[Problem] Über VPN verbundene IP630 Telefone sind nicht richtig bei der Telefonanlage registriert?

[edv-oellinger]

Hallo,

Es handelt sich hier um ein Folgethema zu 318606 mit der Änderung, dass wir am Standort A die Firewall nun auch getauscht haben.

Wir haben folgende Konstellation:

Standort A:

• hybird 300 Telefonanlage mit IP 192.168.2.250
• Zyxel USG Flex 100 Firewall mit IP 192.168.2.254
• IPSEC IKEv2 VPN zu Standort B

Standort B:

• elmeg IP630 Telefone
• Zyxel USG Flex 700H Firewall mit IP 192.168.8.254
• IPSEC IKEv2 VPN zu Standort A

Nun zum Problem:
Das Ursprüngliche Problem, dass die Telefone die Verbindung zur Telefonanlage komplett verlieren, wurde mit dem Tausch der RS123w-4G Firewall auf eine Zyxel USG Flex 100 am Standort A behoben.
Leider verbinden sich die Telefone immer noch nicht ganz richtig mit der Telefonanlage.
Man kann ganz normal ohne Unterbrechungen telefonieren, jedoch die Telefone nicht provisionieren.
Konfigurationen die man somit auf der Telefonanlage selbst ändert, landen nicht bei den Telefonen (z.B. Tastenbelegung).
Wenn manuell eine Registrierung über die Web GUI des Telefons gestartet wird, dann bekommen wir immer die Meldung "Provisionierung fehlgeschlagen".

Ich bitte um Unterstützung.

Mit freundlichen Grüßen,
Simon Leonhartsberger

 

[wari1957]

Hallo @edv-oellinger ,
Administrativer Zugriff für http/https in der be.ip plus für die IPSec-Verbindung erlaubt?

 

[chrsto]

@wari1957 da die hybrid mit dem VPN nichts zu tun hat, sondern von den Geräten von Zyxel hergestellt wird, sollte das egal sein.

@edv-oellinger Im ursprünglichen Beitrag seid ihr von Ikev2 auf v1 zurück und habt geschrieben, dass es jetzt funktioniert. Gab es dort diesen Fehler auch schon? Habt ihr einen Trace gemacht, um zu gucken, was passiert?

 

[tango501]

Werden bei der Zyxel USG Flex 100 Firewall und der Zyxel USG Flex 700H Firewall jeweils die aktuellen Firmwarestände genutzt? Bitte um Mitteilung der Firmwarestände.

Es hat auch Änderungen bei IKE2 in den Firmwareständen gegeben.

https://download.zyxel.com/USG_FLEX_100/firmware/USG%20FLEX%20100_5.38(ABUH.0)C0_2.pdf

https://download.zyxel.com/USG_FLEX_700H/firmware/USG%20FLEX%20700H_1.20(ABZI.0)C0_2.pdf

Wenn es nur zwei Standorte gibt, warum wird dann nicht an beiden Standorten eine baugleiche Firewall mit der identischen Firmware eingesetzt?

 

[edv-oellinger]

[Edit Novize: Überflüssiges Fullquote des Beitrags #2 gelöscht - siehe Forumsregeln]

Es ist eine alte hybird 300, ab ja, der administrative Zugriff ist erlaubt.

[Edit Novize: Beiträge zusammengefasst - siehe Forumsregeln]

[Edit Novize: Überflüssiges Fullquote des Beitrags #3 gelöscht - siehe Forumsregeln]

Den Fehler gab es mit ikev1 auch bereits. Also ursprünglich war es dieser Fehler + dass Registrierungen immer komplett abgebrochen sind nach einigen Minuten. Mit ikev1 wurde der Fehler mit den Unterbrechungen behoben, jedoch nicht, dass die Telefone nicht provisioniert werden können.

Wir dachten uns, wenn wir die 2. Firewall auch auf eine Zyxel tauschen wird das vielleicht wieder funktionieren, jedoch ist dem nicht so.

[Edit Novize: Beiträge zusammengefasst - siehe Forumsregeln]

[Edit Novize: Überflüssiges Fullquote des Beitrags direkt darüber (#4) gelöscht - siehe Forumsregeln]

Wie bist Du zur 1.2er gekommen - ich habe gedacht, die ist erst für Ende Mai angekündigt?
- USG Flex 100 mit V5.38(ABUH.0)
- USG Flex 700H mit V1.10(ABZI.1)
wobei anzumerken ist, dass die "H" Serie doch eine völlig andere Baureihe mit teils gravierenden Unterschieden ist.

Es gibt insgesamt 4 Standorte, die zu unterschiedlichen Zeiten entstanden sind und sich teils deutlich unterscheiden, 40Mb DSL, 200Mb Glas
Hinter der USG Flex 100 hängt praktisch nur die Telefonanlage, die von dem anderen Standort aus erreicht werden muss (USG Flex 700H).

Danke.

 

[chrsto]

@edv-oellinger könnt ihr dann mal auf dem Router am Standort des Telefons einen Trace starten? Dann eine manuelle Provisionierung auslösen, in der Hoffnung, dass man auf dem Trace etwas sieht.

Ich bin mir nicht sicher, aber das Telefon kann bestimmt auch irgendwelche Debug Logs liefern. Das könnte ggf. auch weiterhelfen.

 

[edv-oellinger]

Anbei der PCAP Trace vom Telefon.
Provisionierungslink http://192.168.2.250/eg_prov

 

[tango501]

Wie bist Du zur 1.2er gekommen - ich habe gedacht, die ist erst für Ende Mai angekündigt?

USG FLEX H Series, ZyWALL Security Firewall, Version V1.20(A___.0)C0
April 18, 2024
Bug Fix
[Bug Fix][eITS#231201247][ZNGA-4256] IKEv2 remote VPN connection cannot access internet.
[Bug Fix][eITS#240101639][ZNGA-4474] IKEv2 with Windows native client cannot be connected.
IPsec VPN
[ZNGA-4754][Alpha#1526] [IPSec VPN] My FLEX 200HP VTI interface ping check cannot trigger IKE negotiation.
[ZNGA-4728][Beta#1518]IKEv2 C2S Routing Issue.

 

[chrsto]

In dem Trace kann man die Anforderung der XML über HTTP sehen, dann geht es weiter mit https. Da hier aber weiterhin Daten übertragen werden, behaupte ich jetzt einfach mal, dass das VPN soweit in Ordnung ist.

Über http://192.168.8.188/#/Expert kommst du in ein erweitertes Menü des Telefons, wo du Logs einsehen, runterladen, oder zu einem Syslog Server schicken kannst. Damit solltest du erstmal weiterkommen, oder?

 

[Novize]

@edv-oellinger wie wäre es, wenn Du so langsam mal die Forumsregeln einhältst, wie wir alle andern auch?
Oft genug haben wir nun hinter Dir her geputzt und Dir jedes Mal(!) eine Nachricht darüber zukommen ließen.

 

[tango501]

dass die "H" Serie doch eine völlig andere Baureihe mit teils gravierenden Unterschieden ist

Deshalb hatte ich bereits gefragt, warum nicht an allen Standorten die gleiche Hardware oder zumindest Hardware aus der gleichen ZyWALL USG FLEX H Serie (USG FLEX 100H / USG FLEX 100HP / USG FLEX 200H / USG FLEX 200HP / USG FLEX / 500H / USG FLEX 700H) eingestzt wird.

Sind noch Router von elmeg im Einsatz oder nur noch die hybird 300 an einem Standort?
Hat es VOHER mit den elmeg Routern mit IKEv1 funktioniert oder gab es da schon Probleme?

 

[edv-oellinger]

Mich hätte interessiert, wo Du die 1.2er her bekommen hast - die Doku kenne ich auch

Keine Ahnung. Bisher waren die IPsec Tunnel problemlos. Die Probleme fingen an, als wir in der Zentrale die neue 700H bekommen haben. Ein "Downgrade" der Tunnel auf IKEv1 hat einen Teil der Probleme behoben, aber nicht alle. IKEv1 ist aber sicher kein "Plan" auf Dauer, ist immer mühsam und viel komplizierter, besonders herstellerübergreifend. IKEv2 gibt es jetzt wohl schon seit 15(?) Jahren, irgendwann muss Schluss sein.
Dann habe wir noch den rs123 gegen die Zywall 100 getauscht.

Eine be.ip Swift gibt es noch, aber die hat schon Zyxel Software und hat mit dieser Strecke nichts zu tun.
Es geht um eine Verbindung Flex 100 <> 700H

 

[tango501]

Mich hätte interessiert, wo Du die 1.2er her bekommen hast

Firmware 1.20(ABZI.0)C0 English April 22, 2024

Download Library | Zyxel Networks

Zyxel Networks is a leading provider of secure, AI-powered cloud networking solutions for SMBs and the enterprise edge, ensuring seamless connectivity and robust security.

www.zyxel.com

 

[wari1957]

@edv-oellinger
Ist im IP630 alle Zertifikate akzeptieren auf Ja gesetzt?

 

[edv-oellinger]

mir gibt es leider nicht, muss mich einloggen ins Nebula und dann wird es nicht aufgelistet,
vielleicht hast Du mehr Rechte ... .

 

[tango501]

muss mich einloggen ins Nebula und dann wird es nicht aufgelistet

Bitte mal den folgenden Link zu Einwahl nutzen:

myZyxel

accounts.myzyxel.com

Auf der linken Seite unter - Devices Management - Firmware Download das Modell auswählen.
Es sollten eigentlich die letzten drei Firmwareversionen auswählbar sein. Was schon häufiger vorkam: die Version, welche zuerst angezeigt wurde, war nicht die neuste Version. Über Dropdown alle verfügbaren Versionen anzeigen lassen und auf die Versionsnummern schauen und nicht auf die Sortierreihenfolge.