VPN in zwei FritzBox Subnetzen

[christian88]

Hallo,

ich habe mir in den letzten Tagen mit FritzFernzugang einen IPSEC Tunnel LAN - Client gebohrt. Klappt auch prima (nur mit Ericsson F3057g UMTS Modem nicht ).
Das Netzwerk sieht so aus.



Nun möchte ich das eigentliche Subnetz hinter der ersten FritzBox 7312 erreichen (Die erste Box dient als verhältnismäßig gutes Modem an schwacher DSL-RAM Leitung(3Mbit down - 2Mbit up). Dazu möchte ich die Konfigurationsdatei der Box erweitern.

Im folgenden seht ihr meine Beispielkonfiguration. Rot sind meine geplanten Änderungen. Würde es funktionieren. Oder hättet ihr andere Tipps?

/*
 * beispiel.cfg
 */

vpncfg {
        connections {
                enabled = yes;
                conn_type = conntype_user;
                name = "user";
                always_renew = no;
                reject_not_encrypted = no;
                dont_filter_netbios = yes;
                localip = 0.0.0.0;
                local_virtualip = 0.0.0.0;
                remoteip = 0.0.0.0;
                remote_virtualip = 192.168.178.201;
                remoteid {
                        user_fqdn = "user";
                }
                mode = phase1_mode_aggressive;
                phase1ss = "all/all/all";
                keytype = connkeytype_pre_shared;
                key = "blablablablablablablablabla";
                cert_do_server_auth = no;
                use_nat_t = yes;
                use_xauth = no;
                use_cfgmode = no;
                phase2localid {
                        ipnet {
                                ipaddr = 192.168.178.0;
                                mask = 255.255.255.0;
                        }
                }
                phase2remoteid {
                        ipaddr = 192.168.178.201;
                }
                phase2ss = "esp-all-all/ah-none/comp-all/pfs";
                accesslist = 
                             "permit ip 192.168.178.0 255.255.255.0 192.168.178.201 255.255.255.255", 
                             "[COLOR="#FF0000"]permit ip 192.168.188.0 255.255.255.0 192.168.188.201 255.255.255.255",[/COLOR]
                             "permit ip any 192.168.178.201 255.255.255.255";
        }
        ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500", 
                            "udp 0.0.0.0:4500 0.0.0.0:4500";
}


// EOF

Muss ich an der vpnuser_xx.cfg auch noch etwas ändern?

 

[PeterPawn]

Erstens funktioniert die Änderung an der Access-List so nicht (es gibt wahrscheinlich keine 192.168.188.201) und mir würde jetzt auf Anhieb auch keine einfache Lösung einfallen, wie Du vom VPN auf der 7312 auf wirklich beliebige Adressen hinter der 7390 kommst.

Zweitens stellt sich mir bei dieser Netzwerk-Topologie die Frage, warum Du die 7390 nicht einfach als "exposed host" in der 7312 einrichtest und dann direkt mit dem VPN auf dieser Box verbindest. Die 7312 soll doch offenbar nichts weiter machen, als ihr Modem (und das erste NAT, wobei das - wenn ich es richtig verstehe - auch egal wäre, wenn z.B. die 7312 nur das DSL bridgen würde und gar nicht als Router arbeitete) bereitstellen ... wenn die keine eigenen Dienst anbietet (und selbst wenn es so wäre), ist doch die 7390 der "eigentliche Router" und dann sparst Du Dir doch jede Menge "Ärger", wenn Du den gleich quasi "neben" der 7312 ins Internet stellst.

 

[christian88]

Hi, danke für den Tipp

es klappt auch nach Freigabe der VPN Ports auf der 7312 für die 7390, wobei der Sicherheitsaspekt hier eher philosophischer Natur sein dürfte.