Lan-Lan Kopplung gesamter Traffic eines Gerätes tunneln

[flintenotto]

Hallo,

ich habe vor, eine Lan-Lan Kopplung zwischen zwei Fritzboxen einzurichten. Dabei soll der gesamte Traffic eines Gerätes über den VPN Tunnel geleitet werden.

Leider musste ich feststellen, dass die Option "Gesamten Netzwerkverkehr über die VPN-Verbindung senden" nicht mit der Selektion eines einzelnen Gerätes kompatibel ist und stattdessen der gesamte Traffic aller Geräte über den Tunnel geschickt wird, was auch dazu führt, dass die VOIP Telefonnummern nicht mehr registriert werden können.

Ich bin nun, nachdem ich mich im Netz etwas schlau gemacht habe, darauf gekommen, dass die Accesslists in den vpn.cfg Dateien angepasst werden können, um einen entsprechenden Selektor zu bauen. Leider klappt das bei mir noch nicht so richtig.

Folgendes Setup ist gewollt:

Fritzbox 1 (mit dem Gerät, was die VPN Verbindung für den ganzen Datenverkehr nutzen soll):
IP: 192.168.2.1
feste IP des Geräts, was den VPN nutzen soll: 192.168.2.17

Fritzbox 2 (über diese Box, soll der Datenverkehr des Geräts geleitet werden):
IP: 192.168.1.1

Die Config der Fritzbox 1 sieht folgendermaßen aus:

vpncfg {
        vpncfg_version = 3;
        global {
                wg_listen_port = 0;
        }
        connections {
                enabled = yes;
                editable = no;
                use_ikev2 = no;
                conn_type = conntype_lan;
                name = "VPN";
                boxuser_id = 0;
                always_renew = no;
                reject_not_encrypted = no;
                dont_filter_netbios = no;
                localip = ::;
                remoteip = ::;
                local_virtualip = 0.0.0.0;
                remote_virtualip = 0.0.0.0;
                remotehostname = "fritzbox2.myfritz.net";
                keepalive_ip = 0.0.0.0;
                localid {
                        fqdn = "fritzbox1.myfritz.net";
                }
                remoteid {
                        fqdn = "fritzbox2.myfritz.net";
                }
                mode = phase1_mode_aggressive;
                phase1ss = "all/all/all";
                keytype = connkeytype_pre_shared;
                key = "passphrase";
                cert_do_server_auth = no;
                use_nat_t = yes;
                use_xauth = no;
                use_cfgmode = no;
                phase2localid {
                        ipnet {
                                ipaddr = 192.168.2.0;
                                mask = 255.255.255.0;
                        }
                }
                phase2remoteid {
                        ipnet {
                                ipaddr = 192.168.1.0;
                                mask = 255.255.255.0;
                        }
                }
                phase2ss = "esp-all-all/ah-none/comp-all/pfs";
                accesslist = "permit ip any 192.168.2.17 255.255.255.255";
                app_id = 0;
                wg_persistent_keepalive = 0;
                wg_slave_network = 0.0.0.0;
                wg_slave_mask = 0.0.0.0;
                wg_hide_network = no;
                wg_fulltunnel = no;
                wg_configured = no;
        }
}

Die Config der Fritzbox 2 sieht so aus:

vpncfg {
        vpncfg_version = 3;
        global {
                wg_listen_port = 0;
        }
        connections {
                enabled = yes;
                editable = no;
                use_ikev2 = no;
                conn_type = conntype_lan;
                name = "VPN";
                boxuser_id = 0;
                always_renew = no;
                reject_not_encrypted = no;
                dont_filter_netbios = no;
                localip = ::;
                remoteip = ::;
                local_virtualip = 0.0.0.0;
                remote_virtualip = 0.0.0.0;
                remotehostname = "fritzbox1.myfritz.net";
                keepalive_ip = 0.0.0.0;
                localid {
                        fqdn = "fritzbox2.myfritz.net";
                }
                remoteid {
                        fqdn = "fritzbox1.myfritz.net";
                }
                mode = phase1_mode_aggressive;
                phase1ss = "all/all/all";
                keytype = connkeytype_pre_shared;
                key = "passphrase";
                cert_do_server_auth = no;
                use_nat_t = yes;
                use_xauth = no;
                use_cfgmode = no;
                phase2localid {
                        ipnet {
                                ipaddr = 192.168.1.0;
                                mask = 255.255.255.0;
                        }
                }
                phase2remoteid {
                        ipnet {
                                ipaddr = 192.168.2.0;
                                mask = 255.255.255.0;
                        }
                }
                phase2ss = "esp-all-all/ah-none/comp-all/pfs";
                accesslist = "permit ip any 192.168.1.0 255.255.255.0";
                app_id = 0;
                wg_persistent_keepalive = 0;
                wg_slave_network = 0.0.0.0;
                wg_slave_mask = 0.0.0.0;
                wg_hide_network = no;
                wg_fulltunnel = no;
                wg_configured = no;
        }
}

Kann mir jemand helfen, wie die Accesslists der beiden Config Dateien angepasst werden müssen, damit der gesamte Datenverkehr von 192.168.2.17 im Netz der Fritzbox 1 über die Fritzbox 2 geleitet wird?

Vielen Dank für die Hilfe!

 

[frank_m24]

Ich wage zu bezweifeln, dass du das hinbekommst.

Leider musste ich feststellen, dass die Option "Gesamten Netzwerkverkehr über die VPN-Verbindung senden" nicht mit der Selektion eines einzelnen Gerätes kompatibel ist und stattdessen der gesamte Traffic aller Geräte über den Tunnel geschickt wird, was auch dazu führt, dass die VOIP Telefonnummern nicht mehr registriert werden können.

Die Option ist nicht dafür gedacht, dass der Traffic eines Gerätes über VPN geschickt wird, sondern dass ein Gerät über die VPN Verbindung von außen erreicht werden kann. Da diese Optionen meines Erachtens auf weitere Komponenten Einfluss haben (Routing, Firewall), und nicht auf die VPN Komponente, wird auch das Ändern der VPN Access Listen nicht reichen, um dein Ziel umzusetzen.