VPN-Laborversion Einrichten

[KastenKai]

Hallo Forum!

Vielleicht kann mir jemand bei folgender Problemstellung weiterhelfen: In unserem Firmennetzwerk ist ein WD Netcenter NAS integriert auf das mehrere Benutzer auch von zu Hause zugreifen sollen. Dazu wollten wir die Fritzbox 7170 mit Labor Firmware-Version von AVM nutzen.

Bisher habe ich folgendes eingerichtet:

• DynDNS Account bei dyndns.org

• Accountdaten in Fritzbox eingerichtet

• Konfigurationsdateien erzeugt und in Fritzbox und Fernzugangstool auf dem Heimrechner eingelesen

Ein Verbindungsaufbau mittels Fernzugangstool hat bisher allerdings noch nicht funktioniert.

Meine Frage ist nun diese: Hat jemand schon eine Verbindung mit der Labor-Software herstellen können, bzw. ist die Fritzbox für unsere Randbedingungen überhaupt geeignet?

Freue mich auf jegliche Hinweise und Anregungen.

Gruß, Karsten

 

[frank_m24]

Hallo,

ja, das sollte gehen. Siehe auch: neue Labor Firmware 29.04.31-6111 (VPN Feature).

Ein Verbindungsaufbau mittels Fernzugangstool hat bisher allerdings noch nicht funktioniert.

Könntest du das ein wenig präzisieren? Was passiert? Kommt gar keine Verbindung zustande? Gibts eine Fehlermeldung?
Oder fließen keine Daten? Kannst du die Hosts im Netz nicht erreichen? Hast du dich bei der Einrichtung an die Anleitung von AVM gehalten (besonders wichtig ist der Bereich über die unterschiedlichen Subnetze)? Wie ist die Subnetzmaske eingestellt (da scheint es einen Bug im Fernzugangs-Einrichtungs-Tool zu geben, wenn man nicht das Standard-Subnetz der Box 192.168.178.0 benutzt)?

Viele Grüße

Frank

 

[KastenKai]

Hallo!

Um es ein wenig genauer zu machen: Nach dem anklicken der gewünschten Verbindung im Verbindungstool passiert gar nichts... Es gibt weder eine Fehlermeldung noch irgendetwas anderes.

Was die IPs und Subnetzmaske betrifft, sind die Einstellungen für unser Netzwerk: IPs 192.168.0.xxx; Subnetz 255.255.255.0

Die Fritzbox ist gleichzeitig als DHCP-Server eingestellt.

Was kann ich tun um den Fehler zu identifizieren.

Gruß, Karsten

 

[frank_m24]

Hallo,

Du solltest die Sache systematisch angehen.

1. Funktioniert dyndns? Kannst du die dyndns-Adresse anpingen und liefert sie die richtige, aktuelle IP der Fritzbox zurück?
2. Ist diese Adresse von allen Clients aus erreichbar?
3. Haben die Clients freien Zugriff auf Internet? Also keine Einschränkung bei Protokollen und Ports? Es muss auf jeden Fall ein korrektes VPN Passthorugh gewährleistet sein.
4. Kontrolliere noch mal die IP-Einstellungen der Fernzugangs-Konfiguration. Ist die Subnetzmaske korrekt? Sobald man die verändert im Fernzugangs-Einrichtungs-Tool, kann es passieren, dass die Subnetzmaske nicht mehr korrekt eingestellt werden kann. Passt die virtuelle IP zum Subnetz?
5. Ist die Internet-Verbindung des VPN Server stark ausgelastet? Läuft z.B. P2P? Die Erfahrung lehrt, dass starke Belastung der Internetverbindung den VPN Server aus dem Tritt bringt.

Viele Grüße

Frank

 

[KastenKai]

Hallo!

Danke für die vielen Hinweise. Ich werde die Punkte mal der Reihe nach abarbeiten. Bisher kann ich nur folgendes feststellen bzw. bestätigen:

1. dyndns Adresse kann ich anpingen und liefert auch die in der Fritzbox angezeigte IP.
2. Von den gewünschten Clients kann die Adresse angepingt werden.

Was den VPN Passthrough betrifft würde ich dich bitten mir ein wenig auf die Beine zu helfen. Gleiches gilt für Einstellungen der Fernzugangskonfiguration. In der Fritzbox gibt es nur die eine Seite zum hinterlegen der Dyndns Informationen und mittels Tool habe ich nichts weiter eingestellt. Die Auslastung der Verbindung ist relativ gering, daher denke ich, dass hier kein Problem vorliegen sollte.

Gruß, Karsten

 

[frank_m24]

Hallo,

ein "vernünftiges VPN Passthrough" bedeutet, dass von den PCs der Clients ein VPN Zugang problemlos möglich ist. Es kann verschiedene Gründe geben, die einen VPN Zugang verhindern können, z.B.:

• Eine Firewall. In vielen Firmen oder Uni-Netzen kann man nicht auf VPN Server nach draußen zugreifen.
• Der Internet-Zugang. Gerade bei drahtlosen Zugängen (Hotspots) oder zuweilen auch bei Kabelinternet bekommt man eine private IP, die über einen NAT Router geht. Dort ist ein VPN Zugang nicht gewährleistet. Besonders beliebt sind auch Mobilfunk-Zugänge, auch hier blocken einige Anbieter die VPN Nutzung (und wollen dafür extra Kohle).
• Der Router beim Client. Nicht alle Router behandeln VPN Pakete richtig, und IPSec (wie es die Fritz nutzt) über NAT ist eh schon besonders tückisch. Ein störrischer Router macht die Kommunikation schnell ganz zunichte.
• Virenscanner oder Firewall Software auf dem PC mit dem VPN Client. Da die AVM Fernzugangssoftware keine virtuelle Netzwerkkarte benutzt, sondern einen Netzwerkdienst, kann man Software-Firewalls nur schwer damit anfreunden.
• Sonstige Treiber oder Software-Probleme. Z.B. alte Treiberleichen nicht mehr vorhandener Hardware, andere VPN Clients, falsche MTU Einstellungen ... Die Liste ist endlos.

Die Fernzugangskonfiguration muss natürlich zum Subnetz der Fritzbox passen. Du schreibst, dass die Box das Subnetz 192.168.0.0/24 benutzt. Folglich muss auch in dem Fernzugangs-Einrichtungs-Tool dieses Subnetz (192.168.0.0) und vor allem die dazu passende Subnetzmaske (24 - 255.255.255.0) eingestellt werden. Und genau dort wird zuweilen von einem Bug berichtet. So kann man diese Subnetzmaske nicht verändern, wenn man vom Standard-Subnetz der box (192.168.178.0) abweicht. Sie steht dann immer auf "32 - 255.255.255.255", was zuverlässig den Zugriff auf Hosts im Netz verhindert.
Selbstverständlich muss auch die virtuelle IP des Clients entsprechend aus dem Subnetz vergeben werden, z.B. 192.168.0.201.

Das Symptom, dass beim Verbindungsaufbau schlicht nichts passiert, deutet eher auf ein Problem aus dem ersten Block hin, also generell beim Zugriff auf den VPN Server. Die Tipps aus dem zweiten Block kommen eher zum tragen, wenn zwar eine Verbindung aufgebaut wurde, aber keine Daten fließen.

Viele Grüße

Frank