[Frage] Welche IKE/IPSec Strategie ab FW 7.2x?

Killom

Neuer User
Mitglied seit
8 Feb 2020
Beiträge
11
Punkte für Reaktionen
0
Punkte
1
Guten Tag an alle,

seit der 7.2x funktioniert das IKE DH15 Proposal "dh15/aes/sha" (bei meiner 3490/6490) FritzBox nicht mehr ordentlich, man bekommt keine Verbindung mehr zu Stande. (Vermute beim DH14 und DH5 wirds ähnlich aussehen) Der Support bei AVM weiß natürlich von nix, und bekommt (angeblich) von den Entwicklern auch kein Feedback dazu. (Falls hier AVM intern wer mit liest: Ticket-ID 4489365) Es wird lediglich dazu geraten, die internen Assistenten zu verwenden. Vor der 7.2x lief es zumindest stabil und der Durchsatz reichte für RDP Sitzungen / flüssige Wiedergabe von FLAC-Audio (im Schnitt so 1,2MB/s). Seit der 7.2x wurde die Sache aber scheinbar kaputt optimiert. AVM zu AVM funktioniert gar nicht mehr und AVM zu LANCOM ist nicht mehr stabil.

Mit dem "LT8h/all/all/all" Proposal läuft die Verbindung wieder sauber - aber "nur" in DH2. AVM schreibt auf deren Seite:
"Die FRITZ!Box nutzt beim Schlüsselaustausch über Diffie-Hellman initial 1024 Bit (DH-Gruppe 2). Sie akzeptiert danach aber auch 768, 1536, 2048 und 3072 Bit (DH-Gruppe 1, 5, 14 und 15)."

Wie bringe ich die Box denn dazu, danach in eine andere DH Gruppe zu wechseln? Oder kann die das nicht selber und muss das die Gegenseite regeln? Initial scheint DH15 nicht mehr zu funktionieren (ging unter 7.12 noch!)
 
Zuletzt bearbeitet:

GokuSS4

Mitglied
Mitglied seit
15 Apr 2008
Beiträge
702
Punkte für Reaktionen
16
Punkte
18
am besten einfach auf Wireguard umsteigen, dazu reicht ein Raspberry Pi :)
damit hat sich das ganze AVM VPN gefrickel auch erledigt
 
  • Like
Reaktionen: Peter_Lehmann

Killom

Neuer User
Mitglied seit
8 Feb 2020
Beiträge
11
Punkte für Reaktionen
0
Punkte
1
Ja ist mir schon klar. Aber ich hatte nicht vor zu resignieren :D

Klar könnte ich mir nen RPI hinstellen. Habe dann aber wieder Geld ausgegeben und ein zusätzliches Gerät im Haus, welches Strom frisst. Die FB habe ich da - und im Produktivbetrieb. Für meinen Privatkram reicht die "Leistung" der Box auch aus und prinzipiell funktioniert die VPN mit den Boxen ja auch - nur halt mit Luft nach oben.
 

OctoMax

Neuer User
Mitglied seit
27 Jan 2005
Beiträge
56
Punkte für Reaktionen
0
Punkte
6
Vielleicht plattform-spezifisch? Läuft bei mir zwischen einer 7590 und 7590 AX mit dh15 und LT8h problemlos seit zig Firmware-Updates.

1635242268158.png
 

StAugustin

Neuer User
Mitglied seit
20 Feb 2017
Beiträge
93
Punkte für Reaktionen
14
Punkte
8
Hier juckelt ein Lancom 1781 VAW erst zu einer 7530 und nun zu einer 5490 mit DH15/AES256/SHA2-512 quasi ununterbrochen rum.
Ich habe an der Lifetime nicht gedreht, sie beträgt 3600.
 

Killom

Neuer User
Mitglied seit
8 Feb 2020
Beiträge
11
Punkte für Reaktionen
0
Punkte
1
Vielleicht plattform-spezifisch? Läuft bei mir zwischen einer 7590 und 7590 AX mit dh15 und LT8h problemlos seit zig Firmware-Updates.

Anhang anzeigen 113642
Hier juckelt ein Lancom 1781 VAW erst zu einer 7530 und nun zu einer 5490 mit DH15/AES256/SHA2-512 quasi ununterbrochen rum.
Ich habe an der Lifetime nicht gedreht, sie beträgt 3600.

Könnt ihr mal die Configs posten? Vielleicht mache ich ja bei mir etwas anders oder falsch xD
 

OctoMax

Neuer User
Mitglied seit
27 Jan 2005
Beiträge
56
Punkte für Reaktionen
0
Punkte
6
klar

vpncfg {
vpncfg_version = 1;
connections {
enabled = yes;
editable = yes;
conn_type = conntype_lan;
name = "R407";
boxuser_id = 0;
always_renew = no;
reject_not_encrypted = no;
dont_filter_netbios = no;
localip = 0.0.0.0;
local_virtualip = 0.0.0.0;
remoteip = 0.0.0.0;
remote_virtualip = 0.0.0.0;
remotehostname = "xxx.myfritz.net";
keepalive_ip = 0.0.0.0;
localid {
fqdn = "xxx";
}
remoteid {
fqdn = "xxx";
}
mode = phase1_mode_aggressive;
phase1ss = "dh15/aes/sha";
keytype = connkeytype_pre_shared;
key = "xxx";
cert_do_server_auth = no;
use_nat_t = yes;
use_xauth = no;
use_cfgmode = no;
phase2localid {
ipnet {
ipaddr = 192.168.124.0;
mask = 255.255.255.0;
}
}
phase2remoteid {
ipnet {
ipaddr = 192.168.116.0;
mask = 255.255.255.0;
}
}
phase2ss = "LT8h/esp-all-all/ah-none/comp-all/pfs";
accesslist = "permit ip any 192.168.110.0 255.255.255.0";
app_id = 0;
}
}
 

StAugustin

Neuer User
Mitglied seit
20 Feb 2017
Beiträge
93
Punkte für Reaktionen
14
Punkte
8
Hier die main mode cfg zum Lancom:

vpncfg {
connections {
enabled = yes;
conn_type = conntype_lan;
name = "NamederVPNVerbindung";
always_renew = yes;
reject_not_encrypted = no;
dont_filter_netbios = yes;
localip = 0.0.0.0;
local_virtualip = 0.0.0.0;
remoteip = 0.0.0.0;
remote_virtualip = 0.0.0.0;
remotehostname = "dyndns.adresse.gegenstelle";
localid {
fqdn = "Name der Fritzbox";
}
remoteid {
fqdn = "Name des Lancom";
}
mode = phase1_mode_idp;
phase1ss = "dh15/aes/sha";
keytype = connkeytype_pre_shared;
key = "sehrlangerkey";
cert_do_server_auth = no;
use_nat_t = no;
use_xauth = no;
use_cfgmode = no;
phase2localid {
ipnet {
ipaddr = 192.168.23.0;
mask = 255.255.255.0;
}
}
phase2remoteid {
ipnet {
ipaddr = 192.168.42.0;
mask = 255.255.255.0;
}
}
phase2ss = "esp-aes256-3des-sha/ah-no/comp-lzs-no/pfs";
accesslist = "permit ip any 192.168.42.0 255.255.255.0";
}
ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500",
"udp 0.0.0.0:4500 0.0.0.0:4500";
}


// EOF
 
Erhalten Sie 3CX für 1 Jahr kostenlos!

Gehostet, in Ihrer privaten Cloud oder on-Premise! Ganz ohne Haken. Geben Sie Ihren Namen und Ihre E-Mail an und los geht´s:

3CX
Für diese E-Mail-Adresse besteht bereits ein 3CX-Konto. Sie werden zum Kundenportal weitergeleitet, wo Sie sich anmelden oder Ihr Passwort zurücksetzen können, falls Sie dieses vergessen haben.
oder via