Hallo Stefan
Soweit sogut... Hab mich gestern Abend mal an
Ist es eigentlich richtig, dass ich bei dem Freetz Webinterface so gar nichts zu IPSec finde?
Prinzipiell sollte das nicht der Fall sein. Solange du im Webinterface IPSec-Tools nicht startest und somit die Routinge ausgeführt wird, werden die relevanten Konfigurationen (racoon.conf, setkey.conf, psk.txt) nicht angelegt. Racoon meldet sich demnach immer mit einem "could not found racoon.conf"
Daher würde ich vorschlagen da nochmal genau zu kontrollieren, ob alles geklappt hat (Es sollte definitiv unter Dienste --> IPSec-Tools zu finden sein).
Bei der Konfiguration der "Haupt-VPN-Box" (nicht die 7112) mit dem AVM-Tool ist - nach meiner Erfahrung - vorsicht geboten. Das teil erstellt bloss *.cfg's für AVM relevante Lösungen (VPN-Client, FB2FB etc). Es wird sehr wahrscheinlich sein, dass du auf Grundlage des AVM-VPN-Tools erstmal dir eine Konfig erstellst und diese anpassen musst.
Ein Tipp von mir hinsichtlich der interoperabilität:
AVM verwendet standardmässig für seinen VPN-Daemon fertige Konfigurationen, d.h. einzelne IPSec Proposels kannst du nicht angeben, sondern nur im Verbund.
Ein weiterer Hinweis ist, dass AVM standardmäßig für die Phase 1 eine Keylife time von 3600 Sec (1h) festlegt und dies auch in der racoon.conf so angegeben werden sollte, sonst scheiterst du bereits beim Schlüsselaustausch.
PHP:
remote 10.0.0.1 {
exchange_mode main,aggressive;
lifetime time 3600 sec;
proposal {
encryption_algorithm 3des;
hash_algorithm sha1;
authentication_method pre_shared_key;
dh_group modp1024; //DH-Group 2 entspricht bei AVM alternative deffie-hillmann
}
generate_policy off;
}
Unten habe ich dir nochmal eine Beispielhafte vpn.cfg für meine 3270 eingefügt, um dir einen Eindruck zu geben, was man einstellen sollte/könnte.
Die vpn.cfg sollte kompatible zu der racoon.conf sein, die du oben siehst (ACHTUNG: nicht getestet!)
PHP:
/*
* C:\Users\tommy\AppData\Roaming\AVM\FRITZ!Fernzugang\10_0_0_11\fritzbox_10_0_0_11.cfg
* Wed Jun 02 13:27:45 2010
*/
vpncfg {
connections {
enabled = yes;
conn_type = conntype_lan;
name = "AVM2Racoon";
always_renew = no;
reject_not_encrypted = no;
dont_filter_netbios = yes;
localip = 0.0.0.0;
localip = 0.0.0.0;
local_virtualip = 0.0.0.0;
remoteip = 10.0.0.1; //endpunkt deiner VPN-Box
remote_virtualip = 0.0.0.0;
localid {
ipaddr = 0.0.0.0;
}
remoteid {
ipaddr = 10.0.0.1; //endpunkt deiner VPN-Box
}
mode = phase1_mode_idp;
phase1ss = "alt/3des/sha/3600"; //DH-Group 2, 3des, sha1 , key lifetime 1h
keytype = connkeytype_pre_shared;
key = "geheimniss";
cert_do_server_auth = no;
use_nat_t = no;
use_xauth = no;
use_cfgmode = no;
phase2localid {
ipnet {
ipaddr = 192.168.1.0; //netz hinter 7112
mask = 255.255.255.0;
}
}
phase2remoteid {
ipnet {
ipaddr = 194.94.78.0; //netz hinter VPN-BOX
mask = 255.255.255.0;
}
}
phase2ss = "esp-des|3des-all/ah-all/comp-all/pfs"; // 3des, sha1, Perfect forwarding secret aktiv!!
accesslist = "permit ip any 194.94.78.0 255.255.255.0";
}
ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500",
"udp 0.0.0.0:4500 0.0.0.0:4500";
}
// EOF
Noch ein kleiner Tipp von mir: Insofern du die möglichkeit hast, teste das ganze vorher mit einem Linux rechner, der per Lan mit deiner VPN-Box verbunden ist. Mach dort racoon rauf (z.b. apt-get install -y ipsec-tools && racoon) und teste das ganze ersteinmal "offline". Mit linux bist du erst einmal flexibler und kannst das ganze besser debuggen. Wenn das erfolgreich war/ist, kannst du die Konfigurationen (racoon.conf, setkey.conf etc) ohne weiteres auf die 7112 übertragen
mfg tom
)
