[Problem] LAN-2-LAN zwischen zwei FritzBoxen (1 private IP mit dyndns, 1 öffentliche IP myfritz)

[cos77]

Hallo zusammen,

ich habe folgendes Problem, das ich bisher nicht lösen konnte.

Daten:

1. FB 7490 OS 7.21 in Deutschland mit öffentlicher IP, MyFritz DNS funktioniert
2. FB 7490 OS 7.21 im Ausland mit privater IP, MyFritz funktioniert nicht, DynDNS eingerichtet aber auch dieser durch die private IP nicht erreichbar. (Bereich 10.0.0.0 - 10.255.255.255 )

Ziel:
- VPN LAN-2-LAN Kopplung zwischen diesen beiden FritzBoxen einzurichten.

Ich weiss, dass es grundsätzlich mit der privaten IP Adresse nicht möglich sein sollte. Im Forum habe ich jedoch vor OS 7.20 Zeiten einige Beiträge gefunden, die über Erfolg berichten. Und aus diesen wurde ich aber NICHT schlau.
Gibt es hier aktuelle übersichtliche Anleitungen oder Info zum Problem?

 

[Micha0815]

Sofern FB1 tatsächlich eine öffentliche IPv4 hat und nicht DS-Lite, musst Du nur diese als Responder einrichten und die ausländische als Initiator. Das funktioniert auch noch sehr ordentlich mit der 7.21-FW. Die Vorlagen für den Import (gibt es hier reichlich) musst Du Dir besser von Hand selbst erstellen.
LG

 

[cos77]

Habe definitiv kein DS-Lite.
Ich würde also erstmal 2 CFGs exportieren aus den Fritz Boxen oder geht es nur mit den 100 verschiedenen Vorlagen aus dem Forum, wovon ich nicht weiss ob es mit der Fritz Box und Version klappt?
Würde es ausserdem mit der MyFritz DNS Service klappen oder benötige ich DynDNS dafür?

 

[Micha0815]

MyFritz als DynDNS brauchst Du nur auf Responderseite wobei auch andere gehen -ich nutze *spdns.eu-
Vorlagen gibt es sicherlich etliche, wobei m.W. Fehlerbehaftete im Kontext stets korrigiert wurden. Eine der ersten und noch validen
https://www.ip-phone-forum.de/threads/vpn-zwischen-zwei-fritz-boxen-eine-mit-ds-lite.283359/ bzw. dort weiterzurückführend in #5 verlinkt.
LG

 

[cos77]

danke für deine Antwort
ich versuche das mal.
Ich habe aber keine Ahnung ob die Verschlüsselungsmethoden aktuell sind in den Vorlagen. Das ist eben problematisch mit Posts aus 2014.
Der Eine Schreibt phase2ss = "esp-all-all/ah-none/comp-all/pfs"; der andere wieder was anderes.
Das Forum hat über all Problemlösungen wir Puzzelteile verteilt und es gibt einfach kein anständig angepinntes aktuell gehaltenes How To mit Parametererklärung und Kompatibilität der Parameter/Werte für Fritz OS Versionen. Das Thema ist aber auch so komplex, wenn man jede Option in Betracht zieht.

 

[PeterPawn]

Das Forum hat über all Problemlösungen wir Puzzelteile verteilt und es gibt einfach kein anständig angepinntes aktuell gehaltenes How To mit Parametererklärung und Kompatibilität der Parameter/Werte für Fritz OS Versionen.

Na da traut sich das Forum ja was - da bin ich ganz bei Dir.

Aber das bietet Dir natürlich gleichzeitig alle Möglichkeiten ... Du kannst dann ja bei dem von Dir angeregten und sicherlich auch umgesetzten HowTo vollkommen nach eigenem Gusto agieren und mußt Dich nicht an irgendwelche Vorgaben oder gar Zwänge (abgesehen von den Board-Regeln) halten, wenn Du den anderen hier einfach mal vorlebst, wie so etwas aussehen sollte nach Deiner Ansicht.

Denn irgendwie sollte man sicherlich auch nicht aus den Augen verlieren, daß so etwas eine Heidenarbeit ist/wäre (also schon mal Respekt meinerseits im Hinblick darauf, was Du Dir da vorgenommen hast) ... und es gibt tatsächlich sogar noch Leute, die auch dafür nur dankbar sind, daß/wenn solche Lösungen hier überhaupt beschrieben sind (wäre so etwas nicht eigentlich die Aufgabe des Herstellers?) und sie somit in der Lage sind, diese (kostenfrei) zu finden und zu nutzen.

Aber ein

anständig angepinntes aktuell gehaltenes How To mit Parametererklärung und Kompatibilität der Parameter/Werte für Fritz OS Versionen

würde das natürlich um Längen schlagen ... da warten sicherlich schon viele Leute sehr gespannt darauf, was Du dazu abliefern wirst, wenn Du so gute Ideen hast und jetzt Deinen Worten auch noch die Tat folgen läßt.

 

[kleinkariert]

In der Vergangenheit musste bei meinen manchmal max. 15 VPNs überhaupt nichts speziell eingestellt werden. Einfach unkompliziert im WebIF einrichten, dabei bei der Initiator-Box "VPN-Verbindung dauerhaft halten" aktivieren und fertig. Schwierigkeiten gab es tatsächlich fast nur, wenn man MyFritz- und eigenes DynDNS parallel benutzen wollte.

Nach meinen Erfahrungen klappte das mit dem "halten" in der Vergangenheit nicht immer so zuverlässig. In dem Fall sollte man noch in der Initiator-Box eine Rufnummer an einem LAN/WLAN (IP-Telefon) der Responder-Box anmelden.

Bitte mal probieren, ob die "ausländische" Box nicht doch neben der dysfunktionalen privaten IPv4 eine IPv6 bekommen kann. Ende letzten Jahres hat das bei mir funktioniert und ich konnte dann über die MyFritz-IPv6 per HTTPS das "ganze 2er" Mesh fernwarten. So musste ich nicht zur Sicherheit immer am anderen Ende eine Hardware mit laufendem AnyDesk bereithalten.

 

[PeterPawn]

- wenn's permanente Melancholie ist, sollte man es untersuchen lassen.

 

[cos77]

Vielen Dank. Es hat tatsächlich auf Anhieb funktioniert.
Für Leute, die von der monochromen Konfiguration Panik bekommen und keine Lust durch Lesen von Prosa den Aufwand zu erfassen, habe ich mal hier die einzelnen Stellen, die angepasst werden müssen, farblich gekennzeichnet. Es ist durchaus überschaubar und relativ einfach. Die Werte in den Farben müssen einfach im Gegenüber an der richtigen Stelle identisch sein.



[Edit Novize: Riesenbild gemäß der Forumsregeln auf Vorschau verkleinert]

Zusammengefasst:
- Ja, es geht. Es müssen 2 angepasste Konfigurationsvorlagen in der "richtigen" Reihenfolge importiert werden.
Detaillierte Anleitung inklusive der Vorlage ist hier zu finden: https://www.ip-phone-forum.de/threads/mini-howto-kompletten-internetverkehr-über-avm-vpn-routen.189391/page-21#post-2010024

Auf zum nächsten Problem
Edit:
2 Fragen hätte ich noch

1.) Keepalive: Unter welchen Umständen würde die Verbindung abbrechen? Wenn die Fritzbox neustartet, würde doch wieder initiert werden, oder?
2.) 2 Boxen mit zwei private IPs: Ist dies möglich? Worauf muss geachtet werden, bzw. wie würdei hier die Konfiguration aussehen? (vlt neuer Thread)

 

[kleinkariert]

Kritische Phasen für ein VPN dieser Art sind natürlich immer dann, wenn die Internetverbindung getrennt wird oder einfach die VPN-"Lifetime expired" ist. Die Verbindungsaufnahme in der falschen Richtung führt dann unweigerlich zum Blockieren. Das hatte mir in der Vergangenheit immer dann mächtig die Nerven gekostet, wenn auf der Responder-Seite irgendwas der Gewinner beim Timing war.

Natürlich kann es sein, dass AVM jetzt mit der 7.2x das ganze VPN nicht nur beim Speed besser im Griff hat.