Mini-Howto: Kompletten Internetverkehr über AVM VPN routen

[Mobiltelefon]

Danke für die schnelle Antwort.

Hier die gewünschten Angaben:

*.pol-Datei:

SECURITY_FILE_VERSION: 1
[INFO]
[EMAIL="[email protected]"][email protected][/EMAIL]
[POLICY]
sa [EMAIL="[email protected]"][email protected][/EMAIL]_1 = {
esp
encrypt_alg 12
max_encrypt_bits 128
auth_alg 3
identity_remote 192.168.178.0/24
src_specific
hard_lifetime_bytes 0
hard_lifetime_addtime 3600
hard_lifetime_usetime 3600
soft_lifetime_bytes 0
soft_lifetime_addtime 3600
soft_lifetime_usetime 3600
replay_win_len 0
pfs
}



remote 0.0.0.0 0.0.0.0 = { [EMAIL="[email protected]_1%28XXXXXX.dyndns.org"][email protected]_1(XXXXXX.dyndns.org[/EMAIL]) }
inbound = { } 
outbound = { } 

[IKE]
ADDR: XXXXXX.dyndns.org 255.255.255.255
IKE_VERSION: 1
MODE: Aggressive
REPLAY_STATUS: FALSE
USE_MODE_CFG: TRUE
IPSEC_EXPIRE: TRUE
USE_XAUTH: FALSE
USE_COMMIT: FALSE
ESP_UDP_PORT: 0
SEND_NOTIFICATION: TRUE
INITIAL_CONTACT: TRUE
USE_INTERNAL_ADDR: FALSE
DPD_HEARTBEAT: 90
NAT_KEEPALIVE: 60
REKEYING_THRESHOLD: 90
ID_TYPE: 3
FQDN: [EMAIL="[email protected]"][email protected][/EMAIL]
PRESHARED_KEYS:  
FORMAT: STRING_FORMAT
KEY: 9 XXXXXXXXX
GROUP_DESCRIPTION_II: MODP_1024
USE_NAT_PROBE: FALSE
PROPOSALS: 1
ENC_ALG: AES128-CBC
AUTH_METHOD: PRE-SHARED
HASH_ALG: SHA1
GROUP_DESCRIPTION: MODP_1024
GROUP_TYPE: DEFAULT
LIFETIME_KBYTES: 0
LIFETIME_SECONDS: 3600
PRF: NONE
DNS_SERVER: 192.168.178.1

*.pin-Datei:
[POLICYNAME]
[EMAIL="[email protected]"][email protected][/EMAIL]
[POLICYVERSION]
1.0
[POLICYDESCRIPTION]

[ISSUERNAME]

[CONTACTINFO]

Die Änderung des „use_cfgmode“ auf yes hat noch nichts gebracht. (Das „Lämpchen“ im Online-Monitor der Fritzbox bleibt grau)

 

[imagomundi]

Gib mal bei "remote" vor "inbound-outbound" ein: 192.168.178.0 255.255.255.0. Ist im Augenblick meine einzige Idee.

 

[Mobiltelefon]

Vielen Dank,
funktioniert aber leider auch nicht.

 

[buecke]

Deine Frage hat nicht wirklich etwas mit dem Thema in diesem Thread hier zu tun. Du bist besser aufgehoben bei: http://www.ip-phone-forum.de/showthread.php?t=169207

Viele Grüße
buecke

 

[Mobiltelefon]

Stimme ich dir zu. Mir ging es ursprünglich auch nur um die Einstellungen in meiner Fritzbox. Wenn ich weiß, dass diese richtig konfiguriert ist, kann ich an meinem Handy rumprobieren. Ansonsten weiß ich nie wo der eigentliche Fehler liegt.

 

[SnoopyDog]

Danke für diesen Thread! Klappt alles einwandfrei (hatte vorher noch kein VPN benötigt). Eine Kleinigkeit ist "lustig": Wenn ich wie im Eingangspost die Konfiguration für das Programm "Fritz!Fernzugang" auf

accesslist = "reject udp any any eq 53", "reject udp any any eq 500", "reject udp any any eq 4500", "permit ip any any";

ändere, scheint der Interetverkehr zwar über meinen DSL Anschluß zu laufen, jedoch erhalte ich solche traceroute-Ausgaben:

C:\>tracert sipgate.de

Routenverfolgung zu sipgate.de [217.10.79.9]  über maximal 30 Abschnitte:

  1   445 ms   639 ms   409 ms  sipgate.de [217.10.79.9]
  2   474 ms   559 ms   539 ms  sipgate.de [217.10.79.9]
  3   668 ms   659 ms   699 ms  sipgate.de [217.10.79.9]
  4   408 ms   559 ms   509 ms  sipgate.de [217.10.79.9]
  5   438 ms   460 ms   549 ms  sipgate.de [217.10.79.9]
  6   488 ms   510 ms   499 ms  sipgate.de [217.10.79.9]
  7   858 ms   379 ms   480 ms  sipgate.de [217.10.79.9]

Ablaufverfolgung beendet.

Ist das normal oder muß ich noch etwas anders konfigurieren? Die Internetverbindung scheint ansonsten normal zu funktionieren.

 

[buecke]

Ist das normal oder muß ich noch etwas anders konfigurieren? Die Internetverbindung scheint ansonsten normal zu funktionieren.

Ist normal.

Viele Grüße
buecke

 

[SnoopyDog]

Danke, dann bauch ich nichts weiter ändern

 

[Olliberlin]

Hi (buecke),

ich bins nochmal. Ich bin gerade dabei zu versuchen, dass wenn der Client mit der 192.168.120.20 eine bestimmte Verbindung über einen Port aufmacht, dass nur diese per VPN umgeleitet wird. Alles andere soll normal funktionieren. Geht das auch? Ich hab Analog zu deinem letzten Posting die

accesslist = "reject udp any any eq 53", "reject udp any any eq 500", "reject udp any any eq 4500", "permit ip 192.168.120.20 255.255.255.255 any", "permit ip 192.168.120.0 255.255.255.0 192.168.100.0 255.255.255.0";

in

accesslist = "reject udp any any eq 53", "reject udp any any eq 500", "reject udp any any eq 4500", "permit ip 192.168.120.20 255.255.255.255 [B][COLOR="red"]7777[/B][/COLOR]", "permit ip 192.168.120.0 255.255.255.0 192.168.100.0 255.255.255.0";

geändert, aber das lief so nicht. Wie wäre es richtig?

Danke im Vorraus

CU

 

[buecke]

Ohne getestet zu haben, würde ich auf folgende accesslist tippen:

accesslist = "permit ip 192.168.120.20 255.255.255.255 any eq 7777";

Viele Grüße
buecke

 

[Micha0815]

VPN-Clientportierung der Einstellungen von Notebook-A(XP) auf Notebook-B(W7)

Sorry wenn ich hier poste?

Neben etlichen Versuchen + Forumssuche finde ich keine AdHoc-Lösung?

Auf 3 Fritzen sind entsprechende *.cfg eingerichtet und sind auch ohne Probs über mein altes -die Tastatur muckt+entsorgungswürdgi!-XP-Notebook erreichbar!

Auf dem ollen XP-Teil die Daten -DYNDNS-Verzeichnis (da steht wohl die userhinterlegte *.cfg von der entfernten Fritz!Box) und die lokale User-cfg auf einen USB-Stick kopiert!

Auf der W7-Machine Fritz!Fernzugang korrekt installiert und versucht die User-cfg zu importieren! Das Icon erscheint auch und das passwort -auf dem XP-Rechner mehrfach verfiziert!- auch korrekt! Trotzdem kommt stets angehängte Fehlermeldung?

Was fehlt dem W7-PC, was auf dem XP-PC doch vorhanden ist/sein sollte?

Zugegeben bin ich eher DAU inpunkto VPN-Tunnels -die grobe Richtung meine ich verstandenzuhaben!- und mit dem alten XP-Teil kann ich von jedem Anschluss aus die Verbindung aufbauen?

Für eine Schnellbesohlung ob meiner Irrwege bedanke ich mich im Voraus!

LG

 

[andilao]

Versuche mal, den Treiber manuell zu installieren: http://service.avm.de/support/de/SK...nte-nicht-gefunden-werden-in-FRITZ-Fernzugang
Wenn es nicht funktioniert: Shrewsoft.

 

[Olliberlin]

Hi buecke,

das bewirkt, dass trotzdem alles noch über den VPN geht bei diesem PC. Also keinerlei Einschränkung nur auf den Port 7777. Aber ich werds mal weiter probieren, hab ja jetzt ein neues Muster, aber die Versuche eben, haben nur gezeigt, entweder alles oder nichts, je nachdem was ich noch probierte... Insofern hoffe ich noch auf eine Eingebung von dir

Bis dahin
Greetz
OB

accesslist = "permit ip 192.168.120.20 255.255.255.255 any eq 7777";

 

[Micha0815]

Lieben Dank andilao. Hatte Tomaten auf den Augen.
LG

 

[buecke]

Insofern hoffe ich noch auf eine Eingebung von dir

Mal schauen, ob dir folgende Eingebung hilft:

accesslist = "permit udp 192.168.120.20 255.255.255.255 any eq 7777", "permit tcp 192.168.120.20 255.255.255.255 any eq 7777";

Viele Grüße
buecke

 

[Razorworks]

Immer nach Hause trotz wechselnder Netze?

Hallo an alle Mitleser,

ich habe nun alle Einträge dieses Freds gelesen, aber keine Antwort auf folgende Frage gefunden:

Welche Einstellung muß ich vornehmen, damit ich aus "allen Netzen dieser Welt" erst nach Hause geVPNt werde und dann da ins Internet gelage?
Ich halte mich dienstl. immer wieder in anderen (WLAN-)Netzen auf und möchte nicht jedes Mal meine (noch zu erstellende) Config anpassen, wenn sich mein Client mal wieder in einem anderen Netzwerk befindet (mal A-, mal B-, mal C-Netz und immer wieder andere IP-Adressbereiche). Ist das überhaupt möglich?

Der Zugriff auf mein LAN mit "einfacher" (normaler) Config klappt zuverlässig.

Ich brauche mit meinem Client KEINEN ZUGRIFF auf das lokale LAN, ich will nur nach Hause (Internet und LAN).

Übrigens: Wenn mehr als 8 VPN-Verbindungen in die Box geladen werden, ist ab der 9. Verbindung nicht mehr über die "LED" zu erkennen, dass die Verbindung aufgebaut wurde. Auch ich bekomme nicht mehr zu sehen, selbst nach Gesprächen mit meinem AVM-Supporter nicht

Vielen Dank für eure Antworten und einen schönen Tag noch wünscht...

 

[aquarium]

Mit Fritzfernzugang geht das nicht, aber mit Shrew. Die Lösung steht auch hier im Forum, ich finde den Thread aber gerade nicht. Könnte auch in diesem Thread stehen.

 

[KunterBunter]

Mit Fritzfernzugang geht das nicht, aber mit Shrew. Die Lösung steht auch hier im Forum

Sogar ganz oben als erstes unter Wichtig: [HowTo] Fritz!Box-Fernzugang und ShrewSoft VPN Client - Schritt für Schritt

 

[buecke]

Welche Einstellung muß ich vornehmen, damit ich aus "allen Netzen dieser Welt" erst nach Hause geVPNt werde und dann da ins Internet gelage?
[...]
Ich brauche mit meinem Client KEINEN ZUGRIFF auf das lokale LAN, ich will nur nach Hause (Internet und LAN).

Hej!

Klar geht das auch mit der FRITZ!Fernzugang-Software von AVM. Für den Client einfach die accesslist von Beitrag 1 unter Punkt 3.2 (nicht 3.2.1) nehmen. Achtung: DNS-Anfragen werden nicht über das VPN geroutet.

Viele Grüße
buecke

 

[aquarium]

@Buecke: kannst Du dann noch einmal erläutern, wann 3.2 und wann 3.2.1 genommen werden sollte? Ich habe das bisher so verstanden, dass man immer, wenn man in einem fremden Netz ist, die IP des Fremdnetzes in die .cfg des Fritz-Fernzugangs einsetzen muss - was natürlich sehr umständlich ist. Also: Wenn es 3.2 tut, warum dann 3.2.1?
Edit: Vermutlich ist es so: bei 3.2.1 hat man auch Zugriffe auf das Fremdnetz, bei 3.2 nicht?