Labor-Firmware (VPN) - Hilfe

Andy-V · 17 Mrz 2007

Hallo Miteinander,

ich hoffe, dass mir hier geholfen werden kann.
Ich versuche mit der Laborfirmware 29.04.31 - 6111 mit der Fritzbox 7070 eine VPN-Verbindung herzustellen.
Bisher habe ich es auch soweit hinbekommen, dass ich auf meine FB komme. Dort wird auch schön die VPN-Verbindung als hergestellt gezeigt.
Ich bekomme jedoch auf kein Gerät, das hinter der FB hängt eine Verbindung. Weder Drucker noch NAS noch angeschlossener PC kann ich über die IP-Adresse ansprechen oder anpingen. Lediglich die FB läßt sich anpingen.
Was mach ich nur falsch? :noidea:
Muss ich noch einige Einstellungen in der FB vornehmen um Zugriff auf meinen NAS zu haben?

Viele Grüße

Andy

frank_m24 · 17 Mrz 2007

Hallo,

es gibt extra einen Thread zur Firmware, in dem solche Probleme diskutiert werden. Dort werden mehrere mögliche Ursachen für dein Problem erwähnt.
Es gibt verschiedene Sachen, die man beachten muss, wenn man eine solche Verbindung aufbaut, z.B. die verwendeten IP-Adressen usw. Neustarten der Fernverbindungssoftware hilft auch zuweilen. Lies dir einfach den Thread durch.

Viele Grüße

Frank

Andy-V · 17 Mrz 2007

Hallo,

ich habe bereits den Thread rauf und runter gelesen, sämtliche Möglichkeiten ausprobiert. Mehrmals die FB, den PC und die diversen Programme neugestartet.
Deshalb habe ich ein neues Thema eröffnet, da ich der Ansicht war, dass ich hier ein Problem habe, welches in der Form noch nicht angesprochen wurde.

Ich habe auch verschiedene cfg-Dateien mit dem AVM-Assistenten ausprobiert. Ich komme aber nur auf die FB selbst, kann jedoch innerhalb des Netzes nichts erreichen. Muss in der FB noch irgendein Port weitergeleitet werden oder irgendwelche "Sicherheitseinstellungen" vorgenommen werden. Vielleicht bin ich doch nur einfach zu doof, die Löung zu finden??

Viele Grüße

Andy

frank_m24 · 17 Mrz 2007

Hallo,

Andy-V schrieb:
Muss in der FB noch irgendein Port weitergeleitet werden oder irgendwelche "Sicherheitseinstellungen" vorgenommen werden.

Nö. Einfach die richtige Konfig auf beiden Seiten importieren, dann geht der Rest von allein.
Also du erreichst zwar die Fritz, aber nicht die PCs dahinter? Wie ist die Subnetzmaske im Konfigurationstool eingestellt?

Viele Grüße

Frank

Andy-V · 18 Mrz 2007

Hallo,

habe hier mal die cfg-Datei eingestellt. Denke mal die Subnetz ist die 255.255. ...

Code:

/*
 * C:\Dokumente und Einstellungen\andy\Anwendungsdaten\AVM\FRITZ!Fernzugang\mein_Zugang_net\fritzbox.cfg
 * Sat Mar 17 09:30:46 2007
 */

vpncfg {
        connections {
                enabled = yes;
                conn_type = conntype_user;
                name = "[email protected]";
                always_renew = no;
                reject_not_encrypted = no;
                dont_filter_netbios = yes;
                localip = 0.0.0.0;
                local_virtualip = 0.0.0.0;
                remoteip = 0.0.0.0;
                remote_virtualip = 192.168.0.35;
                remoteid {
                        user_fqdn = "[email protected]";
                }
                mode = phase1_mode_aggressive;
                phase1ss = "all/all/all";
                keytype = connkeytype_pre_shared;
                key = "b714d5:effas4-d293abvK0b19la7120e";
                cert_do_server_auth = no;
                use_nat_t = no;
                use_xauth = no;
                use_cfgmode = no;
                phase2ss = "esp-all-all/ah-none/comp-all/pfs";
                accesslist = 
                             "permit ip 192.168.0.1 255.255.255.255 192.168.0.35 255.255.255.255";
        }
        ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500", 
                            "udp 0.0.0.0:4500 0.0.0.0:4500";
}


// EOF

Viele Grüße

Andy

frank_m24 · 18 Mrz 2007

Hallo,

Andy-V schrieb:
permit ip 192.168.0.1 255.255.255.255 192.168.0.35 255.255.255.255

und da haben wir das Problem doch direkt identifiziert. Die Subnetzmaske ist falsch, die muss 255.255.255.0 lauten. Mit deiner Subnetzmaske hast du die erreichbaren Hosts auf genau einen reduziert: Die Fritzbox.
Du musst übrigens eine neue Konfiguration anlegen und erneut einspielen. Die vorhandene zu ändern geht nicht, jedenfalls hab ich das mal probiert und es hat nicht funktioniert.

Übrigens hatten wir dieses Problem schon mal. Wenn es nicht in dem Thread zu dieser Labor war, dann war es im Vorgänger. Da war aber das Problem, dass das Konfigurationstool die Veränderung des Subnetzes nicht zuließ, das Feld war ausgegraut und stand auf 255.255.255.255. Beachte also, dass das Feld auf "/24 - 255.255.255.0" steht.

Viele Grüße

Frank

Andy-V · 19 Mrz 2007

Übrigens hatten wir dieses Problem schon mal. Wenn es nicht in dem Thread zu dieser Labor war, dann war es im Vorgänger.

Hallo Frank,

muß ich dann wohl überlesen haben.
Auf jeden Fall danke ich Dir sehr. Nachdem ich eine neue CFG-Datei erstellt hatte funktioniert es. Kleine Ursache, große Wirkung.

Viele Grüße

Andy

spookyt · 24 Mrz 2007

Hallo,

ich habe ein FB7070 und versuch über die Labor FW einen VPN Zugriff zu ermöglichen. Leider gelingt es mir bisher nur, auf die Box (über ping und über browser) zugreifen. Die Rechner (egal) in welche Richtung kann ich nicht anpingen.

Die Fritzbox hab ich in 192.198.178.x laufen. Beide Netzwerke laufen in der gleichen subnet Maske 255.255.255.0.

Der entfernte Rechner hat die IP 192.168.1.33 und hängt über Arcor DSL im Netz. Da ich ja die Box anpingen kann, denke ich nicht, dass ein firewall problem vorliegt. Im FB Netz soll er die 192.198.178.199

Hier die Config:

Code:

 * Sat Mar 24 21:32:55 2007
 */

vpncfg {
        connections {
                enabled = yes;
                conn_type = conntype_user;
                name = "test2";
                always_renew = no;
                reject_not_encrypted = no;
                dont_filter_netbios = yes;
                localip = 0.0.0.0;
                local_virtualip = 0.0.0.0;
                remoteip = 0.0.0.0;
                remote_virtualip = 192.198.178.199;
                remoteid {
                        user_fqdn = "test2";
                }
                mode = phase1_mode_aggressive;
                phase1ss = "all/all/all";
                keytype = connkeytype_pre_shared;
                key = ".....";
                cert_do_server_auth = no;
                use_nat_t = no;
                use_xauth = no;
                use_cfgmode = no;
                phase2ss = "esp-all-all/ah-none/comp-all/pfs";
                accesslist = 
                             "permit ip 192.198.178.0 255.255.255.0 192.198.178.199 255.255.255.255";
        }
        ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500", 
                            "udp 0.0.0.0:4500 0.0.0.0:4500";
}


// EOF

und hier die zweite:

Code:

 * Sat Mar 24 21:32:55 2007
 */

version {
        revision = "$Revision: 1.30 $";
        creatversion = "1.1";
}


pwcheck {
}


datapipecfg {
        security = dpsec_quiet;
        icmp {
                ignore_echo_requests = no;
                destunreach_rate {
                        burstfactor = 6;
                        timeout = 1;
                }
                timeexceeded_rate {
                        burstfactor = 6;
                        timeout = 1;
                }
                echoreply_rate {
                        burstfactor = 6;
                        timeout = 1;
                }
        }
        masqtimeouts {
                tcp = 15m;
                tcp_fin = 2m;
                tcp_rst = 3s;
                udp = 5m;
                icmp = 30s;
                got_icmp_error = 15s;
                any = 5m;
                tcp_connect = 6m;
                tcp_listen = 2m;
        }
        ipfwlow {
                input {
                }
                output {
                }
        }
        ipfwhigh {
                input {
                }
                output {
                }
        }
        NAT_T_keepalive_interval = 20;
}


targets {
        policies {
                name = "s......net";
                connect_on_channelup = no;
                always_renew = no;
                reject_not_encrypted = no;
                dont_filter_netbios = yes;
                localip = 0.0.0.0;
                virtualip = 192.198.178.199;
                remoteip = 0.0.0.0;
                remotehostname = "s.....net";
                localid {
                        user_fqdn = "test2";
                }
                mode = mode_aggressive;
                phase1ss = "all/all/all";
                keytype = keytype_pre_shared;
                key = ".....";
                cert_do_server_auth = no;
                use_nat_t = no;
                use_xauth = no;
                use_cfgmode = no;
                phase2ss = "esp-all-all/ah-none/comp-all/pfs";
                accesslist = "permit ip any 192.198.178.0 255.255.255.0";
                wakeupremote = no;
        }
}


policybindings {
}


// EOF

Kann mir jemand helfen?

Tausend Dank!!

frank_m24 · 24 Mrz 2007

Hallo,

@spookyt: In deinen Konfigs sind noch etliche persönliche Daten, u.a. Keys und dyndns Adressen. Nimm sie besser raus.

Und dann ist da das hier:

spookyt schrieb:
192.198.178.199

spookyt schrieb:
"permit ip 192.198.178.0 255.255.255.0 192.198.178.199 255.255.255.255";

spookyt schrieb:
accesslist = "permit ip any 192.198.178.0 255.255.255.0";

Das muss wahrscheinlich 168 heißen. Alles andere wäre jedenfalls sehr fragwürdig.

Viele Grüße

Frank

spookyt · 25 Mrz 2007

frank_m24 schrieb:
Das muss wahrscheinlich 168 heißen. Alles andere wäre jedenfalls sehr fragwürdig.

Frank

Nein, ich habe tatsächlich den Adressraum geändert. Nur um sicherzustellen, dass es auch in einem anderen nicht funktioniert. Aber egal ob 168 oder 198, ich komme nur auf die Box.

Gruß!!

frank_m24 · 25 Mrz 2007

Hallo,

198 solltest du auf keinen Fall nehmen. Damit wird es eine öffentliche IP und für den Einsatz hinter einer Fritzbox nicht vorgesehen. Unabhängig von den Problemen, die intern im Netz der Box auftreten, verhinderst du damit auch den Zugriff auf viele Internetserver.

Also gehe lieber den vernünftigen Weg. Erstelle eine neue Konfiguration (mit einer korrekten privaten IP). Danach setze die Fritzbox auf Werkseinstellungen zurück, gib alle Daten von Hand neu ein und importiere die neue VPN Konfig.

spookyt schrieb:
Da ich ja die Box anpingen kann, denke ich nicht, dass ein firewall problem vorliegt.

Das sagt nur was über den Client aus. Aber was ist mit den Servern hinter der Fritzbox? Sind dort die Firewall-Einstellungen korrekt?

Viele Grüße

Frank

Languages

Suche

Languages

Suche

Labor-Firmware (VPN) - Hilfe

Andy-V

Neuer User

frank_m24

IPPF-Urgestein

Andy-V

Neuer User

frank_m24

IPPF-Urgestein

Andy-V

Neuer User

frank_m24

IPPF-Urgestein

Andy-V

Neuer User

spookyt

Neuer User

frank_m24

IPPF-Urgestein

spookyt

Neuer User

frank_m24

IPPF-Urgestein

Zurzeit aktive Besucher

Neueste Beiträge

Statistik des Forums