschließend gefunden und den Eintrag in Hosts, der den Fehler verursachte gelöscht.

Nun meine Frage:

Woran kann es liegen, dass VPN nicht mehr funktioniert?
Auf der jeweiligen Box findet sich je ein Eintrag: Fernzugang (VPN) nicht aufgebaut, [Zielbox].dyndns.org
Und auf der VPN-Seite steht: Zielbox dyndns.org Adresse im Internet 255.255.255.255

Die Dyndns-Einträge werden jedoch korrekt aufgelöst: Die jeweils andere Box lässt sich unter dem DNS-Namen ansprechen.

Kann es sein, dass ich irgendetwas übersehen, oder die falsche cfg-Datei aufgespielt habe, auch wenn in der jeweiligen Box die richtige Zielbox erscheint? Oder habe ich sonst etwas übersehen, das ich gestern richtig gemacht habe?

Was noch auffällt: Das Programm VPNAdmin gibt im Log immer eine Fehlermeldung aus, die CFG-Datei sei nicht gefunden worden, jedoch erstellt es die Datei korrekt und sie hat auch einen Inhalt, der mir plausibel erscheint und von der FritzBox angenommen wird.

Kann es dadurch kommen, dass ich die Datei noch einmal oder mehrmals in die Fritzbox importiert habe (Konfigurationschaos)? Wenn ja: Wie kann man das wieder säubern? Welch Datei ist das auf der Box? Kann man die einfach leer machen oder löschen?

Oder kann mir mal jemand eine Beispieldatei zeigen, wie sie das VPNAdmin korrekt erstellt hat?

Oder hat irgendjemand irgendeine Idee, was hier falsch gelaufen ist, nachdem es doch gestern funktioniert hatte? Liegt es vielleicht einfach an zu vielen Versuchen?

Besonders ärgerlich: Ich finde in den Ereignissen auch keinerlei Einträge zu VPN, habe also keinen Anhaltspunkt, ob ein Verbindungsaufbau versucht wurde und wo der Versuch gescheitert ist.

 

[RalfFriedl]

habe herum gespielt, die Box neu gestartet usw und schließlich die VPN-Konfiguration noch einmal erstellt ...

Woran kann es liegen, dass VPN nicht mehr funktioniert?

Das hast Du doch oben schon geschrieben.

Wie kann man das wieder säubern?

Mit Recover.

 

[Emilmutzke]

Gibt es denn keine Möglichkeit, evtl. doppelte Einträge manuell wieder rauszulöschen, nachdem man im GUI VPN gelöscht hat?

Noch ein Nachtrag: Ich habe dann versucht, zwei andere Boxen untereinander zu verbinden. Das ging auch nicht. Bei einer davon kann es natürlich auch wieder daran liegen, dass die VPN-Konfiguration gelöscht und neu geschrieben, oder überschrieben wurde. Aber passiert so etwas wirklich zwangsläufig, sodass gleich 2 Boxen davon betroffen sind? Oder sperren die Boxen vielleicht doch das VPN/Den Port nach außen wegen zu vieler Verbindungsversuche?

 

[RalfFriedl]

Keiner weiß, was genau Du gemacht hast. Vielleicht weißt Du selbst es auch nicht.

Was für eine Antwort erwartest Du also hier?

 

[Emilmutzke]

Wie andeutete:

Was kann ich verwechselt haben? Sind ja eigentlich nicht viele Punkte, die man da überhaupt konfigurieren kann).

Wie soll die cfg-Datei aussehen (kennt jemand ein Beispiel).

In welchen Verzeichnissen und Dateien finde ich auf der Box die VPN-Konfiguration, um sie ggf. zu löschen, falls da zu viel drin steht?

Oder ist der AVM-Client generell Müll, baut oft keine Verbindung auf und ich sollte etwas anderes verwenden?

Kann es sein, dass das VPN wegen zu vieler Verbindungen/Resets geblockt ist?

Sorry, mit fällt gerade nicht mehr viel sinnvolles ein, weil mich eine persönliche Sache sehr belastet.

Edit: Gibt es vielleicht eine Logdatei, aus der man ablesen könnte, ob ein Verbindungsaufbau versucht wurde?

 

[RalfFriedl]

Wenn Du das mit original AVM Firmware machst, dann frag mal bei AVM nach, woran das liegen kann.
Die kennen ihre eigene Software sicher besser, und wenn es ein Fehler von AVM ist, gibt es sogar die Möglichkeit, daß er korrigiert wird, wenn sie davon erfahren.

 

[MaxMuster]

Zusätzlich zu Ralfs vollkommen zutreffender Aussage, dass AVM das sicher am Besten weiß (oder wissen sollte ;-)):

Was kann ich verwechselt haben?

Klassiker wäre: Die jeweiligen lokalen Netze "vertauscht" eingetragen oder falsche Subneztmaske, Möglichkeiten gäbe es sicher noch mehr.

Wie soll die cfg-Datei aussehen (kennt jemand ein Beispiel).

Sind da nicht sogar welche bei AVM auf der Seite? Ansonsten finden sich auch hier im Forum einige.
Um deinen Fehler zu finden wäre es wohl am einfachsten, du postest deine Konfigs...

Edit: Gibt es vielleicht eine Logdatei, aus der man ablesen könnte, ob ein Verbindungsaufbau versucht wurde?

Ich denke, an einfachsten wäre, den Dienst "gesprächiger" zu machen, sofern du per telnet auf deine Box kommst:

# Dienst stoppen ...
avmike -s
# ... und "verbose" wieder starten, ggf im Vordergrund mit -f, wenn der avmike das kann
avmike -v

Jörg

 

[Emilmutzke]

Danke für die Anregungen. Ich denke eigentlich auch, ich muss ab dem zweiten Mal konfigurieren etwas falsch gemacht haben, denn beim ersten mal ging das ja. Leider habe ich die alten Dateien nicht gesichert.

Den Dienst habe ich entsprechend geändert, da passiert erst etwas, wenn ich die Häkchen der VPN entferne und wieder setze, aber schlau werde ich daraus nicht. Die Ausgabe und anonymisierte cfg-Dateien von 2 der inzwischen 3 Boxen habe ich mal angehängt. Vielleicht findet ja jemand einen furchtbar peinlichen Fehler.

Edit auf der suche nach Beispieldateien habe ich das hier gefunden:
http://www.wehavemorefun.de/fritzbox/index.php/Talk:Versteckte_Features
Für mich sieht das ähnlich aus.

 

[MaxMuster]

erster Blick: "mine" hat im lokalen Netz (bei "phase2localid") 192.168.170.0 stehen, dort müsste wohl 192.168.173.0 stehen??

Jörg

 

[Emilmutzke]

173 hat eigentlich J. d.mine ist meine Box und die hatte ich gestern auf 170 umgestellt. Vorgestern war es 175, aber eigentlich sollte das keinen Unterschied machen, falls 170 nicht verboten ist. Die beiden anderen Boxen (k und J) verbinden sich ja auch nicht. K hat 176 und J hat diese 173.

Also falls das ok ist und sonst keinem etwas auffällt, mache ich recover und alles inklusive Freetz dann doch mal neu. Ist halt ein Haufen Arbeit. Insbesondere wäre es blöd, wenn das auf den remoteboxen nötig wäre.

 

[MaxMuster]

Nur zur Info: Damit du im "Log" was siehst, müsstest du dann aus dem LAN versuchen, auf die "Gegenseite" (also von 192.168.170.x auf 192.168.176.y) zu kommen, z.B. einfach "ping 192.168.176.1"

Jörg

 

[Emilmutzke]

Meine lokale IP ist z.B. 192.168.170.10, meine Netzmaske 255.255.0.0. Wenn ich jetzt 192.168.176.1 pinge oder per http zugreifen will, passiert leider gar nichts.


Kann ich prüfen, ob der Provider (Hasenet) etwas blockiert, bzw. ob eine der anderen Boxen auf dem richtigen Port lauscht?
Im config-File steht etwas von Port 500 und 4500, wenn ich das richtig deute. Ich habe diese Ports jedoch nicht (über die dynamische IP) scannen können. Da kam keine Antwort.

 

[RalfFriedl]

Wie kommst Du auf die Netzmaske 255.255.0.0?

 

[MaxMuster]

... zur Ergänzung: Mit der Netzwerkmaske lägen auch beide entfernten Netze in deinem LAN und würden niemals über die FB gehen, somit auch nie durch das VPN...

Jörg

 

[Emilmutzke]

Habe mir zwischenzeitlich selbst überlegt, ob das wirklich richtig ist.
Ich dachte, weil ich die 192.168.17x.xxx sonst nicht im lokalen Netz (192.168.170.xxx) habe und ich dachte, es wird sonst sonst im LAN nicht angenommen. Aber andererseits soll die ja durch den Router ...

Ich ändere das mal eben. Wenn das wirklich der Fehler ist, an dem ich jetzt 24 Stunden herum mache, beiße ich mich in den Hintern!

Edit: Habe es geändert und es wird jetzt auch durch die Box geroutet, Es funktioniert erst mal nur zu einer Box. Die andere hat ihren dyndns-Eintrag verbaut (passt nicht mehr zur IP) und ich hatte das dort, glaube ich, auch gelöscht. Aber per VoIP werde ich die IP erfahren und das wieder korrigieren!

Vielen Dank an alle, die mir geholfen haben! Ich bin dann mal für ein paar Minuten fort, um mich in meinen Hintern beißen!

 

[MaxMuster]

Wenn das wirklich der Fehler ist, an dem ich jetzt 24 Stunden herum mache, beiße ich mich in den Hintern!

Wenn: Webcam dabei nicht vergessen