IPsec Verbindungsproblem nach Wechsel von 7050 auf 7170

[erdmann1]

Hallo,

im Großen und Ganzen hat der Wechsel auf die 7170 und die Weiterverwendung der 7050 als repeater geklappt.

Es gibt aber ein Problem, welches sich mit der 7170 auch im Solobetrieb und diversen firmwares bisher nicht lösen ließ.

Mit meinem Firmennotebook komme ich über einen extra router(ZyWALL) in die FB. Alles per lan angeschlossen. Die sichere "Verbindung" ins Firmennetz läuft über IPsec, dabei wird meine private Internetleitung (flatrate) mitbenutzt. Es wird also keine eigene Verbindung aufgebaut (kein PPPoEpassthrought) - vielleicht sind die Begriffe nicht 100% korrekt - bin kein Fachmann - hoffe aber es ist soweit verständlich.

Mit der 7050 hat das immer problemlos gefunzt, mit der 7170 nicht mehr.

Alles was sich in der normalen Benutzeroberfläche einstellen läßt ist mehrfach geprüft und fehlerfrei. Der Firmenrouter (ZyWALL) ist auch online, er erscheint in der FB mit zugewiesener IP etc. Auch läßt er sich von den edv Leuten aus der Firma -von der anderen Seite sozusagen- hinter der FB lokalisieren und auch konfigurieren. Trotzdem gelingt es nicht einen entsprechenden Daten"Tunnel" aufzubauen, es wird ständig versucht Datenpakete zu senden, aber die 7170 läßt diese nicht durch. Wir stehen vor einem Rätsel.

7050 wieder dran und es geht. Es muss an der 7170 liegen, aber wo? Was könnte der entscheidende Unterschied zwischen 7050 und 7170 (ist eine V2)sein?

Vielleicht hat einen der Spezis mal einen Ansatz.

thx
erde

 

[erdmann1]

Auf der Suche nach den Ursachen bin ich ein Stück weiter.

Die 7050 im letzten bekannten "Zustand" mit aktueller firmware erlaubt den Zugriff meines Firmenrechners über die zywall auf den Firmenserver.

Das funktioniert schon seit fast zwei Jahren, die firmware der 7050 wurde jeweils auf den aktuellen Stand gebracht und ggf. Einstellungen im Telefoniebereich gemacht oder der push Service eingerichtet. Aktuell habe ich die Einstellungen immer gesichert. Diese Datei ist sozusagen mitgewachsen.

Jetzt habe ich mal die 7050 auf Werkseinstellung zurückgesetzt und im Anschluss das System nach und nach wieder aufgebaut. Eigentlich sollte die Eingabe der Internetzugangsdaten reichen - mit meinem Rechner komme ich ins Netz. Mit dem Firmenrechner aber nicht mehr. Ich habe jetzt eigentlich alle Einstellungen auf der FB Oberfläche so vorgenommen, wie sie auch von der alten Sicherungsdatei wieder hergestellt werden. Es nutzt nichts.

Spiele ich die alte Sicherungsdatei wieder auf....geht es sofort wieder.

Ich finde einfach keinen Ansatz wo ich noch gucken soll. Auf jeden Fall scheint dies auch der Schlüssel zur eigentlichen Lösung für die 7170 zu sein, da bekomme ich es ja auch nicht neu aufgesetzt zum laufen.

Gibt es noch Hilfe?

Gruss,
erde

 

[erdmann1]

Könnte man im Ansatz vielleicht mal die beiden .export Dateien vergleichen im editor?

Inwelchem relevanten Bereich müsste man denn dann nach Einträgen suchen?

 

[erdmann1]

So, nun habe ich für die 7050 zwei export Dateien erstellt, die auf der Oberfläche der FB identische Einstellungen hervorrufen.

Die eine habe ich neu aufgebaut, die andere ist auf der Basis der seit langem im Betrieb befindlich export-Datei.

D.h. über die FB Oberfläche ist nicht zu unterscheiden welche Version gerade aufgespielt ist. Die Funktion ist auch identisch, über meinen an LAN B hängenden VPN Firmen Router komme ich aber nur mit der "alten" Version ins Netz.

Jetzt habe ich beide Dateien im metapad editor aufgerufen und sehe das sich tatsächlich Unterschiede finden lassen, allerding kann ich die Angaben überhaupt nicht beurteilen, ob sie denn für mich relevant sind.

Habe mal versucht eine kleine Änderung vorzunehmen, aber dann läßt sich die Datei nicht mehr in die FB laden. Habe aber auch keine Ahnung ob man da überhaupt editieren kann und wenn ja wie richtig.


Irgendwelche Experten hier?

Danke und Gruß
erde

 

[Novize]

Änderungen an den Fritz-Einstellungen machst Du am besten mit dem FBEditor. Lies Dir am besten mal den gesamten Thread durch.

 

[erdmann1]

Änderungen an den Fritz-Einstellungen machst Du am besten mit dem FBEditor. Lies Dir am besten mal den gesamten Thread durch.

Das hatte ich mittlerweile schon gemacht und im zweiten Versuch ist es mir tatsächlich gelungen eine neue export Datei mit "Altdaten" so zu verändern, dass das Ganze funktioniert. Allerdings war der Umfang des kopierten Bereiches so groß, das ich nicht weiss wo die entscheidenden Änderungen sitzen.

Das Handwerkszeug habe ich jetzt und kann es anwenden, mir fehlt jetzt nur noch der Eingriffspunkt.

 

[erdmann1]

OK, war jetzt zwar eine Alleinunterhaltung, aber ich möchte doch nicht vorenthalten, dass es mir schließlich gelungen ist die entsprechenden Einträge zu isolieren und das Ergebnis von der 7050 auf die 7170 zu übertragen.

Was soll ich sagen.... es läuft!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!!

 

[frank_m24]

Hallo,

und wirst du sie uns auch verraten, für andere Leidtragende?

Viele Grüße

Frank

 

[erdmann1]

Kann ich natürlich, aber ich fürchte das dies vielleicht zu speziell ist. Anscheinend hat hier ja keiner ein Problem mit einem nachgeschalteten VPN router.

Ich musste jedenfalls Einträge aus der alten export Datei, die sonst nicht auftauchten, übertragen.

Das waren "reject tcp.......", forwardrules für tcp und udp und einen Werte ändern in "inactivity_timeout = 0w" (war vorher auf 5m)

Wie die da vorher reingekommen waren ist mir allerdings schleierhaft.

Ansonsten gerne fragen wenn jemand mal so einen Fall hat.

Gruß,
erde

 

[frank_m24]

Hallo,

hmm. Ich finde es merkwürdig, dass zusätzliche reject Einträge eine Kommunikation ermöglichen sollen, die vorher nicht möglich war. Ich hätte reject eher mit dem Unterbinden von Datenverkehr in Verbindung gebracht.

Ist der inactivity_timeout im Block mit dem Namen "voip" oder in dem mit dem Namen "internet"?

Viele Grüße

Frank

 

[erdmann1]

Ja, stimmt.

Habe die reject Einträge nochmal gelöscht und funzt noch immer. Naja, ich war nach etlichen Versuchen bei dem Stand hängengeblieben, so ist es dann noch optimiert. Danke.

Der inactivity_timeout ist im Block mit dem Namen "internet". Muss dazu aber sagen das der Wert bei der 7170 auch schon vorher auf 0w stand. Bei der 7050 musste ich es halt ändern.

Gruss,
erde

 

[erdmann1]

forwardrules =
"tcp 0.0.0.0:0 0.0.0.0:0 1 out",
"udp 0.0.0.0:0 0.0.0.0:0 1 out"


Was besagen bzw. bewirken diese beiden Einträge?