Mini-Howto: Kompletten Internetverkehr über AVM VPN routen

Toggle sidebar Toggle sidebar
Upgrade 3CX to v18 and get it hosted free!
Hej xatru!

Auch hier die Frage: Hast du jemals eine funktionierende VPN-Verbindung ohne die in dieser Anleitung beschriebenen Anpassungen hinbekommen? Ansonsten wäre es noch hilfreich, wenn du deine cfg-Dateien postest...

Viele Grüße
buecke
 
Hallo,

jein - eine funktionierende Verbindung konnte bisher mit Shrew nicht aufgebaut werden. Mit den AVM eigenen Tools unter Windows klappt das aber völlig Problemlos (natürlich mit einem anderen Benutzer).Ein Windows (bzw. das Notebook mit Windows) habe ich nur leider sehr selten dabei, meistens das Netbook mit Ubuntu. Sobald (laut Shrew) der Verbindungsaufbau vollständig ist und ich versuche einen Rechner oder die Box zu pingen bricht das ganze mit "gateway not found" wieder ab. Wenn ich die Anleitungen hier richtig verstehe, muss ich auch wissen welche IP-Adresse der Rechner bzw. das LAN hat von welchem ich die VPN-Verbindung aufbauen will, oder liege ich da falsch? Das weiß ich im vorhinein aber leider nicht, da vieles Firmennetzwerke oder öffentliche WLANs sind. Die Firewalls in diesen Netzen lassen aber immer eine VPN-Verbindung zu, zumindest die in den Firmennetzwerken sind speziell nur dafür eingerichtet worden.

Das Config-File habe ich entsprechend der Anleitung von AVM angepasst:
Code: 
/*
 * C:\Users\xatru.MIDKEMIA\AppData\Roaming\AVM\FRITZ!Fernzugang\xatru_dyndns_org\fritzbox_xatru_dyndns_org.cfg
 * Wed Jul 06 00:13:32 2011
 */

vpncfg {
        connections {
                enabled = yes;
                conn_type = conntype_user;
                name = "[email protected]";
                always_renew = no;
                reject_not_encrypted = no;
                dont_filter_netbios = yes;
                localip = 0.0.0.0;
                local_virtualip = 0.0.0.0;
                remoteip = 0.0.0.0;
                remote_virtualip = 192.168.24.140;
                remoteid {
                        user_fqdn = "[email protected]";
                }
                mode = phase1_mode_aggressive;
                phase1ss = "all/all/all";
                keytype = connkeytype_pre_shared;
                key = "<xxxxxx>";
                cert_do_server_auth = no;
                use_nat_t = yes;
                use_xauth = no;
                use_cfgmode = no;
                phase2localid {
                        ipnet {
                                ipaddr = 192.168.24.0;
                                mask = 255.255.255.0;
                        }
                }
                phase2remoteid {
                        ipaddr = 192.168.24.140;
                }
                phase2ss = "esp-all-all/ah-none/comp-all/pfs";
                accesslist = "?";
        }
        ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500", 
                            "udp 0.0.0.0:4500 0.0.0.0:4500";
}
// EOF

In accesslist habe ich bereits alle möglichen Kombinationen die irgendeinen Sinn ergeben versucht - leider alles ohne erfolg :(
 
Hej!

Die von dir gepostete cfg-Datei ist für die FRITZ!Box, richtig? Da muss es wie folgt lauten:
Code: 
accesslist = "permit ip any 192.168.24.140 255.255.255.255";

Wie sieht die cfg-Datei für den FRITZ!Fernzugang aus? Oder versuchst du es ausschließlich über Shrew? Mit Shrew ist es nämlich nicht so einfach...

Viele Grüße
buecke
 
Hallo zusammen,

der Verbindungsaufbau klappt nun nach den von buecke gemachten Änderungen problemlos. FritzBox und Server im LAN sind erreichbar, alle Dieste drauf (ping, Nameserver, WebDienste, VNC) sind nutzbar. Auch werden Anfragen wie:
Code: 
xatru@netbook:~$ nslookup
> server 192.168.24.150
Default server: 192.168.24.150
Address: 192.168.24.150#53
> google.de
...

Korrekt beantwortet. Pings auf z.B. google.de gehen auch durch (was ja auch ohne die VPN-Verbindung möglich ist), alles andere Streikt aber. Das Netz von dem aus ich das gerade Probiere (also die VPN-Verbindung aufgebaut habe) lässt zwar VPN-Tunnel und noch ein bisschen mehr (wie Ping) zu, HTTP-Verbindungen aber nicht. Ich vermute fast das etwas in der Routing-Tabelle noch nicht stimmt. Die sieht nach erfolgreichem Verbindungsaufbau so aus:

Code: 
xatru@netbook:~$ route -n
Kernel-IP-Routentabelle
Ziel               Router              Genmask          Flags Metric Ref Use Iface
192.168.24.0  192.168.24.140  255.255.255.0   UG    0        0   0     tap0
192.168.24.0  0.0.0.0             255.255.255.0    U     0        0   0     tap0
10.10.0.0       0.0.0.0             255.255.128.0    U     2        0   0     eth1
169.254.0.0    0.0.0.0             255.255.0.0       U     1000   0   0     eth1
0.0.0.0           10.10.0.1         0.0.0.0              UG   0        0   0     eth1

eth1 ist das WLAN-Interface mit einer IP: 10.10.102.253.

Ich hoffe ihr könnt mir weiterhelfen.
 
Moin,

bei mir zerschießt das Hochladen der veränderten Config das Internet im Netzwerk der Fritzbox.

Vorgehen:
- VPN funktioniert einwandfrei
- verändern der Fritzbox-VPN-Config [ accesslist = "deny ip any 192.168.0.0 255.255.255.0", "reject udp any any eq 53", "reject udp any any eq 500", "reject udp any any eq 4500", "permit ip any any"; ]
- Importieren der Config in die Fritzbox

Was passiert
- Import funktioniert einwandfrei
- Fritzbox ist von außen nicht mehr erreichbar
- Rechner im LAN der Fritzbox kommen nicht mehr ins Internet
- Fritzbox sagt, sie hätte noch Internet, aber beispielsweise der dynamische DNS-Dienst kommt auch nicht mehr nach außen
- VPN kann ich logischerweise gar nicht erst wieder aufbauen, weil ja kein Internet da ist

Erst wenn ich die VPN-Verbindung wieder deaktiviere (in der Liste auf der Fritzbox) ist der Internetzugriff wieder da.

Was mache ich falsch?

Fritzbox 7390
Firmware-Version 84.04.91

Konfiguration sieht so aus:

Code: 
/*
 * C:\Pfad\zur\Config
 * Thu Jul 14 17:18:00 2011
 */

vpncfg {
        connections {
                enabled = yes;
                conn_type = conntype_user;
                name = "[email protected]";
                always_renew = no;
                reject_not_encrypted = no;
                dont_filter_netbios = yes;
                localip = 0.0.0.0;
                local_virtualip = 0.0.0.0;
                remoteip = 0.0.0.0;
                remote_virtualip = 192.168.100.201;
                remoteid {
                        user_fqdn = "[email protected]";
                }
                mode = phase1_mode_aggressive;
                phase1ss = "all/all/all";
                keytype = connkeytype_pre_shared;
                key = "key";
                cert_do_server_auth = no;
                use_nat_t = yes;
                use_xauth = no;
                use_cfgmode = no;
                phase2localid {
                        ipnet {
                                ipaddr = 192.168.100.0;
                                mask = 255.255.255.0;
                        }
                }
                phase2remoteid {
                        ipaddr = 192.168.100.201;
                }
                phase2ss = "esp-all-all/ah-none/comp-all/pfs";
                accesslist = "deny ip any 192.168.0.0 255.255.255.0", "reject udp any any eq 53", "reject udp any any eq 500", "reject udp any any eq 4500", "permit ip any any";
        }
        ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500", 
                            "udp 0.0.0.0:4500 0.0.0.0:4500";
}


// EOF
 
Woher hast du die accesslist? Da drin steht "deny ip any" und "reject udp any any eq 53". Kein Zugriff auf irgendeine IP und kompletter Block von DNS. Gründlicher kann man sich vom Internet nicht aussperren. ;)
 
Jo, beim Überfliegen dachte ich das auch. Aber da das im Eingangspost steht, dachte ich, das hätte so seine Richtigkeit (edit: und würde von "permit ip any any" evtl überschrieben)

buecke schrieb:
  • CFG-Datei des FRITZ!Fernzugang anpassen (neue, einfachere Version dank User "DerLanWan")

    • Bestehende Zeile durch folgende austauschen:
      Code: 
      accesslist = "reject udp any any eq 53", "reject udp any any eq 500", "reject udp any any eq 4500", "permit ip any any";


    • Wenn der PC in einem LAN hängt, muss man folgende Zeile verwenden:
      Code: 
      accesslist = "deny ip any [COLOR="Red"]192.168.0.0 255.255.255.0[/COLOR]", "reject udp any any eq 53", "reject udp any any eq 500", "reject udp any any eq 4500", "permit ip any any";
      Erläuterung: 192.168.0.0 255.255.255.0 ist das Subnet des LAN, an das der PC angeschlossen ist.

    • Im FRITZ!Fernzugang die alte VPN-Konfiguration löschen und die angepasste Version importieren.
Zum Vergrößern anklicken....
 
Hej!

Lies bitte die Anleitung noch einmal genau durch! Du hast offenbar die Konfiguration für den PC in die FRITZ!Box geladen...

Viele Grüße
buecke
 
Ah. Wer lesen kann ... Hab vielen Dank, da war ich etwas oberflächlich.
 
in der Konfiguration für fritz fernzugang soll man ja schreiben:
"reject udp any any eq 53", "reject udp any any eq 500", "reject udp any any eq 4500"

Jetzt ma ne blöde Frage:
Bedeutet das nicht, dass udp nicht durch das vpn geleitet wird?
Ich würde nämlich gerne mit nem Softphone (Phonerlite) auf den SIP Server der fritzbox über das VPN zugreifen. Das scheint mit den in diesem Thread beschriebenen Änderungen nicht zu funktionieren.
 
Nur die Ports 500 und 4500 (für die VPN-Verbindung selbst) werden ausgeschlossen, alles andere sollte über den VPN laufen.

Viele Grüße
buecke
 
Ich habe schon mehrfach mein Problem geschildert, allerdings ging es da in Kombination mit Umts. Letztens habe ich festgestellt, dass ich meine FB nicht anpingen kann vor sowohl als auch nach dem Traffic-Mod. Muss ich noch irgendein Port weiterleiten/freigeben?
Jedesmal wird meine ein erfolgreiches Vpn angezeigt (Fritz!Fernzugang bzw auf der Fritzbox selber).
 
Nur ein PC innerhalb des Remotenetzes?

Hallo,

ich wurde vom Freetzbereich hierhergeleitet und das hats voll gebracht. Habe zwei Fritzboxen an unterschiedlichen Orten und hatte vorher schon das VPN eingerichtet, so dass es funktionierte, dass ich die internen Adressen sah und wollte nun auch das Surfen über VPN. Also kontaktierte ich AVM und die sagten geht nicht, dann bin ich also hier gelandet und es war dann tatsächlich nur die eine Zeile der accesslist der clientbox, die geändert werden musste, und nun können alle Geräte die sich an der Clientbox anmelden, direkt ohne weitere Einstellungen an den Geräten über das VPN über die andere Box ins Netz.
:D

Nun kommt das Aber, und wieso ich nach unzähligen Versuchen hier doch auch ein Posting aufmache: Ich möchte dass nur ein Client an der Clientbox über VPN getunnelt wird...und ich hab fast alles durchprobiert bei der accesslist der clientbox, aber immer wurden alle durchgeleitet oder nichts ging mehr.
Daher hier mal meine beiden cfgs, mit denen alle getunnelt werden.

hostfritze 7270
Code: 
vpncfg {
        connections {
                enabled = yes;
                conn_type = conntype_lan;
                name = "7140.hopto.org";
                always_renew = no;
                reject_not_encrypted = no;
                dont_filter_netbios = yes;
                localip = 0.0.0.0;
                local_virtualip = 0.0.0.0;
                remoteip = 0.0.0.0;
                remote_virtualip = 0.0.0.0;
                remotehostname = "7140.hopto.org";
                localid {
                        fqdn = "7270.hopto.org";
                }
                remoteid {
                        fqdn = "7140.hopto.org";
                }
                mode = phase1_mode_aggressive;
                phase1ss = "all/all/all";
                keytype = connkeytype_pre_shared;
                key = "*";
                cert_do_server_auth = no;
                use_nat_t = yes;
                use_xauth = no;
                use_cfgmode = no;
                phase2localid {
                        ipnet {
                                ipaddr = 192.168.100.0;
                                mask = 255.255.255.0;
                        }
                }
                phase2remoteid {
                        ipnet {
                                ipaddr = 192.168.120.0;
                                mask = 255.255.255.0;
                        }
                }
                phase2ss = "esp-all-all/ah-none/comp-all/pfs";
                accesslist = "permit ip any 192.168.120.0 255.255.255.0";
        }
        ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500", 
                            "udp 0.0.0.0:4500 0.0.0.0:4500";
}


// EOF

clientfritze 7140

Code: 
vpncfg {
        connections {
                enabled = yes;
                conn_type = conntype_lan;
                name = "7270.hopto.org";
                always_renew = no;
                reject_not_encrypted = no;
                dont_filter_netbios = yes;
                localip = 0.0.0.0;
                local_virtualip = 0.0.0.0;
                remoteip = 0.0.0.0;
                remote_virtualip = 0.0.0.0;
                remotehostname = "7270.hopto.org";
                localid {
                        fqdn = "7140.hopto.org";
                }
                remoteid {
                        fqdn = "7270.hopto.org";
                }
                mode = phase1_mode_aggressive;
                phase1ss = "all/all/all";
                keytype = connkeytype_pre_shared;
                key = "ee";
                cert_do_server_auth = no;
                use_nat_t = yes;
                use_xauth = no;
                use_cfgmode = no;
                phase2localid {
                        ipnet {
                                ipaddr = 192.168.120.0;
                                mask = 255.255.255.0;
                        }
                }
                phase2remoteid {
                        ipnet {
                                ipaddr = 192.168.100.0;
                                mask = 255.255.255.0;
                        }
                }
                phase2ss = "esp-all-all/ah-none/comp-all/pfs";
                accesslist = "reject udp any any eq 53", "reject udp any any eq 500", "reject udp any any eq 4500", "permit ip any any";
        }
        ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500", 
                            "udp 0.0.0.0:4500 0.0.0.0:4500";
}


// EOF

So damit geht alles über den VPN Tunnel. Vielleicht nochmal zur Aufschlüsselung
Hostfritz 7270 192.168.100.1
clientfritz 7140 192.168.120.1

Und nun hab ich hier ein Clienten mit fester IP 192.168.120.20 und nur dieser soll diesen Tunnel nutzen und bei ihm besteht keine Möglichkeit irgendein Clienttool zu installieren oder ähnliches, sprich es müsste eine Anpassung der cfg (ich gehe mal von aus nur an der clientfritz) sein.

Ansonsten was ich nocht mitteilen wollte, scheint es wohl egal zu sein, welchen Host man in der hostcfg für den client einträgt, denn ich habe die clientdyndns Adresse schon lange nicht mehr geupdatet, die IPs sind definitiv anders, aber ich kriege trotzdem immer eine Verbindung, es scheint also das richtige passwort das ausreichende zu sein...

Vielen Dank schonmal im Voraus für die Hilfe
OB
 
Hej!

Mit folgender accesslist-Zeile in der Client-FRITZ!Box sollte es gehen:
Code: 
accesslist = "reject udp any any eq 53", "reject udp any any eq 500", "reject udp any any eq 4500", "permit ip 192.168.120.20 255.255.255.255 any";

Wenn alle Clients der Client-FRITZ!Box auch noch auf das lokale Netz der Remote-FRITZ!Box Zugriff haben sollen, sollte es mit folgender Zeile funktionieren:
Code: 
accesslist = "reject udp any any eq 53", "reject udp any any eq 500", "reject udp any any eq 4500", "permit ip 192.168.120.20 255.255.255.255 any", "permit ip 192.168.120.0 255.255.255.0 192.168.100.0 255.255.255.0";

Viele Grüße
buecke
 
Hi buecke,

danke, vielen Dank. Das klappt wunderbar. Schön, dass es Leute gibt, die mehr Ahnung von der Materie haben als der AVM-Support.

Thx OB
 
mit FB-Spanien über FB-Deutschland rtlnow schauen (also deutsche ip)

Hallo alle
hab hier schon alles gelesen aber bekomme es nicht hin:
die situation:
bin hier in spanien mit fb und will über meine fb in deutschland rtlnow filme sehen.
normales vpn funzt prima (auf lokale ips in deutschland zugreifen kein problem)
aber halt filme von z.b. rtlnow gehen nicht der sagt immer ich muss in deutschland sein.
wer kann helfe.
 
Hallo zusammen,
ich möchte an meiner Fritzbox 7390 das VPN aktivieren, um von meinem Nokia-Handy auf mein Netzwerk zugreifen zu können. Wichtig sind mir Funktionen wie VNC und Zugriff auf den am USB der Fritzbox angeschlossenem Speicher. SIP wäre ok, muß aber nicht sein.
Ich habe mir 2 DYNDNS-Adressen besorgt. Eine für das Heimnetz (91.50.XXX.XXX) und eine fürs Handy (109.84.XXX.XXX) letztere brauche ich wahrscheinlich nicht, oder?
Meine *.cfg-Datei sieht folgendermaßen aus:
[Edit frank_m24: Bitte benutzt CODE Tags für solche Ausgaben.]
Code: 
------------------------------------------------------------------------------------
	/*
 * C:\Dokumente und Einstellungen\XXXXX\XXXXX\XXXXXXX.cfg
 * Mon Aug 22 21:45:22 2011
 */

vpncfg {
        connections {
                enabled = yes;
                conn_type = conntype_user;
                name = "[email protected]";
                always_renew = no;
                reject_not_encrypted = no;
                dont_filter_netbios = yes;
                localip = 0.0.0.0;
                local_virtualip = 0.0.0.0;
                remoteip = 0.0.0.0;
                remote_virtualip = 192.168.178.201;
                remoteid {
                        user_fqdn = "[email protected]";
                }
                mode = phase1_mode_aggressive;
                phase1ss = "all/all/all";
                keytype = connkeytype_pre_shared;
                key = ":XXXXXXXXXXXXXXXXXXXXXXXX";
                cert_do_server_auth = no;
                use_nat_t = yes;
                use_xauth = no;
                use_cfgmode = no;
                phase2localid {
                        ipnet {
                                ipaddr = 192.168.178.0;
                                mask = 255.255.255.0;
                        }
                }
                phase2remoteid {
                        ipaddr = 192.168.178.201;
                }
                phase2ss = "esp-all-all/ah-none/comp-all/pfs";
                accesslist = 
                             "permit ip 192.168.178.201 255.255.255.255";
        }
        ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500", 
                            "udp 0.0.0.0:4500 0.0.0.0:4500";
}


// EOF
------------------------------------------------------------------------------------
Meine Netzdaten sind:
Subnetzmaske: 255.255.255.0
Standard-Gateway: 192.168.178.1
DHCP-Server: 192.168.178.1
DNS-Server: 192.168.178.1

Ich versuche nun schon seit mehreren Tagen das irgendwie zum laufen zu bekommen. Ich habe mir sämtliche Seiten und Beiträge durchgelesen und verschiedene Lösungen ausprobiert. Es klappt nicht. Wäre toll, wenn mir jemand helfen könnte.

Mobiltelefon

PS: ich hätte den Inhalt der cfg-Datei gerne in eine Textbox gepackt, habe aber keine Ahnung wie das geht.
 
Auch die NOKIA- Policy musst Du noch hier darstellen. Bei der FRITZ-VPN-cfg fällt mir auf die Schnelle nur auf, daß "use_cfgmode" auf "yes" stehen muß.
 
Um antworten zu können musst du eingeloggt sein.
Kostenlos!
Jetzt holen

Neueste Beiträge

Kategorien

Wissenswertes

Statistik des Forums

Themen
248,916
Beiträge
2,304,989
Mitglieder
378,631
Neuestes Mitglied
realprogrammer

3CX jetzt einen Monat kostenlos testen

Die Verbindung, Zusammenarbeit und Kommunikation mit Ihrem Team und Ihren Kunden war noch nie so einfach. Nutzen Sie unsere kostenlose 30-Tage-Testversion und entdecken Sie die richtige Lösung für Ihr Unternehmen.

3CX start your free trial guy
Für diese E-Mail-Adresse besteht bereits ein 3CX-Konto. Sie werden zum Kundenportal weitergeleitet, wo Sie sich anmelden oder Ihr Passwort zurücksetzen können, falls Sie dieses vergessen haben.
| Style by ThemeHouse
XenPorta 2 PRO © Jason Axelrod of 8WAYRUN
Oben Unten