Hallo,
ich habe schon länger eine Cisco801, die für mich der DSL-Router war (PPPoE) und zusätzlich eine IPsec-Verbindung zu einem größeren Cisco (7206) hält.
Nachdem ich eine fbox zwecks Ersatz DSL-Modem, TK-Anlage usw. dazwischen geschoben habe, terminiert die PPPoE-Session nun auf der fbox und nur noch der IPsec-Tunnel wird durchgeleitet:
Port-Forwarding ESP und 500/UDP von fbox zur lokalen Cisco, bzw. statische (Host-)Route auf fbox zur Cisco für das Netz/den Host, der durch den IPsec-Tunnel erreicht werden soll, bzw. der von aussen ins Netz kommen soll (siehe Screeshots).
Mit dem neuen IPsec-Feature auf der fbox wärs natürlich schön, auch noch die 801 quit zu werden.
Also habe ich mal versucht die Cisco-Konfig
in der vom AVM Konfigurator erzeugten Datei
umzusetzen
Das Hochladen der Konfig quitiert die fbox aber nur damit, dass ich mich neu anmelden muss und damit, dass in der Fernzugangsübersicht keine VPN-Verbindungen aufgeführt wird.
Ich denke mal, dass ich den Pre-Share-Key nicht einfach als Klartext der fbox vorwerfen kann? Nur wie wir der Key verschlüsselt?
Und ich denke ich muss das ESP und 500/UDP Port-Forrwarding ausschalten, damit es klappen kann.
Gibts noch weitere Hinweise, was evt. noch nicht stimmern könnte?
--
Danke
Oliver
ich habe schon länger eine Cisco801, die für mich der DSL-Router war (PPPoE) und zusätzlich eine IPsec-Verbindung zu einem größeren Cisco (7206) hält.
Nachdem ich eine fbox zwecks Ersatz DSL-Modem, TK-Anlage usw. dazwischen geschoben habe, terminiert die PPPoE-Session nun auf der fbox und nur noch der IPsec-Tunnel wird durchgeleitet:
Port-Forwarding ESP und 500/UDP von fbox zur lokalen Cisco, bzw. statische (Host-)Route auf fbox zur Cisco für das Netz/den Host, der durch den IPsec-Tunnel erreicht werden soll, bzw. der von aussen ins Netz kommen soll (siehe Screeshots).
Mit dem neuen IPsec-Feature auf der fbox wärs natürlich schön, auch noch die 801 quit zu werden.
Also habe ich mal versucht die Cisco-Konfig
Code:
version 12.3
!
crypto isakmp policy 1
hash md5
authentication pre-share
group 2
crypto isakmp key <clear text cisco key> address <remote_IP>
!
crypto ipsec transform-set YouNameIt esp-des esp-md5-hmac
!
crypto map toBIGcisco 10 ipsec-isakmp
set peer <remote_IP>
set transform-set YouNameIt
match address 101
!
access-list 101 remark *** Define the special IP range for IPSEC
access-list 101 permit ip <a.b.c>.0 0.0.0.255 <x.y.z>.0 0.0.0.255
!
endin der vom AVM Konfigurator erzeugten Datei
Code:
/*
* \FRITZ!Fernzugang\xxx_dyndns_org\fritzbox.cfg
* Sun Feb 25 10:24:54 2007
*/
vpncfg {
connections {
enabled = yes;
conn_type = conntype_lan;
name = "<remote_IP>";
always_renew = no;
reject_not_encrypted = no;
dont_filter_netbios = yes;
localip = 0.0.0.0;
local_virtualip = 0.0.0.0;
remoteip = 0.0.0.0;
remote_virtualip = <remote_IP>;
localid {
fqdn = "xxx.dyndns.org";
}
remoteid {
}
mode = phase1_mode_aggressive;
phase1ss = "all/all/all";
keytype = connkeytype_pre_shared;
key = "dc0f4-ebAVf1;83fc1914Nbebcabdca390";
cert_do_server_auth = no;
use_nat_t = no;
use_xauth = no;
use_cfgmode = no;
phase2localid {
ipnet {
ipaddr = <a.b.c>.0;
mask = 255.255.255.0;
}
}
phase2ss = "esp-all-all/ah-none/comp-all/pfs";
accesslist = "permit ip any <x.y.z>.0 255.255.255.0";
}
ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500",
"udp 0.0.0.0:4500 0.0.0.0:4500";
}
// EOFumzusetzen
Code:
/*
* \FRITZ!Fernzugang\xxx_dyndns_org\fritzbox2Cisco.cfg
* Sun Feb 25 10:24:54 2007
*/
vpncfg {
connections {
enabled = yes;
conn_type = conntype_lan;
name = "<remote_IP>";
always_renew = yes;
reject_not_encrypted = no;
dont_filter_netbios = yes;
localip = 0.0.0.0;
local_virtualip = 0.0.0.0;
remoteip = 0.0.0.0;
remote_virtualip = <remote_IP>;
localid {
fqdn = "xxx.dyndns.org";
}
remoteid {
}
mode = phase1_mode_aggressive;
phase1ss = "all/all/all";
keytype = connkeytype_pre_shared;
key = "<clear text cisco key>";
cert_do_server_auth = no;
use_nat_t = no;
use_xauth = no;
use_cfgmode = no;
phase2localid {
ipnet {
ipaddr = <a.b.c>.0;
mask = 255.255.255.0;
}
}
phase2ss = "esp-all-all/ah-none/comp-all/pfs";
accesslist = "permit ip any <x.y.z>.0 255.255.255.0";
}
ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500",
"udp 0.0.0.0:4500 0.0.0.0:4500";
}
// EOFDas Hochladen der Konfig quitiert die fbox aber nur damit, dass ich mich neu anmelden muss und damit, dass in der Fernzugangsübersicht keine VPN-Verbindungen aufgeführt wird.
Ich denke mal, dass ich den Pre-Share-Key nicht einfach als Klartext der fbox vorwerfen kann? Nur wie wir der Key verschlüsselt?
Und ich denke ich muss das ESP und 500/UDP Port-Forrwarding ausschalten, damit es klappen kann.
Gibts noch weitere Hinweise, was evt. noch nicht stimmern könnte?
--
Danke
Oliver
