[Problem] Zwei Fritzboxen als Client-Server VPN

[Steffen0879]

Hallo zusammen,

weiß jemand wie bzw. ob es möglich ist zwei Fritzboxen (7270) über VPN zu verbinden, so dass die zweite Box eine IP im Netz der ersten erhält? Quasi so als wenn die zweite Box per Lan Kabel an die erste hängt, die somit mit einer IP-Adresse im ersten LAN vertreten ist und per NAT hintendran ihren eigenen IP-Bereich hat.
Eine Lan-Lan Verbindung ist aus mehreren Gründen leider nicht möglich.

Vielen Dank im Vorraus für eure Hilfe!

Sg

Steffen

 

[MaxMuster]

Wenn du auf beide Boxen Zugriff hast und eh nur die Box in das Netz der andern soll, alle Geräte dahinter aber "genattet", wird so wie so geroutet (in der "Gast-FB"). Was ist da der Unterschied zum "echten" Routen?

Zu den Fragen:
Das "per VPN in das Netz bringen" der einen FB ist möglich. Um zu Natten brauchst du ein "Interface", deshalb dürfte IPsec (das AVM-VPN) wohl nicht gehen und du müsstest z.B.OpenVPN nutzen, denke ich. Die NAT über VPN müsste per iptables erfolgen. Ob das geht hängt von der FW der Boxen ab, die neueren (05.xy) vertragen sich nicht mehr mit iptables NAT.

 

[Steffen0879]

Hallo,

vielen Dank für die Antwort!

Am Ende soll es ja "echtes" Routen sein, in meinem Fall halt über den VPN-Tunnel, wollte mit meiner Beschreibung nur verhindern, dass jemand empfiehlt ein LAN-LAN VPN in einem IP-Bereich zu basteln, was meiner Meinung nach nicht funktionieren kann (so ala FB1 192.168.178.1 - 150 und FB2 192.168.178.151-200 oder so).

Zu deiner Antwort:
Die Boxen haben beide das aktuelle FritzOS 5.50 (54.05.50), wenn ich das richtig verstehe ist der Ansatz eine Box als OpenVPN Server und eine als OpenVPN Client zu konfigurieren?
Habe bereits versucht die Konfigurationsdateien fürs AVM VPN so umzuschreiben, dass die fritzboxxxxx.cfg eher einer VPNuserxxxx.cfg gleicht, aber die hat meine Box gar nicht erst importiert, das hat dann wahrscheinlich auch keine Aussicht auf Erfolg? Bzw. ist bei der aktuellen Firmware da überhaupt was zu drehen?

Sg

Steffen

 

[MaxMuster]

Naja, zumindest mich hat das eher "verwirrt" ;-).

Wenn ich das richtig verstanden habe und du "nur" die beiden Netze verknüpfen willst, so dass beide Seiten die andere erreichen können, sollte AVM dafür sogar eine Anleitung anbieten.
Oder hab ich das falsch verstanden

 

[Steffen0879]

Hallo und Entschuldigung für die Verwirrung ,
die LAN-LAN Verbindung wie auf der Homepage beschrieben klappt problemlos, aber hier sind zwei IP-Adressbereiche nebeneinander. Ich will der zweiten Box eine IP der ersten FB zukommen lassen. Genau so wie eine Client-LAN Verbindung, nur dass die zweite Box diesen Client darstellt http://www.avm.de/de/Service/Service-Portale/Service-Portal/VPN_Interoperabilitaet/15729.php Die zweite Box soll quasi die Rolle von z.B. dem ShrewSoftVPN Clienten einnehmen.

 

[Telefonmännchen]

Die zweite Box soll quasi die Rolle von z.B. dem ShrewSoftVPN Clienten einnehmen.

Nur dann hätte nur die Box (und auch nur diese) Zugriff auf Dein Netz, weil kein ensprechendes Routing stattfindet (es wird nur eine einzige Adresse vergeben, und die hat die FritzBox). Dieser Betrieb ist maximal für die Nutzung der VoIP-Verbindung einer anderen Box nützlich. Jeglicher andere interne Netzverkehr wird unterbunden. Ob das der Sinn eines VPN ist, wage ich zu bezweifeln. Und parallele Adressen aus dem gleichen Netzwerksegment geht schon mal gar nicht, weil die FritzBoxen auf Basis des Netzwerksegmentes routen und alles was da nicht rein passt, geht über die WAN-Schnittstelle (sprich Internet). Ob Du eine sinnvolle Nutzung mit den Möglichkeiten des Webinterfaces hinbekommst, glaube ich eher nicht. Möglich ist so ein Betrieb schon, allerdings benötigt man für solche Vorhaben Profiequipement (managebare Switches u.ä., denen man entsprechende Regeln von Hand beibiegen kann).

Gruß Telefonmännchen

 

[Steffen0879]

Hallo,

danke für die Erklärung. Stimmt das ganze wird selbst wenn es funktioniert eine Einbahnstraße. Und Profiequipement spengt unseren finanziellen Rahmen. Naja, manchmal gehts halt einfach nicht. Vielen Dank nochmal für eure Mühe!

Sg

Steffen

 

[MaverrickTM]

Erzähl mal bitte ein bisschen mehr von dem was Du damit bezwecken möchtest. Eventuell gibts ja eine alternative Lösung.

 

[Steffen0879]

Hm, hatte schon gehofft ich muss den "sinnschwachen" Zweck nicht preisgeben
Es ging mir um folgendes: zwei Kumpels und ich spielen gelegentlich übers Internet, da einer in Bern, einer in Berlin und ich in der Pfalz wohne ist persönlich treffen da immer schwierig. Bei einem "Retro Abend" hatten wir uns gedacht ein paar ältere Spiele ("Jet Storm" & "Battlefield Vietnam") mal wieder auszugraben. Die Spielen schaffen es jedoch bei versch. Lan Netzen nicht sich zu finden, bzw. zu verbinden. Client-Lan VPN geht nicht, weil der Berner keine dritte VPN Software will (zwei Stück braucht er warum auch immer geschäftlich) und der Berliner auf WG PC keine VPN Software installieren kann (warum auch immer). Jedoch sind an allen 3 Orten frei zugängliche Fritzboxen, deswegen kam mir die Idee die drei zu verbinden, da hatte auch keiner was dagegegen. Und da ich wusst dass, wenn man zwei Boxen aneinander anschließt eine Box ein NAT hinter einer IP Adresse der anderen betreibt, dachte ich mir wenn das ganze per VPN geht, dann wären wir am Ziel. So, das war die haarsträubende Geschichte Achja Software VPNs wie z.B. Hamachi gehen natürlich auch nicht.
Vielen Dank für die Hilfestellung MaverrickTM, aber ohne Profihardware wirds wohl nix

 

[Telefonmännchen]

Achja Software VPNs wie z.B. Hamachi gehen natürlich auch nicht.

Dann setzen die Spiele wohl auf Broadcasting auf, um sich gegenseitig zu finden. Broadcasts werden auch über das AVM-VPN nicht weitergeleitet. Dann bleibt Euch als Alternative noch das von MS mit dem OS mitgelieferte PPTP-VPN. Das dürfte auf allen Rechnern schon vorhanden sein. Dazu sind lediglich ein paar Portweiterleitungen in den Boxen notwendig. Braucht man ja auch nur aktivieren, wenn man zocken will. Es ist zwar von der Sicherheit nicht so gut wie das AVM-VPN, aber die Sicherheit von PPTP-VPN steht und fällt mit der Länge des verwendeten Passwortes. Und das habt Ihr ja selbst in der Hand. Broadcasts sind da aber auch ein Problem.

Gruß Telefonmännchen

 

[MaverrickTM]

Naja, mir würde da ganz spontan ein Linux-basiertes Setup, auf Basis von Raspberry-pi, einfallen.

Falls Dir das nichts sagt: Rasberry Pi's sind kleine embedded Boards die einen kleinen arm-CPU besitzen. Mit den Teilen bekommst Du relativ ordentlich ein OpenVPN hin, ohne das Du in die Fritzbox eingreifen musst. Allerdings kostet solch ein Board mit SD-Card, Gehäuse und Netzteil so um die 60-80€. In der Bucht eventuell günstiger. Ist die Frage ob sich das für Dein Vorhaben lohnt.

Ansonsten gäbe es natürlich auch noch die Möglichkeit dafür eine virtuelle Maschine zu nehmen. Dafür müsstet ihr lediglich den vmware Player installieren.

Mir fällt gerade ein, dass Windows XP und 7 doch kleine VPN-Server mitbringen. Wird zwar nur pptp verwendet, aber das dürfte mehr als ausreichen. Dafür müsste einer von Euch nur einen Server konfigurieren und entsprechende Ports im Router freigeben. Die anderen beiden müssen nichts machen ausser einer Verbindung herzustellen. Das wäre wohl die effektivste Lösung für das Problem.

 

[Steffen0879]

Die Sache mit dem Rasberry Pi werde ich in meinem nächsten Urlaub mal testen, das ist eine super Idee. Werde kurzfristig mal die XP Idee testen, XP Lizenzen sind ja für wenig Geld zu haben, wird zwar einige Zeit in Anspruch nehmen hat aber echt Aussichten auf Erfolg, vielen Dank für die kreative Hilfestellung, hatte mich da zu sehr auf die Box eingerannt!