[Gelöst] IPs bei VPN-Verbindung können nicht erreicht werden

[steve0564]

Hallo Forengemeinde,

ich hab schon Einiges probiert und bin nun mit meiner Weisheit am Ende. Vielleicht kann mir wer weiterhelfen.

Folgende Konstellation:
FB 7270 am KD-Anschluss (Homebox 1) FW. 54.05.50
Entfernter PC Windows 7 mit Vodafone DSL
Neueste AVM-VPN Software

Problem:
Ich erstelle wie bereits zigmal gemacht die Konfigurationsdateien im Tool von AVM, importiere diese in die 7270 und starte die VPN-Verbindung.
Die Verbindung wird problemlos hergestellt.
Will ich aber nun ein Gerät oder eine IP im Heimnetz erreichen, klappt das nicht. Anpingbar ist nichts.
Das Eigenartige ist allerdings, dass diese Konstellation VOR dem letzten FW-Update der 7270 problemlos funktioniert hatte.

Fragen:
Ist das ein bekannter Bug der FW?
Hat jemand eine Idee, wie ich das wieder zum Laufen bekomme? Ich würde ungern die alte FW 5.22 wieder aufspielen müssen.
Welche weiteren Infos werden von Euch noch gebraucht, um das Problem näher eingrenzen zu können?

LG
Steve

 

[sf3978]

Problem:
Die Verbindung wird problemlos hergestellt.
Will ich aber nun ein Gerät oder eine IP im Heimnetz erreichen, klappt das nicht. Anpingbar ist nichts.

Evtl. funktioniert das SOURCE-NAT (MASQUERADE) auf der FritzBox nicht. Versuch mal auf dem Gerät (hinter der Box; evtl. mit einem geeignetem Betriebssystem - Linux-Live-CD/DVD) das Du anpingst, mit tcpdump (... oder gleichwertig), festzustellen ob der Ping beim Gerät ankommt.

 

[Telefonmännchen]

Ist das ein bekannter Bug der FW?

Nö, häufigster Fall würde ich sagen, dass anstatt der Netzwerkadresse xxx.xxx.xxx.0 die IP der FritzBox angegeben wurde. Dann ist die VPN-Kommunikation auch auf genau die eine Gegenstelle begrenzt. Ansonsten ist ohne weitere Angaben (z.B. Netzwerkadressbereiche u.ä.) schwer nachzuvollziehen, was Du eingerichtet hast. Auch wird immer wieder von merkwürdigen Problemen berichtet, wenn die FritzBox auf ein Klasse-A-Netz (10.0.0.0–10.255.255.255) konfiguriert ist. Es ist daher die Nutzung eines Klasse-C-Netzes vorzuziehen.

Gruß Telefonmännchen

 

[steve0564]

Danke für Eure Einschätzung!

@Telefonmännchen:
Es wurden die Standardeinstellungen des AVM-Programmes (VPN-Verbindung einrichten) verwendet. Das Homelan hat dabei 192.168.178.0, 255.255.255.0 und der VPN-Client hat die IP 192.168.178.201 Die Fritte selbst hat 192.168.178.1.
Es wurde nicht die IP, sondern, wie gesagt der Standard verwendet.

@sf3978:
Uff!
Das könnte sich als schwierig erweisen, da ich immer, wenn ich den VPN-Client bediene nicht daheim bin, um zu sehen, ob was ankommt. Mal ganz abgesehen davon, dass ich mich mit Linux 0 auskenne und mir das genannte tcpdump mal anschauen muss.

 

[sf3978]

Mal ganz abgesehen davon, dass ich mich mit Linux 0 auskenne und mir das genannte tcpdump mal anschauen muss.

Evtl. kannst Du statt tcpdump (oder gleichwertig) auch Wireshark ( http://de.wikipedia.org/wiki/Wireshark ) für Windows benutzen.

 

[KunterBunter]

Und was steht nun genau in der accesslist der VPN Konfig in der Fritzbox?

 

[steve0564]

Auszug aus der VPN-Konfigdatei für die 7270:

accesslist = 
                             "permit ip 192.168.178.0 255.255.255.0 192.168.178.201 255.255.255.255";

Auszug aus der VPN-Konfigdatei des VPN-Client:

accesslist = "permit ip any 192.168.178.0 255.255.255.0";

 

[asterixleser]

Es wurden die Standardeinstellungen des AVM-Programmes (VPN-Verbindung einrichten) verwendet. Das Homelan hat dabei 192.168.178.0 ...

Auch wenn Du einen autarken PC mit dem VPN Deiner Fritzbox verbinden möchtest, könnte ja vielleicht auch das hier (link: http://service.avm.de/support/de/SK...zwischen-zwei-FRITZ-Box-Netzwerken-einrichten) interessant sein. Dort steht

Für VPN-Verbindungen zwischen zwei FRITZ!Box-Netzwerken darf keine FRITZ!Box eine IP-Adresse aus dem IP-Netzwerk 192.168.178.0 (z.B. 192.168.178.1) verwenden.

Wäre ja auch mal ein Ansatz, ändere doch mal Dein Netz bspw. auf 192.168.100.0.

Und in dem wohl für Dich zutreffenden KB-Artikel (link: http://service.avm.de/support/de/SK...puter-und-FRITZ-Box-einrichten-und-herstellen) steht

Der Computer mit FRITZ!Fernzugang muss sich in einem anderen IP-Netzwerk befinden als das FRITZ!Box-Netzwerk. Die VPN-Verbindung ist z.B. nicht möglich, wenn sich der Computer mit FRITZ!Fernzugang auch in einem FRITZ!Box-Netzwerk befindet und die IP-Einstellungen der FRITZ!Box-Geräte nicht verändert wurden (IP-Adresse 192.168.178.1).

Arbeite diesen zweiten Link nochmal ganz ruhig von vorn durch. Vielleicht hast Du aus "alter Gewohnheit" irgendwo eine Eintragung, die mit der vorherigen Firmware ungeprüft durchging und nun eben nicht mehr.

 

[steve0564]

Danke für deine Antwort!

....ändere doch mal Dein Netz bspw. auf 192.168.100.0.

So einfach ist das nicht! Ich habe ca. 50 Geräte im Homelan. Da gibt es noch 2 Server deren Berechtigungen bzw. die der Geräte dann anpassen müsste. Geschätzt 5 Stunden Arbeit bis alles durch ist.

...Vielleicht hast Du aus "alter Gewohnheit" irgendwo eine Eintragung, die mit der vorherigen Firmware ungeprüft durchging und nun eben nicht mehr.

Den Link habe ich gefühlte 5x schon durchgeackert. An den einzelnen Punkte hat sich gegenüber früher auch nix geändert. Was ich halt nicht kapiere, ist, dass es ja früher mal geklappt hatte und nun nur noch zum Teil.
Auch diesen Link inkl. Unterlinks bin ich bereits durch!

 

[asterixleser]

So einfach ist das nicht! Ich habe ca. 50 Geräte im Homelan.

Hm, Du meinst also, der Fehler sollte günstigerweise woanders sein, nicht wahr? :gruebel: Aber wo? Und wie willst Du das unter Beibehaltung Deiner LAN-Konfiguration rauskriegen? Dazu habe ich erstmal keine weitere Idee.

 

[Telefonmännchen]

Ich kann mich erinnern, dass die Software bei der letzten Erstellung meiner VPNs den Standardadressbereich gar nicht zuließ, zumal AVM ja explizit darauf hinweist, weil sonst Verbindungen aus einem anderen Standard-AVM-Netz nicht möglich sind. Da ich in einem beteiligten Netz dieses unbedingt erhalten wollte, musste ich den Adressbereich manuell auf ...178.000 anpassen, da ich sicherstellen kann, dass keines meiner Netze, aus dem ich mich zu dieser Box verbinden will, den ...178.0er Bereich benutzt. Wie hast Du das denn gemacht. Auch händisch? Hast Du da was vielleicht übersehen? Verbindest Du Dich vielleicht aus einem ...178.0er Netz. Dann kann das nicht gehen.

Gruß Telefonmännchen

 

[sf3978]

Folgende Konstellation:
FB 7270 am KD-Anschluss (Homebox 1) FW. 54.05.50
Entfernter PC Windows 7 mit Vodafone DSL

D. h., Du machst eine Client-LAN-Verbindung und keine LAN-LAN-Verbindung?

 

[steve0564]

Sorry, wenn ich mich in meinem ersten Posting evtl. etwas zu ungenau erklärt habe.
Deshalb hier nochmals so genau, wie möglich:

Homelanadressbereich: 192.168.178.0, 255.255.255.0 DHCP ein
VPN-CLIENT- Ip: 192.168.2.161
VPN-Client hat bei VPN-Verbindung von der FritzBox: 192.168.178.201

Ja, es handelt sich lediglich um eine Client-Lan-VPN-Verbindung, realisiert ausschließlich mit den AVM gegebenen Mitteln:
FritzBox Fernzugang einrichten und
Fritz Fernzugang

Ausgewählt wurde bei der IP-Konfiguration im Einrichtungsprogramm nichts weiter, somit wurden die Standardvorgaben von AVM bzw. dem Programm übernommen.

 

[asterixleser]

Homelanadressbereich: 192.168.178.0, 255.255.255.0 DHCP ein

Das DHCP vergibt Adressen in welchem Adressbereich Deines Home-LAN?

 

[SaschaBr]

Habe letztes WE auch mal mit dem Client-VPN herum probiert, und hatte genau selbiges Problem. Nach der Änderung der einen Fritz!Box auf 192.168.177.x, klappte es dann auf Anhieb.

 

[steve0564]

@asterixleser:
192.168.178.20 bis 192.168.178.200

@Sascha:
Hier geht es nicht um zwei Fritten, sondern um eine Client - Lan-Verbindung, nicht Lan - Lan. Insofern gibt es eigentlich nur ein Client der mit ins Lan eingebunden werden soll.

 

[SaschaBr]

Weiß ich, war trotzdem so!

 

[HabNeFritzbox]

VPN braucht so oder so zwei Subnetze, ohne fremdes Subnet kein Routing über VPN.

Wenn zuhause .178 verwendest wovon AVM Hilfe und VPN Tool abraten verwendest, musst du halt mit möglichen Konflikten rechnen.

Ist auch total unwahrscheinlich, dass andere auch eine FB verwenden, und dann auch noch mit Standard IP. Wenn dort halt VPN versuchst, wird es scheitern.

 

[SaschaBr]

Und genau das (und die Tatsache, dass der "AVM VPN Driver" die Netzwerkkarte massivst ausbremst) macht VPN für mich völlig Nutzlos. Woher soll man denn wissen, welches Subnetz einen am "Zielort" erwartet??

Achja: Und so wirklich abraten tut das Tool mal auch nicht, und wenn doch, dann habe ich das wohl übersehen! :gruebel:

 

[HabNeFritzbox]

Daher sollte man von Standard abweichen also kein .178 .0 oder .1

Auch 10er Netz kann Probleme machen bei Mobilfunk oder Uni´s.

Ist aber kein AVM spezifisches Problem.