Hallo zusammen,
ich möchte gerne einen StrongSwan VPN Server aufbauen, zu dem sich mehrere Fritzboxen verbinden können. Ich bekomme aber keine Verbindung aufgebaut :-(
Zuerstmal zum Server:
Der Server ist ein Linux Debian, der unter Hyper-V auf einem Windows 2012 R2 Server läuft. Er ist erreichbar über:
öffentliche IP: 138.201.xxx.xxx
FQDN: vpn.domain.de
Begonnen habe ich mit der ersten Fritzbox:
Modell: 7490
FQDN: standort1.domain.de (wird per DDNS immer auf die öffentliche IP der Fritzbox gesetzt)
Subnet: 192.168.1.0/24
Folgende Konfiguration habe ich auf dem Server:
In die Fritzbox habe ich die folgende Konfiguration importiert:
IPSec kann auf dem Server ohne Fehler gestartet werden.
In der Fritzbox sehe ich allerdings nur die Meldung
Auf dem Server finde ich keine Meldung im Log.
Starte ich die Verbindung vom Server aus, steht im Log:
Weitere Fritzboxen von anderen Standorten sollen dazukommen, wenn der erste läuft.
Kann mir jemand weiterhelfen, wo es noch klemmt?
Vergleichbare Konfigurationen habe ich per google + Foren Suche schon gefunden, haben aber leider nicht geholfen :-(
Können mir evtl. noch Firewall Regeln fehlen? Muss ich auf dem Hyper-V Host noch etwas einstellen? Brauche ich ggf. noch virtuelle Netzwerkkarten im Server? Aktuell zeigt mir ifconfig:
iptables zeigt:
Vielen Dank im Voraus!
Schöne Grüße
Daniel
ich möchte gerne einen StrongSwan VPN Server aufbauen, zu dem sich mehrere Fritzboxen verbinden können. Ich bekomme aber keine Verbindung aufgebaut :-(
Zuerstmal zum Server:
Der Server ist ein Linux Debian, der unter Hyper-V auf einem Windows 2012 R2 Server läuft. Er ist erreichbar über:
öffentliche IP: 138.201.xxx.xxx
FQDN: vpn.domain.de
Begonnen habe ich mit der ersten Fritzbox:
Modell: 7490
FQDN: standort1.domain.de (wird per DDNS immer auf die öffentliche IP der Fritzbox gesetzt)
Subnet: 192.168.1.0/24
Folgende Konfiguration habe ich auf dem Server:
Code:
# ipsec.conf - strongSwan IPsec configuration file
config setup
conn FritzBoxStandort1
left=138.201.xxx.xxx
leftsubnet=192.168.5.0/24
ike=aes128-sha-modp1024
esp=aes128-sha1
right=standort1.domain.de
[email protected]
rightsubnet=192.168.1.0/24
ikelifetime=4h
keylife=1h
authby=secret
auto=add
Code:
# ipsec.secrets - strongSwan IPsec configuration file
138.201.xxx.xxx @standort1.domain.de : PSK "ganzGeheim!!"In die Fritzbox habe ich die folgende Konfiguration importiert:
Code:
vpncfg {
connections {
enabled = yes;
conn_type = conntype_lan;
name = "138.201.xxx.xxx";
always_renew = no;
reject_not_encrypted = no;
dont_filter_netbios = yes;
localip = 0.0.0.0;
local_virtualip = 0.0.0.0;
remoteip = 138.201.xxx.xxx;
remote_virtualip = 0.0.0.0;
localid {
fqdn = "standort1.domain.de";
}
remoteid {
ipaddr = 138.201.xxx.xxx;
}
mode = phase1_mode_aggressive;
phase1ss = "all/all/all";
keytype = connkeytype_pre_shared;
key = "ganzGeheim!!";
cert_do_server_auth = no;
use_nat_t = yes;
use_xauth = no;
use_cfgmode = no;
phase2localid {
ipnet {
ipaddr = 192.168.1.0;
mask = 255.255.255.0;
}
}
phase2remoteid {
ipnet {
ipaddr = 192.168.5.0;
mask = 255.255.255.0;
}
}
phase2ss = "esp-all-all/ah-none/comp-all/pfs";
accesslist = "permit ip any 192.168.5.0 255.255.255.0";
}
ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500",
"udp 0.0.0.0:4500 0.0.0.0:4500";
}IPSec kann auf dem Server ohne Fehler gestartet werden.
In der Fritzbox sehe ich allerdings nur die Meldung
Code:
[TABLE="class: zebra printBlock"]
[TR]
[TD="class: fix"]01.06.16
[/TD]
[TD="class: fix"]23:32:31[/TD]
[TD][URL="http://fritz.box/help/help.lua?sid=475b2ec3bc41d184&helppage=hilfe_syslog_122.html"]VPN-Fehler: 138.201.xxx.xxx, IKE-Error 0x1c [8 Meldungen seit 01.06.16 23:14:33][/URL][/TD]
[/TR]
[/TABLE]Auf dem Server finde ich keine Meldung im Log.
Starte ich die Verbindung vom Server aus, steht im Log:
Code:
Jun 1 23:43:09 srv charon: 09[IKE] initiating IKE_SA FritzBoxStandort1[1] to 77.11.36.abc
Jun 1 23:43:09 srv charon: 09[ENC] generating IKE_SA_INIT request 0 [ SA KE No N(NATD_S_IP) N(NATD_D_IP) ]
Jun 1 23:43:09 srv charon: 09[NET] sending packet: from 138.201.xxx.xxxx[500] to 77.11.36.abc[500] (940 bytes)
Jun 1 23:43:13 srv charon: 11[IKE] retransmit 1 of request with message ID 0
Jun 1 23:43:13 srv charon: 11[NET] sending packet: from 138.201.xxx.xxxx[500] to 77.11.36.abc[500] (940 bytes)
Jun 1 23:43:20 srv charon: 12[IKE] retransmit 2 of request with message ID 0
Jun 1 23:43:20 srv charon: 12[NET] sending packet: from 138.201.xxx.xxxx[500] to 77.11.36.abc[500] (940 bytes)
Jun 1 23:43:33 srv charon: 04[IKE] retransmit 3 of request with message ID 0
Jun 1 23:43:33 srv charon: 04[NET] sending packet: from 138.201.xxx.xxxx[500] to 77.11.36.abc[500] (940 bytes)
Jun 1 23:43:56 srv charon: 02[IKE] retransmit 4 of request with message ID 0
Jun 1 23:43:56 srv charon: 02[NET] sending packet: from 138.201.xxx.xxxx[500] to 77.11.36.abc[500] (940 bytes)
Jun 1 23:44:38 srv charon: 01[IKE] retransmit 5 of request with message ID 0
Jun 1 23:44:38 srv charon: 01[NET] sending packet: from 138.201.xxx.xxxx[500] to 77.11.36.abc[500] (940 bytes)
Jun 1 23:45:54 srv charon: 06[IKE] giving up after 5 retransmits
Jun 1 23:45:54 srv charon: 06[IKE] establishing IKE_SA failed, peer not respondingWeitere Fritzboxen von anderen Standorten sollen dazukommen, wenn der erste läuft.
Kann mir jemand weiterhelfen, wo es noch klemmt?
Vergleichbare Konfigurationen habe ich per google + Foren Suche schon gefunden, haben aber leider nicht geholfen :-(
Können mir evtl. noch Firewall Regeln fehlen? Muss ich auf dem Hyper-V Host noch etwas einstellen? Brauche ich ggf. noch virtuelle Netzwerkkarten im Server? Aktuell zeigt mir ifconfig:
Code:
eth0 Link encap:Ethernet Hardware Adresse 00:50:56:00:aa:bb
inet Adresse:138.201.xxx.xxx Bcast:138.201.xxx.xxx Maske:255.255.255.192
inet6-Adresse: fe80::250:1231:fe00:20bc/64 Gültigkeitsbereich:Verbindung
UP BROADCAST RUNNING MULTICAST MTU:1500 Metrik:1
RX packets:21949 errors:0 dropped:0 overruns:0 frame:0
TX packets:20753 errors:0 dropped:0 overruns:0 carrier:0
Kollisionen:0 Sendewarteschlangenlänge:1000
RX bytes:13098608 (12.4 MiB) TX bytes:1929940 (1.8 MiB)
lo Link encap:Lokale Schleife
inet Adresse:127.0.0.1 Maske:255.0.0.0
inet6-Adresse: ::1/128 Gültigkeitsbereich:Maschine
UP LOOPBACK RUNNING MTU:65536 Metrik:1
RX packets:0 errors:0 dropped:0 overruns:0 frame:0
TX packets:0 errors:0 dropped:0 overruns:0 carrier:0
Kollisionen:0 Sendewarteschlangenlänge:0
RX bytes:0 (0.0 B) TX bytes:0 (0.0 B)iptables zeigt:
Code:
Chain INPUT (policy ACCEPT)
target prot opt source destination
ACCEPT esp -- anywhere anywhere
ACCEPT udp -- anywhere anywhere udp dpt:isakmp
ACCEPT udp -- anywhere anywhere udp dpt:ipsec-nat-t
ACCEPT esp -- anywhere anywhere
ACCEPT esp -- anywhere anywhere
ACCEPT udp -- anywhere anywhere udp dpt:isakmp
ACCEPT udp -- anywhere anywhere udp dpt:ipsec-nat-t
Chain FORWARD (policy ACCEPT)
target prot opt source destination
Chain OUTPUT (policy ACCEPT)
target prot opt source destinationVielen Dank im Voraus!
Schöne Grüße
Daniel
