[Gelöst] VPN: Nur Adressbereich des entfernten Netzwerkes, alles andere über lokales Internet

[prodigy7]

Hallo zusammen,

ich habe mit dem Assistenten auf meiner 7490 eine VPN-Verbindung eingerichtet, mit der ich mich problemlos mit einem VPN-Client einwählen kann. Was ich aber bemerkt habe, ist, dass komplett alles an Traffic über diese Verbindung versendet wird. Ich hätte es aber gerne so, dass nur der Zugriff auf IP-Adressen im entfernten Netz via VPN stattfindet, alles andere über die lokale Internet Verbindung. Scheinbar liege ich aber falsch, wenn ich nur die Accesslist anpasse, weil es damit nicht funktioniert hat (VPN konnte nicht mehr aufgebaut werden). Hat jemand so ein Szenario wie ich das möchte mal erfolgreich konfiguriert?

Relevanter Ausschnitt meiner Konfiguration:

{
                enabled = yes;
                editable = no;
                conn_type = conntype_user;
                name = "VPN";
                boxuser_id = 12;
                always_renew = no;
                reject_not_encrypted = no;
                dont_filter_netbios = yes;
                localip = 0.0.0.0;
                local_virtualip = 0.0.0.0;
                remoteip = 0.0.0.0;
                remote_virtualip = 192.168.100.251;
                keepalive_ip = 0.0.0.0;
                remoteid {
                        key_id = "[...]";
                }
                mode = phase1_mode_aggressive;
                phase1ss = "LT8h/all/all/all";
                keytype = connkeytype_pre_shared;
                key = "[...]";
                cert_do_server_auth = no;
                use_nat_t = yes;
                use_xauth = yes;
                xauth {
                        valid = yes;
                        username = "[...]";
                        passwd = "[...]";
                }
                use_cfgmode = yes;
                phase2localid {
                        ipnet {
                                ipaddr = 0.0.0.0;
                                mask = 0.0.0.0;
                        }
                }
                phase2remoteid {
                        ipaddr = 192.168.100.251;
                }
                phase2ss = "LT8h/esp-all-all/ah-none/comp-all/no-pfs";
                accesslist = 
                             "permit ip 0.0.0.0 0.0.0.0 192.168.100.251 255.255.255.255";
                app_id = 0;
        }

 

[andilao]

Natürlich muss der VPN-Client das dann auch unterstützen.

Zum Vergleich eine meiner VPN_CFGs, erstellt mit "FRITZ!Fernzugang einrichten":

{
                enabled = yes;
                editable = no;
                conn_type = conntype_user;
                name = "VPN";
                boxuser_id = 0;
                always_renew = no;
                reject_not_encrypted = no;
                dont_filter_netbios = yes;
                localip = 0.0.0.0;
                local_virtualip = 0.0.0.0;
                remoteip = 0.0.0.0;
                remote_virtualip = 192.168.100.251;
                keepalive_ip = 0.0.0.0;
                remoteid {
                        user_fqdn = "[...]";
                }
                mode = phase1_mode_aggressive;
                phase1ss = "all/all/all";
                keytype = connkeytype_pre_shared;
                key = "[...]";
                cert_do_server_auth = no;
                use_nat_t = yes;
                use_xauth = no;





                use_cfgmode = no;
                phase2localid {
                        ipnet {
                                ipaddr = 192.168.100.0;
                                mask = 255.255.255.0;
                        }
                }
                phase2remoteid {
                        ipaddr = 192.168.100.251;
                }
                phase2ss = "esp-all-all/ah-none/comp-all/pfs";
                accesslist = 
                             "permit ip 192.168.100.0 255.255.255.0 192.168.100.251 255.255.255.255";
                 
        }

 

[prodigy7]

Okay, manchmal hat man doch Tomaten auf den Augen! Der Network Manager bringt eine Option "Nur für Quellen dieser Verbindung verwenden" mit, welche genau das bewirkt was ich will. Ist in den Eigenschaften der Verbindung unter "IPv4-Adresse", Dropdown "Routen" zu finden.
Und ich ging erst davon aus, dass AVM VPN via Policy da etwas aufzwängt.