[Frage] Zwei FritzBoxen per VPN verbunden, Netzte routen

[scraemgo]

Hallo zusammen,

ich habe zwei Fritz!Boxen, die ich mit dem eingebauten VPN verbunden habe:

FRITZ!Box 7390 FRITZ!Box 7490
192.168.110.0/24 192.168.120.0/24

Funktioniert soweit auch alles super. Jetzt möchte ich bei der 7490 eine Route einrichten, damit zu einer bestimmten IP-Range über die 7390 ins Internet geroutet wird. Ich weiß aber nicht, wohin ich das Netz routen soll, da ich in der 7490 kein VPN-Interface sehe. Wo liegt das Problem?

 

[PeterPawn]

Braucht keine Route, nur eine passende "accesslist" in der VPN-Konfiguration (eigentlich in beiden, sonst kommt nichts zurück) ... jedenfalls solange die Standardroute über "dev dsl" geht.

 

[scraemgo]

Danke ich passe das mal an. In der 7490 müsste es dann so aussehen: "permit ip any 56.80.117.0 255.255.255.0".
Der Rückweg ist mir aber nicht ganz klar, da dieser standardmäßig ja schon erlaubt sein sollte.

 

[PeterPawn]

Ne, da stimmt - wenn ich das nicht falsch verstehe - eigentlich gar nichts.

Wenn die 7490 "eine bestimmte IP-Range über die 7390 ins Internet" routen soll, dann muß der Traffic für diese Quell-Range für die Verschlüsselung selektiert werden, das sähe dann etwa so aus:

permit ip 192.168.120.16 255.255.255.240 any any

um den gesamten Verkehr von der 192.168.120.17 bis zur 192.168.120.30 über die 7390 zu routen.

Auf der 7390 müßten tatsächlich schon die passenden Selektoren vorhanden sein, denn die 192.168.120.0/24 sollte da schon bekannt sein, genau wie die Tatsache, daß die über die 7490 erreichbar sind.

 

[scraemgo]

Danke, dein Vorschlag würde in der Tat passen, wenn ich die Quell-Range zur 7390 routen möchte.
Allerdings interessiert mich aber nur die Ziel-Range. Sobald diese im Netz 56.80.117.0/24 liegt, soll der Traffic dahin zur 7390 geroutet werden.

Habe aber mittlerweile deinen und meinen Vorschlag getestet, funktioniert beides nicht ;-)

 

[PeterPawn]

Ok, das ging aus Deiner Formulierung nun beim besten Willen nicht hervor. Vielleicht änderst Du ja in #1 noch in etwa so: "damit zu einer bestimmten IP-Range über die 7390 ins Internet geroutet wird.", damit merken andere Leser das schon im ersten Beitrag.

Wenn Du schreibst, das funktioniert bei Dir auch nicht mit Deiner Variante (die dann korrekt wäre), muß das einen Grund haben und da hilft dann wieder ein Packetdump. Auf der "Routing-Schnittstelle" ist das noch alles Klartext, auf der "1. Internetverbindung" sollte ein IPSec-Paket für jedes Paket in Richtung dieses Subnetzes zu sehen sein. Wenn Du das mit "ping" sauber testest, müßtest Du zumindest sehen können, ob die accesslist wirkt oder nicht. Es gibt eigentlich keinen Grund, warum das nicht gehen sollte (zumindest sehe ich ihn nicht auf Anhieb).

 

[scraemgo]

Danke für deine Hilfe. Mit den Dumps konnte ich jetzt verifizieren, dass die ESP-Pakete auf jeden Fall richtig geroutet werden. Warum es dann noch nicht klappt werde ich vielleicht morgen herausfinden können. Muss also auf jeden Fall an der 7390-Seite liegen.