Inaktivitäts-Timeout für VPN Zugang bei Fritzbox 3270

[Henry_19]

Hallo,

ich habe schon mehrfach gesucht aber leider nichts darüber gefunden

Kann man für den VPN Zugang zu einer Fritzbox 3270 einen Inaktivitäts-Timeout setzte und wenn ja, wie bzw. wo ???


Danke und liebe Grüße
Henry

 

[doc456]

Hallo und Willkommen im Forum!

Zum Verständnis: du willst, dass die Verbindung durch das Timeout unterbrochen wird? Richtig?

Nee, ich wüßte nicht, dass das irgendwo bei AVM einzustellen geht.

Ob es bei OpenVPN per keepalive auf der Serverseite geht, weiß ich leider nicht.

 

[Henry_19]

Hallo,

Danke für das Willkommen

Ja, ich möchte dass unsere Aussenstellen, die über das Fritz VPN sich zu uns verbinden, nach einer gewissen Zeit der Inaktivität automatisch getrennt werden.

Danke und Gruß
Henry

 

[effmue]

Guude,
also dein Ansatz ist gut, aber wie der geehrte dottore schon sagte:
.....es ist halt nicht eingebaut....

..bei unkritischen Anbindungen behilft man sich momentan mit einer guten alten Zeitschaltuhr an den Endstellen, welche nach "logischem" Arbeitsende zwangstrennt.....aber das ist ist keine echte saubere Lösung....


..und/aber auf der anderen Seite ist es nun auch wirklich schwierig einen Timeout-Parameter zu finden, welcher über eine gesamte Infrastruktur gebügelt werden könnte....:doktor:

 

[oldmen]

Laut AVM ist sowas schon eingebaut (zumindest bei Box zu Box Verbindung). (klick)

 

[sf3978]

Mit cutter geht es auch:

... [B]to terminate connections such as SSH tunnels or VPNs [/B]left in place by employees over night, abort hacker attacks when they are detected, stop high bandwidth consuming downloads - etc. ...

>>> klick <<<

EDIT:
Kommando zurück. Geht nicht, weil AVM-VPN keine TCP-Verbindung ist.

 

[Henry_19]

Danke für die Antworten, ich suche weiter und wenn sie etwas ergibt schreibe ich es hier

Gruß
Henry

 

[oldmen]

Ich habe gerade feststellen müssen, daß inaktive Verbindungen (Box <=> Box) bei mir auch nicht mehr getrennt werden.
Nach der Zwangstrennung werden sie sogar sofort wieder aufgebaut.

Nun weiß ich nicht, liegt es an der Laborfirmware, die ich seit kurzem auf der 7270 habe, oder liegt es daran, daß ich kürzlich eine neue VPN-Config eingespielt habe?

Vorher (alte Config.): 3 Boxen, 1x 7270 (alte ...97-Labor) und 2x 7170 (FW ...80), jede mit jeder verbunden - VPN wurde nur aufgebaut bei Benutzung der jeweiligen Verbindung und bei Inaktivität nach einer Stunde wieder getrennt.

Jetzt (neue Config.): 3 Boxen, 1x 7270 (FW 54.04.85-18255) und 2x 7170 (FW ...80), jede mit jeder verbunden und zusätzlich auf jeder Box 3 Fernzugänge eingerichtet (nicht aktiv!) - VPN-Verbindungen zwischen den Boxen werden beim ersten Verbinden aufgebaut und nicht mehr getrennt, auch nicht durch die Zwangstrennung! (Sie werden natürlich getrennt, aber sofort wieder aufgebaut!)

Die neue Config, habe ich mit einem frisch runtergeladenen "Fritz-Fernzugang einrichten" erstellt. Vielleicht wurde ja das Programm verändert oder es liegt an den zusätzlich eingerichteten Fernzugangs-Clients?

 

[PCMor]

Ich habe gerade feststellen müssen, daß inaktive Verbindungen (Box <=> Box) bei mir auch nicht mehr getrennt werden.
Nach der Zwangstrennung werden sie sogar sofort wieder aufgebaut.

Genau so sollte sich ein IPSec-VPN zwischen zwei gleichberechtigten Peers eigentlich verhalten: mittels DynDNS (oder von mir aus auch fester IP) eine Quasi-Standleitung zwischen zwei Standorten aufbauen (Site-to-Site-VPN).

Die Aussage von AVM, dass die Verbindung nach 1h automatisch getrennt wird, kann ich eigentlich nicht ganz so stehen lassen (es sei denn, sie bezieht sich NUR auf die Client-Einwahl per FritzFernzugang, den benutze ich aber nicht):

• nach besagter Stunde endet die Gültigkeit der IKE-Phase
• mit Wegfall von IKE bricht auch der IPSec-Tunnel zusammen, da dieser nur bei gültigem IKE aufgebaut werden kann
• sind die Boxen aber noch mit den gegenseitig bekannten IPs erreichbar (was sie untereinander bei ausbleibendem Tarffic per DeadPeerDetection prüfen), wird IKE aber sofort wieder neu ausgehandelt und der IPSec-Tunnel direkt wieder aufgebaut
• die IKE-Lebensdauer lässt sich in der FritzBox allerdings nicht verändern, 1h ist "fest verdrahtet"...

Wenn deine S2S-Verbindungen bisher tatsächlich nach 1h offline gegangen sind, dann würde ich also eher dieses Verhalten als fehlerhaft bezeichnen - und mich darüber freuen, dass die Tunnel jetzt stabil sind

Die neue Config, habe ich mit einem frisch runtergeladenen "Fritz-Fernzugang einrichten" erstellt. Vielleicht wurde ja das Programm verändert oder es liegt an den zusätzlich eingerichteten Fernzugangs-Clients?

Hast du denn die vpn.cfg's mal miteinander verglichen? Wäre ja durchaus möglich, dass AVM da was geändert hat - ich beschäftige mich noch nicht allzulange mit dem AVM-VPN, habe aber stabile VPNs mit der 7170 und der 7390 laufen.

 

[oldmen]

Die alten configs habe ich leider nicht mehr, und in der Box werden sie ja durch die neue überschrieben.

Ich habe aber noch das alte "Fritz-Fernzugang einrichten" gefunden. Das hatte die Version 1.0.0.0 und war 2.051.888 Bytes groß.
Die aktuelle Version von "Fritz-Fernzugang einrichten" ist 1.0.3.0 und die ist 2.056.504 Bytes groß.

Also wurde bei dem Programm auf alle Fälle was verändert!

Dann wird es also nicht an der neuen Firmware der 7270 liegen sondern am neuen (geänderten) Programm "Fritz-Fernzugang einrichten"!
Ich hatte mich schon gewundert, weil die beiden 7170 haben unverändert die .80 drauf und zeigen untereinander auch das gleiche Verhalten (einmal aktiv konnektet wird das VPN nach einer Trennung immer sofort wieder neu aufgebaut).

Also gilt wohl "Its not a bug, its a feature!"