"Split-VPN" benutzen

[Jojojoxx]

Hallo!

Ich habe folgendes Problem und würde gerne wissen, ob es möglich ist dieses mit der Fritzbox zu lösen. Ich hätte gerne, dass Anfragen an ganz bestimmte Hosts nicht "ganz normal" übers Internet rausgehen, sondern über einen VPN-Tunnel laufen. Das ganze hat folgenden Sinn:
Ich habe bestimmte Seiten von der Uni, die nur netzintern aufgerufen werden können. Diese Seiten würde ich dann gerne automatisiert über die Fritzbox ins Uni-Netz routen lassen. Geht das?
Danke euch!
mfg

Jojo

 

[frank_m24]

Hallo,

wo werden die Seiten denn genau gehostet? Auf Servern im Uni-Netz? Und welche VPN Technologie willst du benutzen? OpenVPN?

Generell ist es so: Damit man spezifische Seiten über VPN statt über Internet erreichen kann, muss die Route für diese Server auf den VPN Tunnel zeigen. Das geht immer dann problemlos, wenn die Server im Zielsubnetz des VPN Servers stehen. Sonst muss man manuell nachhelfen.

Und da fangen dann die Probleme an: Das geht nicht mit jeder VPN Lösung. Mit OpenVPN würde es gehen, mit AVM wird es schon schwieriger.

 

[Jojojoxx]

Ja soweit ich weiß liegen die Seiten auf Servern im Uninetz. Welche VPN Technologie ich nutzen will weiß ich nicht, weil ich nicht weiß welche dafür am besten ist Aber wie ich deinem Post entnehme ist OpenVPN das richtige. Nehme ich dann Freetz mit OpenVPN?

 

[frank_m24]

Hallo,

kommt drauf an. Was für ein VPN Server läuft denn an der Uni? Der Client muss ja dazu passen. Gibt es z.B. einen Cisco VPN Concentrator bei euch, dann hilft OpenVPN dir nicht weiter.

Aber wenn die Server im Uni-Netz sind, ist das auch egal. Der Zugriff darauf klappt normalerweise immer, auch mit AVM VPN. Genau dafür ist VPN ja da.

 

[Jojojoxx]

Ja der ganze Kram läuft soweit ich weiß mit Cisco. Ich kann allerdings auch über eine ganz normale PPTP-Verbindung mich "einwählen". Kann AVM VPN denn auch dieses "Splitting" betreiben? Ich möchte nicht den ganzen Traffic durch die Uni schleusen.

 

[frank_m24]

Hallo,

AVM kann sogar nur dieses "Splitting" und leitet nur den Verkehr ins Ziel-Subnetz über die VPN Verbindung.

Im AVM VPN Portal gibt es Anleitungen, wie man die Fritzbox an Cisco VPN Server anmelden kann.

 

[Jojojoxx]

Perfekt!
Dann werd ich mich da mal durchlesen. Vielen Dank schonmal!

 

[Jojojoxx]

So, ich hab mir jetzt mal eine Konfigurationsdatei erstellt, aber beim Import erhalte ich den Fehler "Der Import der VPN-Einstellungen ist fehlgeschlagen".
So sieht meine cfg aus (Kennwörter natürlich entfernt):

/*
 * C:\fritzbox.cfg
 * Fri Feb 19 23:22:09 2009
 */

vpncfg {
        connections {
                enabled = yes;
                conn_type = conntype_lan;
                name = "UniVPN";
                always_renew = no;
                reject_not_encrypted = no;
                dont_filter_netbios = yes;
                localip = 0.0.0.0;
                remoteip = "SERVER-IP";
                localid {
                        user_fqdn = "Gruppenname";
                }
                mode = phase1_mode_aggressive;
                phase1ss = "all/all/all";
                keytype = connkeytype_pre_shared;
                key = "Gruppenkennwort";
                cert_do_server_auth = no;
                use_nat_t = no;
                use_xauth = yes;
			xauth {
				valid = yes;
				username = "Benutzername";
				passwd = "Kennwort";
			}
                use_cfgmode = yes;
                phase2ss = "esp-all-all/ah-all/comp-all/no-pfs";
                accesslist = "permit ip any 192.168.0.0 255.255.255.0";
        }
        ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500", 
                            "udp 0.0.0.0:4500 0.0.0.0:4500";
}


// EOF

Woran könnte das liegen?

 

[frank_m24]

Hallo,

ich hab auch schon die Erfahrung gemacht, dass das AVM VPN sehr wählerisch in Bezug auf die Konfig Files ist. Ein falscher Zeilenumbruch, ein falsches TAB, und nichts geht mehr.

Empfehlung: Lasse eine Konfig vom Tool erzeugen und passe die an, in dem du möglichst wenig veränderst.

 

[Jojojoxx]

Hi!

Ich habe die Konfig durch das AVM-Tool erzeugen lassen, aber es klappt nicht
Hast du eine Konfig für diesen Zweck die funktioniert? Wenn ja, könntest du mir die (natürlich mit entfernten persönlichen Daten ) zusenden?
mfg

Jojo

 

[frank_m24]

Hallo,

so funktioniert es bei mir:

/*
 * C:\co\fritzbox.cfg
 * Fri Feb 29 20:44:09 2008
 */

vpncfg {
        connections {
                enabled = yes;
                conn_type = conntype_lan;
                name = "[COLOR="Blue"]Firma[/COLOR]";
                always_renew = no;
                reject_not_encrypted = no;
                dont_filter_netbios = yes;
                localip = 0.0.0.0;
                remoteip = [COLOR="Blue"]<IP-des-Gateways>[/COLOR];
                localid {
                        user_fqdn = "[COLOR="Blue"]Gruppenname[/COLOR]";
                }
                mode = phase1_mode_aggressive;
                phase1ss = "all/all/all";
                keytype = connkeytype_pre_shared;
                key = "[COLOR="Blue"]Gruppenpasswort[/COLOR]";
                cert_do_server_auth = no;
                use_nat_t = no;
                use_xauth = yes;
			xauth {
				valid = yes;
				username = "[COLOR="Blue"]Username[/COLOR]";
				passwd = "[COLOR="Blue"]Passwort[/COLOR]";
			}
                use_cfgmode = yes;
                phase2ss = "esp-all-all/ah-all/comp-all/no-pfs";
                accesslist = "permit ip any [COLOR="Blue"]192.168.0.0 255.255.255.0[/COLOR]";
        }
        ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500", 
                            "udp 0.0.0.0:4500 0.0.0.0:4500";
}


// EOF

Die anzupassenden Einstellungen sind blau eingefärbt.

 

[Jojojoxx]

Hi!

Ich habe das jetzt noch einmal probiert und die Datei und Linux bearbeitet. Jetzt konnte ich die Datei erfolgreich importieren.
Allerdings funktioniert das VPN immer noch nicht, denn ich kann auf Uni-interne Seiten nicht zugreifen. Der Status wird folgendermaßen in der Fritzbox angezeigt (Anhang).
Hast du noch eine Idee?
Danke!
mfg

Jojo

 

[frank_m24]

Hallo,

hmm, kein grüner Punkt. Sieht nicht so aus, als ob die Verbindung schon existiert.

Hast du die IP-Einstellungen in der Konfig angepasst?

 

[Jojojoxx]

Ja, hab ich alles eingetragen.

 

[frank_m24]

Hallo,

tja, ich denke, jetzt ist es an der Zeit, dich mit dem Admins an der RWTH in Verbindung zu setzen und mal die Error-Logs zu scannen, ob ihr was sehen könnt. Von außen wird es nun schwer, das zu debuggen.

Evtl. kannst du auch den Logs der Fritzbox was entnehmen. Mit freetz drauf kann man die auswerten (vielleicht auch ohne freetz, aber da bin ich nicht sicher, wie).