[Problem] VPN zwischen 3 Fritzboxen routen

[reinher]

Hallo,

um die meistgestellte Rückfrage zuerst zu beantworten: Ja, ich habe die Suche bereits genutzt. Auch die von Dr. Google! :-|

Ich habe zur Veranschaulichung eine Grafik erstellt:



Ich habe ein kleines Netzwerk aus über VPN-Verbundenen Fritzboxen. Box 2 und Box 3 sind via VPN mit Box 1 verbunden.
Nun möchte ich über den grün dargestellten Weg von Box 2 auf Box 3, und umgekehrt, zugreifen.

Kann mir jemand sagen mit welcher config ich das bewerkstellige. Ich habe bereits einiges ausprobiert. Sicherungsdatei von Hand anpassen etc. . Letzendlich konnte ich in den Boxen 2 und 3 nie eine statische Route speichern weil das Vorhaben mit der Meldung
"Die IPv4-Adresse liegt nicht innerhalb des IPv4-Netzwerkes der FRITZ!Box."
ein jähes Ende nahm.

VPN zwischen Box 1 und Box 2 sowie Box 1 und Box 3 funktioniert einwandfrei.

Aus meiner Sicht gibt es noch ein paar Lücken. Wie kann ich z.B. mir alle routen der Boxen anzeigen lassen. Bei showroutes vermisse ich die Route zur VPN-Gegenstelle.
Wird ein separates Interface für VPN-Tunnel erstellt? Welches?

Ich hoffe mir ist zu helfen!

Grüße

 

[Tieflieger]

noch eine VPN-Verbindung zwischen 12 und 3 aufbauen.

 

[reinher]

Hallo Tiefflieger,

das ist genau das was ich nicht will. Alle VPNs sollen Zentral an der Box 1 terminieren. Die hat den dafür geeigneten Internetzugang.

 

[Telefonmännchen]

Die hat den dafür geeigneten Internetzugang.

Was qualifiziert diesen Internetzugang? Die feste IP (kann man mit DynDNS oder der AVM-Lösung MyFRITZ! umgehen). Wenn es an der Uploadrate liegt, dann ist das völlig egal, denn das Limit ist der Upload der Boxen 2 und 3. Da kann auch die 1er nichts reißen. Unabhängig davon ist das von AVM nicht so vorgesehen, aber Du kannst mal schauen, ob Du mit der Anleitung "Über eine VPN-Verbindung auf mehrere IP-Netzwerke hinter einer FRITZ!Box zugreifen" weiterkommst.

Gruß Telefonmännchen

 

[eigs]

Was qualifiziert diesen Internetzugang?

Eingehende Verbindungen sind möglich.
Wenn das bei 2 Internetzugängen nicht möglich ist, dann können sich die 2 auch nicht direkt miteinander verbinden.

 

[KunterBunter]

Unabhängig davon ist das von AVM nicht so vorgesehen, aber Du kannst mal schauen, ob Du mit der Anleitung "Über eine VPN-Verbindung auf mehrere IP-Netzwerke hinter einer FRITZ!Box zugreifen" weiterkommst.

Unabhängig davon ist "VPN-Hopping" nicht möglich, man kann sich nicht von VPN zu VPN durchs Netz hangeln.

 

[Telefonmännchen]

Unabhängig davon ist "VPN-Hopping" nicht möglich,..

Mit Bordmitteln der FritzBox vielleicht nicht, weil vermutlich das Setzen der Routen im GUI unterbunden wird. weil man ja für die Routen kein gültiges separates Gateway zum anderen Netz hat, welches man dedizert ansprechen kann. Theoretisch möglich ist das aber schon, denn eigentlich ist es nur ein weiteres über ein Transfernetz (an Box1) erreichbares Netzwerk. Probiert habe ich es allerdings noch nicht, weil ich für meinen Fall für alle beteiligten Boxen (3+1) kein "Erreichbarkeitsproblem" habe.

Da ich das aber produktiv einsetze, möchte ich da nicht dran rumprobieren und es über die Feiertage auf den Bauch legen. Mein VPN hat eine physische Ausdehnung von 600km und ich befinde mich derzeit am weitesten entfernten Knotenpunkt und habe keine Kompetenz vor Ort (sind alle ausgeflogen bzw. unterwegs hierher).

Gruß Telefonmännchen

EDIT:
Mir ist noch was aufgefallen:

Eingehende Verbindungen sind möglich.

Sind die beteiligten Boxen vielleicht im gleichen (Provider-)Netz? Wenn der Provider das interne Routing nicht unterbindet, "sehen" sich die Boxen vielleicht. Einfach mal Fernwartung aktivieren und über die IP gegenseitig zugreifen. Vielleicht funktioniert es ja.

 

[bytegetter]

Gibts da mittlerweile eine Lösung für?

 

[PeterPawn]

Ja.

 

[eisbaerin]

Ergänzend:
Die Lösung gab es auch schon damals (und sogar noch mind. 5 Jahre eher) und ist schon öfters hier im Forum beschrieben.

Aber es macht wenig Sinn. Warum nicht den VPN zwischen 2 und 3 aufbauen?

 

[bytegetter]

Weils nicht immer gewollt ist, und tlw. auch nicht geht.

Weitere Vorteile:
1 VPN pro Box (letzendlich sollen 6 Boxen ins VPN, dann müsste jede mit jeder anderen ein eigenes VPN haben)
Einzelne VPN-Clients lassen sich leichter herausnehmen, ohne die Config aller Teilnehmer ändern zu müssen

 

[PeterPawn]

@eisbaerin:
Das ist selbst bei AVM passend dokumentiert und mehr als leicht zu finden (daher sah ich auch keine Notwendigkeit, das weiter auszuführen).

Aus der Sicht von Box2 und Box3 liegt halt wechselseitig die jeweils andere hinter der Box1 (dafür gibt es KB-Artikel) und für Box1 sind das zwei Verbindungen. Da ist absolut nichts Geheimnisvolles oder Neues dabei ... hatte ich lange mit "racoon" auf einem Linux-Server als "Box1" und mehr als diesen zwei "Clients" im Einsatz; genauso kann man das auch mit einer FRITZ!Box als "Box1" realisieren. Allerdings immer vorausgesetzt, man hat eine passende Box und macht sich vorher die Grenzen einer solchen Lösung klar ... sie hat ja auch einen entscheidenden Nachteil (der nur zu gerne übersehen wird).

Da natürlich auch auf Box1 der Traffic für jede einzelne Verbindung ent- und neu verschlüsselt wird, ist der erzielbare Durchsatz bei so einer Konstruktion einfach unterirdisch. Eine 7490 schafft vielleicht (in Abhängigkeit von der Güte der Verschlüsselung und ich gehe hier mal von "sicher" aus - AES256 und SHA1 (hier kann man das noch verwenden)) eine VPN-Verbindung mit ~ 1 MByte/s (als Hausnummer) zu bedienen ... das begrenzt schon den Durchsatz zwischen Box2 und Box3 auf die Hälfte dieses Wertes (also ~ 500 KByte/s) und das kann man ja jetzt mal auf drei mögliche "Connections" hochrechnen. Bei sechs Boxen, die jeweils nur direkt miteinander kommunizieren, hat man halt drei mögliche Verbindungen, die mit vollem Speed parallel arbeiten könnten(!) ... geht der Traffic dieser drei Verbindungen über eine "Zentrale", ergibt das einen (mind.) um den Faktor 2,5 verringerten (Gesamt-)Durchsatz (weil die "Zentrale" für die dritte Verbindung ja selbst die Gegenstelle wäre (bei 6 Boxen), fällt einmal Ent-/Verschlüsseln weg).

Solange man da nachts irgendwelche Textdateien synchronisiert, mag das gehen ... Dienste mit der Notwendigkeit garantierter Antwortzeiten (selbst SIP-Telefonate) werden aber schon zum Risiko, wenn die "Zentrale" zu wenig Power hat, weil hier auch QoS-Maßnahmen aus dem FRITZ!OS eigentlich nicht greifen, denn die Daten kommen an diesen Stellen gar nicht vorbei und alles, was mit "packet acceleration" zu tun hat, greift natürlich auch nicht, weil die Daten erst einmal entschlüsselt werden müssen (auf der Box).

Das ist also (gerade dann, wenn der "Stern" nicht nur zwei Zacken hat) ohnehin eine eher ungewöhnliche Konfiguration, die nur in einem engen "Fenster" bei den Ansprüchen an Durchsatz und "reliability" überhaupt Sinn macht (mit einer FRITZ!Box als "Zentrale" - mit einem "ordentlichen" Gateway ist es dann wieder nur eine Frage der Anbindung).