VPN Lan-Lan Kopplung + Roadwarrior

[FerdiFuchs]

Hallo,

ich habe 2 FritzBoxen 7170 per Lan-Lan Kopplung miteinander verbunden.
Box "A" mit dem Subnetz 192.168.5.0 sowie
Box "B" mit dem Subnetz 192.168.6.0.
Verbindung funktioniert auch einwandfrei, mein Problem ist nun das ich mich per Laptop zu Fritzbox "B" verbinde (funktioniert auch)
allerdings nicht auf Rechner des 192.168.5.0er Netzes zugreifen kann. (Client bekommt die IP 192.168.6.99).

Die Config von Fritzbox "B" sie folgendermassen aus:

vpncfg {
        connections {
                enabled = yes;
                conn_type = conntype_lan;
                name = "bla.dyndns.org";
                always_renew = no;
                reject_not_encrypted = no;
                dont_filter_netbios = yes;
                localip = 0.0.0.0;
                local_virtualip = 0.0.0.0;
                remoteip = 0.0.0.0;
                remote_virtualip = 0.0.0.0;
                remotehostname = "blubb.dyndns.org";
                localid {
                        fqdn = "bla.dyndns.org";
                }
                remoteid {
                        fqdn = "blubb.dyndns.org";
                }
                mode = phase1_mode_aggressive;
                phase1ss = "all/all/all";
                keytype = connkeytype_pre_shared;
                key = "123";
                cert_do_server_auth = no;
                use_nat_t = yes;
                use_xauth = no;
                use_cfgmode = no;
                phase2localid {
                        ipnet {
                                ipaddr = 192.168.6.0;
                                mask = 255.255.255.0;
                        }
                }
                phase2remoteid {
                        ipnet {
                                ipaddr = 192.168.5.0;
                                mask = 255.255.255.0;
                        }
                }
                phase2ss = "esp-all-all/ah-none/comp-all/pfs";
                accesslist = "permit ip any 192.168.5.0 255.255.255.0";
        } {
                enabled = yes;
                conn_type = conntype_user;
                name = "blabla";
                always_renew = no;
                reject_not_encrypted = no;
                dont_filter_netbios = yes;
                localip = 0.0.0.0;
                local_virtualip = 0.0.0.0;
                remoteip = 0.0.0.0;
                remote_virtualip = 192.168.6.99;
                remoteid {
                        user_fqdn = "[email protected]";
                }
                mode = phase1_mode_aggressive;
                phase1ss = "all/all/all";
                keytype = connkeytype_pre_shared;
                key = "xyz";
                cert_do_server_auth = no;
                use_nat_t = yes;
                use_xauth = no;
                use_cfgmode = no;
                phase2localid {
                        ipnet {
                                ipaddr = 192.168.6.0;
                                mask = 255.255.255.0;
                        }
                }
                phase2remoteid {
                        ipaddr = 192.168.6.99;
                }
                phase2ss = "esp-all-all/ah-none/comp-all/pfs";
                accesslist = 
                             "permit ip 192.168.6.0 255.255.255.0 192.168.6.99 255.255.255.255",
			     "permit ip 192.168.5.0 255.255.255.0 192.168.6.99 255.255.255.255";
        }
        ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500", 
                            "udp 0.0.0.0:4500 0.0.0.0:4500";
}


// EOF

Habe die Zeile "permit ip 192.168.5.0 255.255.255.0 192.168.6.99 255.255.255.255"" in der Config eingefügt,
im Client (IPSecuritas) das Netz 192.168.5.0 hinzugefügt sowie "use_nat_t" auf yes gesetzt.

Leider kann ich trotzallem nicht auf Rechner des ...5.0er Netzes zugreifen.
Muss ich auf Box "A" eine Route einfügen, obwohl das ...6.0er Netz der Box bekannt ist ?

Vielen Dank für eure Antworten !

 

[eisbaerin]

Beschreibe bitte die "LAN-LAN Kopplung" genauer. Ich kann mir noch kein richtiges Bild von Deiner Situation machen.

 

[ramone astral]

client accesslist / phase2remoteid

hallo ferdifuchs,

ich kann von mir berichten, ohne die expertise zu sein , dass bei mir das setup funktioniert wie du es dir vorstellst.

jedoch ( ) :
in der config für den client hast du bestimmt auch die accesslist erweitert ... auf das zwote netz (.5.0 box A).

bei mir gibt es in der config für die box B (.6.0) in dem bereich für die client config kein eintrag für phase2remoteid ....
--> phase2remoteid {
ipaddr = 192.168.6.99;
}
<--
fehlt bei mir !

vielleicht ist dein key="123" nicht komplex genug

HTH