Site to Site mit openvpn

[migra]

Hallo

ich würde gerne meine Fritzbox 7390 mit einem Openvpn Server Suse 11 verbinden (ohne die Box zu Modifizieren) wie muss ich das machen?

Leider kann ich hier im Forum nichts finden danke schon mal.

 

[sf3978]

... (ohne die Box zu Modifizieren) ...

Nach jetzigem Wissensstand geht das ohne Modifizierung nicht.

 

[PCMor]

Nein, geht nicht ohne Mods.

AVM unterstützt von Haus aus "nur" reine IPSec-VPN-Verbindungen, die du aber auf einem Linux-Server auch mit Strong- oder OpenSWAN aufbauen kannst.

Ich nehme an, dass sich AVM auf IPSec beschränkt, weil die Performance besser ist...

Fühlt sich bei mir jedenfalls so an, wenn ich vom Homeoffice aus auf das Firmennetzwerk zugreife: per OpenVPN-Client (unter Windows7x64 auf Core2Duo 3GHz, 8GB RAM) auf Astaro Hardware-Appliance dauert das Laden von Firmenseiten etwa 10 - 15% länger als über den von der Fritzbox aufgebauten IPSec-Tunnel (beide verschlüsseln mit 256Bit-AES).

 

[migra]

Danke habe ich mir fast gedacht.

Ich probiere es aber nun schon 2 Tage mit einer Watchguard und IPSEC, klappt aber leider nicht.

 

[PCMor]

Wie sieht denn die Config auf der Watchguard aus, und bis wohin kommst du auf beiden Seiten (logs)?

 

[migra]

Hallo

ich bekomme das hier

07.08.10 17:18:27 VPN-Fehler: Watchguard, IKE-Error 0x2026

IKE-Error 0x2026 "no proposal chosen"

 

[PCMor]

IKE-Error 0x2026 "no proposal chosen"

Deutet darauf hin, dass die beiden sich in der IKE-Phase (Austausch des PSK) nicht einig sind, mit welcher Verschlüsselung der Key-Exchange laufen soll.

Was in der FritzBox vpn.cfg so aussieht...

phase1ss = "all/all/all";

könnte auf der Watchguard-Seite etwas sein wie (hab eine Watchguard bisher nicht konfiguriert, kenne daher ihre Eigenschaften nicht...):

IKE Phase 1:
encryption = AES256
authentication = SHA1
DH group = 5 (MODP 1536)
lifetime = 3600 sec

Speziell die 3600 sec. Lifetime sind gesetzt, da dieser Parameter in den Fritzboxen fest eingestellt und nicht änderbar ist.
Daraus ergibt sich übrigens auch eine IPSec-Lifetime von maximal 3600 sec., da der Bestand einer IPSec-Verbindung von einer gültigen IKE-Session abhängt und eh' gekillt wird, wenn die IKE-Lifetime erreicht wird.

Guck mal, ob du so weiterkommst - ändere vielleicht auf der Watchguard-Seite die DH-Group von 5 auf 2, von dieser Encryption-Config weiß ich zumindest aus eigener Erfahrung, dass sie von der 7170 und der 7390 unterstützt werden.

Viel Spaß.