PPTPD von aussen nicht erreichbar von innen schon

[White-Ghost]

Hallo.
Ich bin neu hier und möchte mich hier mal bei allen mitwirkenden dieses Forums bedanken.
Viele Threads haben mir seit der Anschaffung meiner Fritzbox vor drei Wochen schon geholfen.
Ich muss dazusagen dass es mit meinen Linuxkenntnissen nicht sehr weit her ist und ich mich da, eigentlich ganz gut, durchgewurschtelt habe.

Jetzt steh ich aber an und muss doch einen Thread zu meinem Problem verfassen.

Folgende Konfiguration:
7170 (Rev. 94.1.0.0) mit Freetz 1.1.3 (AMV-FW, PopTop, Samba und Annex-A Treibern).

Soweit läuft eigentlich alles problemlos bis auf die PPTP Verbindung von aussen.
Ich möchte mich von aussen auf den PopTop Server der Fritzbox verbinden.
Da tritt das Problem auf dass der PPTP Server nicht erreichbar ist, obwohl ich GRE und TCP:1723 auf die IP der Fritz geforwarded hab.
Weder über DynDns noch über die offizielle IP funkt. es.

Aus dem internen LAN kann ich mich mit dem PPTP Server verbinden.

Auch die FW sollte nichts blockieren da grundlegend "permit" eingestellt ist und folgende "lowinput" config drauf ist.

deny ip any 242.0.0.0 255.0.0.0 /*AVM*/
deny ip any host 255.255.255.255 /*AVM*/
deny udp any any eq 135 /*AVM*/
deny tcp any any eq 135 /*AVM*/
deny udp any any range 137 139 /*AVM*/
deny tcp any any range 137 139 /*AVM*/
deny udp any any range 161 162 /*AVM*/
deny udp any any eq 520 /*AVM*/
deny udp any any eq 111 /*AVM*/
deny udp any any eq 22289 /*AVM*/
deny udp any any eq 1710 /*AVM*/
deny udp any any eq 1048 /*AVM*/
deny udp any any eq 158 /*AVM*/
deny udp any any eq 515 /*AVM*/

Mit NMAP Standardscan ist der Port 1723 von aussen nicht offen.
Wenn ich aber NMAP -v (also ausführlich) auf den Port 1723 scannen lasse. Ist er plötzlich verfügbar.

Hier noch die "highoutput" Regeln der FW. Vielleicht muss ja ausgehend noch was geöffnet werden. Aber ich sehe da nichts was nicht passt.

reject ip any 242.0.0.0 255.0.0.0 /*AVM*/
deny ip any host 255.255.255.255 /*AVM*/
reject ip any 169.254.0.0 255.255.0.0 /*AVM*/
reject udp any any eq 135 /*AVM*/
reject tcp any any eq 135 /*AVM*/
reject udp any any range 137 139 /*AVM*/
reject tcp any any range 137 139 /*AVM*/
reject udp any any range 161 162 /*AVM*/
reject udp any any eq 520 /*AVM*/
reject udp any any eq 111 /*AVM*/
reject udp any any eq 22289 /*AVM*/
reject udp any any eq 1710 /*AVM*/
reject udp any any eq 1048 /*AVM*/
reject udp any any eq 158 /*AVM*/
reject udp any any eq 515 /*AVM*/
reject icmp any 149.1.1.0 255.255.255.0 /*AVM*/

So das ist nun der Punkt wo ich nicht mehr weiter weis.

Habt Ihr viell. eine Idee was ich noch machen kann?

Danke für Eure Bemühungen.
White !

 

[White-Ghost]

Hat niemand eine Idee?
Ich hab mir noch mal ein Image gemacht und wieder das gleiche!

 

[frank_m24]

Hast du die Port- und Protokollweiterleitungen direkt in der ar7.cfg eingetragen? Über die Weboberfläche geht das ja nicht.

 

[White-Ghost]

Ja das hab ich!
Posting 2:
Ich weis nicht mehr weiter.
Jetzt hab ich sämtliche FW Regeln gelöscht In und Out und alle Policys auf Permit gestellt.

hab danach die ar7.cfg kontrolliert ob auch alles übernommen wurden. Passt.
Aber ich krieg noch immer keine PPTP Verbindung durch die Box durch!

Intern kann ich mich verbinden!

 

[White-Ghost]

So habs jetzt hinbekommen,
Das ganze war ein Problem beim Portforwarding.

Irgendwie bin ich beim Suchen nach einer Lösung auf einen Thread zur FW gekommen und bin dadurch auf die Idee gekommen mal die Forwardregeln umzustellen!

Anstatt:

tcp 0.0.0.0:1723 192.168.178.1:1723 0 # PPTP
gre 0.0.0.0 192.168.178.1 0 # PPTP-GRE

Hab ich:

tcp 0.0.0.0:1723 0.0.0.0:1723 0 # PPTP
gre 0.0.0.0 0.0.0.0 0 # PPTP-GRE

eingetragen und es funktioniert.

Ich bin ja nun nicht so der FW spezialist, vielleicht kann wer erklären was diese Änderung bewirkt?

Als Info für Iphone User:
Damit ich mich mit Iphone verbinden konnte musste ich in der pptpd_options noch Kommentarzeichen von dem Eintrag

mppe stateless

entfernen.

Nun funktioniert alles perfekt!

Thx,
White!

 

[White-Ghost]

Hi Leute.
Ich tu hier bei meinem ursprünglichen Thread einfach weiter.

Nun ist es wieder so dass ich von außen keine VPN Verbindung mehr herstellen kann.

Allredings hat sich in der Grundkonfiguration etwas geändert. Inzw. gehe ich nicht mehr über die WAN Schnittstelle ins IN.
Da sich anscheinend durch eine Umstellung beim Provider, das auf Annex-A gemoddete DSL Modem nicht mehr mit dem Anschluss verträgt (zumindest lt. Tele2 Techniker),
musste ich das Providermodem (vood 422) auf Bridged Mode umstellen und nun gehe ich über LAN1 der Fritzbox auf dem Providermodem, ins Internet.

Das fkt. auch einwandfrei.
Nur kann ich nun wieder keine VPN Verbindung von außen herstellen. :noidea:

Hier das ppp Log von einem Fehlgeschlagenen ext. Einwahlversuch:

Nov 19 14:51:40 fritz syslog.info syslogd started: BusyBox v1.12.4
Nov 19 14:52:15 fritz daemon.info pptpd[1566]: CTRL: Client 194.24.138.24 control connection started
Nov 19 14:52:15 fritz daemon.info pptpd[1566]: CTRL: Starting call (launching pppd, opening GRE)
Nov 19 14:52:15 fritz daemon.notice pppd[1567]: pppd 2.4.4 started by root, uid 0
Nov 19 14:52:15 fritz daemon.info pppd[1567]: Using interface ppp0
Nov 19 14:52:15 fritz daemon.notice pppd[1567]: Connect: ppp0 <--> /dev/pts/1
Nov 19 14:52:46 fritz daemon.warn pppd[1567]: LCP: timeout sending Config-Requests
Nov 19 14:52:46 fritz daemon.notice pppd[1567]: Connection terminated.
Nov 19 14:52:46 fritz daemon.notice pppd[1567]: Modem hangup
Nov 19 14:52:46 fritz daemon.info pppd[1567]: Exit.
Nov 19 14:52:46 fritz daemon.err pptpd[1566]: GRE: read(fd=7,buffer=42197c,len=8196) from PTY failed: status = -1 error = Input/output error, usually caused by unexpected termination of pppd, check option syntax and pppd logs
Nov 19 14:52:46 fritz daemon.err pptpd[1566]: CTRL: PTY read or GRE write failed (pty,gre)=(7,8)
Nov 19 14:52:46 fritz daemon.info pptpd[1566]: CTRL: Client 194.24.138.24 control connection finished

Recht viel kann ich mir aus diesem Log nicht heraus nehmen.

Vielleicht hat jemand eine ähnliche Konfiguration und kann mir in dieser Angelegenheit weiter helfen.

Ich vermute ja irgendwie dass die Forwardregeln jetzt nicht mehr ganz passen da das Interface ja nicht mehr das DSL sondern das LAN1 Interface ist.
Aber ich trau mich nicht so einfach in der Ar7.cfg herum zu fuhrwerken.

Danke für Eure Hilfe!
White!