Ports auf freetz über vpn nicht erreichbar?

shcshc · 25 Jan 2010

Habe da folgendes Problem:

Habe 2 Fritzboxen über vpn(avm) vernetzt.
Klappt auch kann aus beiden Netzen auf Drucker, Rechner... zugreifen.

Jetzt habe ich auf der Fritzbox eine Anwendung laufen mit einem bestimmten Port. Z.B. 4711.
Diesen Port habe ich über die ar7... Datei auf die Fritzbox weitergeleitet. Über meine Dyndns Adresse funktioniert auch die Kommunikation. Wenn ich jetzt aber nicht dyndns nehme sondern die IP-Adresse direkt über die vpn- Strecke, funktionierts nicht. Einer ne Idee was ich machen kann?
Wenn ich im eigenen Netz bin, klappt die Kommunikation auch. Nur leider über die VPN- Strecke von der anderen Box aus nicht!

sf3978 · 25 Jan 2010

shcshc schrieb:
[...]Wenn ich jetzt aber nicht dyndns nehme sondern die IP-Adresse direkt über die vpn- Strecke, funktionierts nicht. Einer ne Idee was ich machen kann?
Wenn ich im eigenen Netz bin, klappt die Kommunikation auch. Nur leider über die VPN- Strecke von der anderen Box aus nicht!

Es liegt am nicht vorhandenen source-NAT. Kannst mit iptables lösen.

shcshc · 25 Jan 2010

Ganz dumm gefragt: Was muß ich mit iptables machen?

sf3978 · 25 Jan 2010

Source-NAT (S-NAT) solltest Du mit iptables machen. Such mal hier im Forum.
Klick

RalfFriedl · 25 Jan 2010

shcshc schrieb:
Diesen Port habe ich über die ar7 Datei auf die Fritzbox weitergeleitet.

Weiterleitungen über ar7 funktionieren nur von Außen.
Warum verwendest Du überhaupt eine Weiterleitung, wenn Du ein VPN hast? Da sollte doch jeder Rechner mit jedem anderen Kontakt haben.

shcshc · 25 Jan 2010

Wenn ich die Portweiterleitung rausnehme, habe ich das Problem dann nicht?

RalfFriedl · 25 Jan 2010

Ob Du das Problem dann noch hast oder nicht kannst Du selbst am schnellsten feststellen.

Der Zugriff von Außen und der von Innen sind aber zwei verschiedene Dinge. Wenn Du hier nicht Rätselraten betreiben lassen willst, dann schreib mal genau auf, was Du vorhast, was nicht geht. Wie schon angedeutet, sollte ein Zugriff über VPN ohne irgendwelche Weiterleitungen funktionieren.

sf3978 · 26 Jan 2010

Auch ohne Portweiterleitung, kannst Du ohne S-NAT, im VPN nicht von einer Box auf die andere Box, Mach mal im VPN ein Ping von einer Box auf die andere Box, mal mit Angabe der Quelle und mal ohne Angabe der Quelle.

RalfFriedl · 26 Jan 2010

Ich verwende zwar kein VPN auf der Box, aber auf meinem Linux-VPN kann ich das andere Gateway anpingen, auch ohne Quell-Adresse. Wenn das nicht funktioniert, liegt das an unvollständigen Routen-Einträgen. S-NAT mag dafür auch eine Lösung sein.

shcshc · 26 Jan 2010

Hab auch mal Ping versucht. Leider keine Antwort. Da liegt der Hase also begraben.
Mit Sourceangabe gehts tatsächlich. Aber leider nicht ohne.

sf3978 · 26 Jan 2010

Poste mal die Ausgabe von "route".

shcshc · 26 Jan 2010

Kernel IP routing table
Destination Gateway Genmask Flags Metric Ref Use Iface
192.168.180.1 * 255.255.255.255 UH 2 0 0 dsl
192.168.2.201 * 255.255.255.255 UH 2 0 0 dsl
192.168.180.2 * 255.255.255.255 UH 2 0 0 dsl
84.136.172.54 * 255.255.255.255 UH 2 0 0 dsl
192.168.2.0 * 255.255.255.0 U 0 0 0 lan
169.254.0.0 * 255.255.0.0 U 0 0 0 lan
default * 0.0.0.0 U 2 0 0 dsl

diese box hat 192.168.2.50
die andere 192.168.1.50

MaxMuster · 26 Jan 2010

Das liegt wohl daran, dass du IPSec benutzt. Da werden nur "passende" Pakete eingepackt und getunnelt. Und "passend" sind bei dir nur die zwischen den beiden LANs. Wenn du vom Router direkt pingst, wird die "WAN-IP" als Absende-IP genutzt, und die ist im IPSec nicht vorhanden.
Workaround wäre die explizite Absende-Adresse oder ggf. die Erweiterung der IPSec Regeln um die WAN-IP aus Box-Sicht (169.254.2.1). Für noch mehr Input: Das gleiche Thema ist auch hier schon diskutiert worden.

Jörg

sf3978 · 26 Jan 2010

Versuch es mal mit dieser iptables-Regel:

Code:

iptables -t nat -A POSTROUTING -s 169.254.0.0/12 -d 192.168.1.50 -o dsl -j SNAT --to-source 192.168.2.50

Evtl. musst Du -s und/oder -o ändern/anpassen in "-s 192.168.0.0/12" bzw. "-o lan".

shcshc · 26 Jan 2010

Jetzt verstehe ich so langsam.

RalfFriedl · 26 Jan 2010

Schau mal, daß Du das "ip"-Applet in der Busybox konfigurierst und zeige mal die Ausgabe von "ip ro".
Außerdem beschwer Dich mal bei AVM, daß das VPN nicht richtig funktioniert.

shcshc · 26 Jan 2010

Dafür muß ich mir erstmal freetz neu kompilieren mit iptables

RalfFriedl · 26 Jan 2010

Nein, dafür mußt Du Freetz neu kompilieren mit aktiviertem ip-Applet. Sofern das nicht schon sowieso aktiv ist.

shcshc · 26 Jan 2010

Meinte ja auch User: sf3978 mit iptables

MaxMuster · 26 Jan 2010

Könntest du mal versuchen, die cfg-Datei anzupassen? So dass da eine zweite "permit" Zeile drin ist, die von der "WAN-IP" in das LAN geht, so in etwa:

"permit ip 169.254.2.1 255.255.255.255 192.168.1.50 255.255.255.255"

Auf der Gegenseite müsste dann das umgekehrte rein.

Ist aber gut möglich, dass das nicht geht, weil diese IP ja nur virtuell ist und auf beiden Seiten von der Box genutzt wird.

Jörg

Ports auf freetz über vpn nicht erreichbar?

Neuer User

IPPF-Promi

Neuer User

IPPF-Promi

IPPF-Urgestein

Neuer User

IPPF-Urgestein

IPPF-Promi

IPPF-Urgestein

Neuer User

IPPF-Promi

Neuer User

IPPF-Promi

IPPF-Promi

Neuer User

IPPF-Urgestein

Neuer User

IPPF-Urgestein

Neuer User

IPPF-Promi

Statistik des Forums