[Problem] Fritzbox vor Lancom VPN Router

[tiani]

Hallo. Wir betreiben aktuell zwei Lancom Router, mit denen zwei Netzwerke über VPN miteinander verbunden sind. Bisher ist vor den Routern je ein DSL Modem geschaltet über das die Router dann die Verbindung ins Internet aufbauen.
Nun wurde an einem Standort ein EWE VDSL Anschluss geschaltet (aktuell noch zusätzlich zum alten Telekom DSL Anschluss, der erst in ein paar Wochen deaktiviert wird). Zum Anschluss gab es eine Fritzbox 7490 dazu. Telefon wird weiterhin über klassisches ISDN, unabhängig von der Fritzbox laufen.

Nun würde ich diese Fritzbox gern als Modem vor dem Lancom Router betreiben (gleichzeitig aber auch als WLAN Accesspoint für den reinen Gastzugang ohne Zugriff auf das interne Netzwerk). Ist das so möglich?
Meine bisherigen Versuche waren leider nicht erfolgreich. Es funktionierte zwar grundsätzlich, aber die VPN Verbindung zwischen den Lancom Routern konnte nicht mehr aufgebaut werden. Gelesen hatte ich, dass in der Fritzbox keine VPN Einstellungen vorhanden sein dürfen, damit diese VPN Verbindung der Lancom Router durchleitet, aber dort waren sowieso keine Profile eingetragen.
Weiter muss die Fritzbox ja so konfiguriert werden, dass sie nicht als DHCP Server auftritt, diese Funktion übernimmt ja schon der Lancom Router.
Welche Schritte muss ich beachten, gibt es evtl. eine Anleitung?

 

[tiani]

Keiner hier der mir helfen kann?

 

[qwertz.asdfgh]

Nun würde ich diese Fritzbox gern als Modem vor dem Lancom Router betreiben (gleichzeitig aber auch als WLAN Accesspoint für den reinen Gastzugang ohne Zugriff auf das interne Netzwerk). Ist das so möglich?

Über die (offiziellen) Konfigurationsmöglichkeiten per WebIf nur wenn die FritzBox als DSL-Router eingesetzt wird und nicht als DSL-Modem.

Es funktionierte zwar grundsätzlich, aber die VPN Verbindung zwischen den Lancom Routern konnte nicht mehr aufgebaut werden.

Stichworte: Portweiterleitung (Exposed Host, ESP ...), VPN-Konfiguration...

Weiter muss die Fritzbox ja so konfiguriert werden, dass sie nicht als DHCP Server auftritt, diese Funktion übernimmt ja schon der Lancom Router.

Was mich jetzt ein wenig schockiert, wer Lancom-Router (in einem Unternehmen) administriert sollte m.E. von der Thematik etwas mehr verstehen* (der DHCP-Server des vorgelagerten Router, hier FritzBox, muss z.B. nicht deaktiviert werden bei einer Routerkaskade, kann aber wenn man WAN-seitig beim Lancom mit statischen IP-Adressen arbeitet).


*)
Ja ich weiß, dass die Praxis leider etwas anders aussieht.

 

[tiani]

Danke, an den Port Weiterleitungen hatte ich mich schon versucht, mich dann aber von der Fritzbox ausgesperrt bei der Vergabe einer festen IP.
Wie muss die Konfiguration denn aussehen, die Fritzbox braucht eine feste IP die außerhalb oder innerhalb des internen Adressbereichs des Lancoms liegt? Der Lancom Router und alle weiteren Geräte dahinter haben eine feste IP, ein DHCP Server sollte aber trotzdem aktiv sein.
Das man im Wlan keinen Zugriff auf das interne Netzwerk hat kann man sicherlich über die Lancom Firewall regeln. Somit könnte die Fritzbox eine Art Gast Wlan bereitstellen.

 

[Theo Tintensich]

Welche Art von VPN soll denn eingesetzt werden?

IPsec? Welche Version?
Ein SSL-VPN?

Eine Möglichkeit wäre es, die F!B als Router vor dem Lancom-Router zu haben und ein doppeltes NAT einzusetzen (Routerkaskade).
Dann musst du alle Ports, die für den Tunnel gebraucht (IPsecV1: 4500/udp, 500/udp, GRE) werden, in der F!B 1:1 auf das "WAN"-Interface des Lancom weiterleiten.

Auf die F!B kommst du dann nur noch, wenn du einen Client in das "WAN" des Lancom-Gerätes hängst, und, wenn du die F!B per IP-Adresse ihren "LAN"-Interfaces ansprichst.

WAN o----o F!B o-(LAN 192.168.178.1)--(192.168.168.2 WAN Lancom)--o Lancom o-- (192.168.1.1)-- LAN Lancom

 

[Pokemon20021]

Dann musst du alle Ports, die für den Tunnel gebraucht (IPsecV1: 4500/udp, 500/udp, GRE) werden, in der F!B 1:1 auf das "WAN"-Interface des Lancom weiterleiten.

das Weiterleiterleiten des GRE-Protokolls (im Sinne von Destination-NATing) wird wohl nicht funktionieren,
Portforwardings können IRRC nur für tcp-/udp-protokoll definiert werden;

bei IPsec-IKEv1 ist Port UDP/4500 für NAT-T zuständig und deshalb besonders wichtig.