Mini-Howto: Kompletten Internetverkehr über AVM VPN routen

[diving]

Komischer weise macht der browser das gerade nicht. In der KOnsole kann ich die ip anpingen, aber der Browser macht die Seite gar nicht erst auf...
Blick ich net dran lang...

Aber erstmal danke für deine Hilfestellungen... bevor ich das ganz vergesse...

Muss mal weiter schauen.. irgendwie muß das doch gehen...

Gruß

 

[hiddenbit]

...

Wenn es jemand schafft, die Regeln des Clients mit einem anderen Programm als dem Fernzugang zu realisieren, dann würde ich mich freuen, wenn er es hier postet. Ich habe es mit NCP noch nicht hinbekommen, denke aber dass es dort über die integrierte Firewall funktionieren müsste.

MfG

 

[voipinger]

Wie ist das eigentlich bei 2 via Fritzbox-VPN verbundenen Netzen. Also z.B.

Netz1 192.168.1.0
Netz2 192.168.2.0

auf beiden Boxen läuft VPN.

Wenn jetzt jemand aus Netz 2 via Fritzbox des Netzes 1 ins Internet will, müsste er doch eigentlich an seinem PC lediglich die IP-Adresse der Box aus Netz 1 als Proxyserver eintragen, oder ??

 

[frank_m24]

Hallo,

das geht aber nur dann, wenn auf der Box in Netz 1 auch ein Proxy Server läuft.

 

[voipinger]

Hmm, weiß jemand vielleicht wie man zwei Fritzboxen über VPN so konfigurieren kann das der gesamte Traffic über eine Box läuft ?? Es geht mir um die Verwendung von Zattoo im Ausland.

 

[hiddenbit]

Also prinzipiell hast du ja auch bei der 2.Box eine Accesslist, in der die in diesem Thread beschriebenen Daten eingebracht werden könnten. Hast du das schon versucht?

 

[hiddenbit]

Hallo Frank,

könntest du bitte an dieser Stelle kurz erklären, wie man dieses Problem über Routing löst, wenn man 2 separate Adapter hat!?

MfG

 

[frank_m24]

Hallo,

ich bin mir nicht sicher, ob das an dieser Stelle Sinn macht, da man diesen separaten Adapter gerade bei der AVM VPN Lösung nicht hat. Man braucht also ein anderes Tool, wie z.B. NCP oder Shrew.

Grundsätzlich geht es so: Man muss eine Host-Route auf die öffentliche IP des VPN Servers einrichten, als Gateway gibt man das bisherige Default-Gateway der Internetverbindung an (damit wird sicher gestellt, dass die Tunnel-Daten zum VPN Server immer noch über die normale Internetverbindung fließen können, denn den Tunnel selber darf man ja nicht in den Tunnel umleiten). Dann löscht man die bisherige Default-Route und setzt eine neue - dieses Mal mit der internen IP des VPN Servers als Gateway (damit wird dann der übrige Internetverkehr außer dem VPN Tunnel durch den Tunnel geleitet). Möglicherweise kann es wichtig sein, dass die Host-Route eine kleinere Metrik hat, als die Default-Route. Die erforderlichen Kommandos sind auf den verschiedenen Betriebssystemen unterschiedlich. Nehmen wir mal an, 93.130.160.93 ist die IP des VPN Server, 192.168.10.1 ist das bisherige Default-Gateway der Internetverbindung und 192.168.178.1 ist die interne IP der Box mit dem VPN Server. Unter Windows würde man z.B. eingeben:

route add 93.130.160.93 mask 255.255.255.255 192.168.10.1
route delete 0.0.0.0 mask 0.0.0.0 192.168.10.1
route add 0.0.0.0 mask 0.0.0.0 192.168.178.1

Ausführliche Dokumentationen zum route Befehl in den diversen Betriebssystemen gibts im Internet. Am Besten vor der Benutzung danach suchen, sonst könnte es zu spät sein.

 

[hiddenbit]

Hallo,

erstmal vielen Dank an Frank.

Ich habe das mal ausprobiert, leider funktioniert es bei mir nicht. Theoretisch macht das natürlich Sinn und so habe ich mir das auch gedacht, nur klappen will es irgendwie nicht :-\
Ich kann nach dem ändern der Routen immer noch alles im entfernten Netzwerk anpingen, bekomme aber keine Verbindung nach draußen.
Auch ein Ping nach draußen (ping -S 192.168.178.201 web.de) funktioniert leider nicht.

Wenn es jemand hinbekommen hat, würde ich mich freuen, wenn er sich mal meldet.

MfG

 

[wuesten.fuchs]

Hm... so wie Frank das beschrieben hat, müsste das eigentlich funktionieren. Zumindest in der Theorie. Kannst du mal genau beschreiben, welche Schritte du durchgeführt hast? Welches Betriebssystem setzt du ein?

 

[hiddenbit]

Hallo,

also ich habe Vista(32Bit) und den NCP Client.
Für den NCP Client nutze ich die Einstellung: VPN IP-Netz: 192.168.179.0 / 255.255.255.0 (Mein entferntes Netz liegt wirklich in 192.168.179.0/24)

Nach dem Herstellen der Verbindung mit dem NCP-Client ist die Verbindung:

route add 94.223.xx.xx mask 255.255.255.255 192.168.220.1

bereits in der Routing-Tabelle. (das macht wohl dier Client)

Anschließend führe ich folgende Befehle aus:

route delete 0.0.0.0 mask 0.0.0.0 192.168.220.1
route add 0.0.0.0 mask 0.0.0.0 192.168.179.1

Alle Änderungen der Routen werden auch fehlerfrei übernommen, nur komme ich über die FRITZ!Box nicht ins Internet.
Ping des entfernten Netzwerks funktioniert aber tadellos.

Ich würde mich freuen, wenn das mal jemand nachstellen könnte.

MfG

Anmerkung: Da ich das ganze auch im Linux probiert habe, fiel mir auf, dass ich dort beim Shrew auch 0.0.0.0 / 0.0.0.0 als include Netz wählen kann, was unter Windows nicht funktioniert.

 

[itenos]

Hallo Buecke,

vielen Dank fuer deine tolle Anleitung, auf diese Loesung habe ich schon lange gewartet aber irgendwie bin ich heute zu bloed sie zu verstehen.
Ganz speziell verstehe ich nicht welche IP Adressen wo eingetragen werden muessen (meine oder die der remoten FritzBox...)

Vielleicht kann mir ja jemand weiterhelfen, hier kommen die Eckdaten, die wahrscheinlich gebraucht werden:

1.a. Remote FritzBox in Standardeinstellung mit IP 192.168.178.1 angeschlossen an einen IAD von Netcologne welcher wiederum durch ein Zyxel Modem mit dem Glasfaser Internet verbunden ist.
1.b. Die IP Adresse befindet sich normalerweise im Range 87.79.x.x
1.c. IPCONFIG auf dem remoten Rechner ergibt logischerweise die Standard IP 192.168.178.1 als DNS Server
1.d. Die in die remote Fritzbox zu ladene CFG Datei wurde geaendert wie beschrieben (accesslist = "permit ip any 192.168.178.201 255.255.255.255"; )

2.a. Mein Laptop kann auf 2 Arten mit dem Internet verbunden werden, entweder ueber UMTS Modem oder zu Hause uebers WLAN. Ich fange erst mal mit dem WLAN an, da es mir einfacher vorkommt, aber eigentlich interessiert mich die UMTS Variante mehr.
2.a.a. Verbunden mit Fritzbox in Standardeinstellung, IP ist 192.168.178.29, DNS und Gateway sind 192.168.178.1. Wie aus meiner Signatur zu ersehen, wird die Fritzbox nicht als Modem benutzt.
2.a.b. Externe IP Adresse ist immer gleich (93.40.180.x), gehoert aber nicht ausschliesslich mir, da mein Provider alle seine Kunden in Rom mit der gleichen IP ins Internet schickt.
2.a.c. Ipconfig ergibt logischerweise auch bei mir dieselben Daten wie in 1.c.

2.b.a. jetzt die Variante mit UMTS
2.b.b. ipconfig ergibt folgendes: IP und Default Gateway 1.40.52.x Subnet 255.255.255.255 DNS 62.13.171.1 und 62.13.171.2

Was genau muss ich denn nun wo eintragen, ich habe schon alle moeglichen Kombinationen versucht, erhalte aber immer nur "Zeitueberschreitung: die Gegenstelle konnte nicht erreicht werden"

Meine momentane CFG sieht uebrigens so aus: accesslist = "deny ip any 192.168.178.0 255.255.255.0", "deny ip any 93.40.180.0 255.255.255.0", "permit ip any any";
Als ich es noch mit 192.168.0.0 probiert habe, bekam ich uebrigens den gleichen DNS Fehler wie cmmehl, deshalb habe ich dann analog dazu die 178 gegen die 0 ersetzt.

Weitere Punkte: ich greife auf die remote Fritzbox per dyndns account zu und bin in diesem Moment auch per Windows Remote Unterstuetzung mit dem anderen Rechner verbunden, Erreichbarkeit ist also kein Problem.

Hoffe auf Hilfe...

 

[cmmehl]

@itenos:
ich habe es auch vergebens ueber eine umts-connection probiert (O2 ueber die tchibo-flat) und es geht absolut nicht. Irgendwie kriegt man da gar keine oeffentliche IP, und deshalb funktioniert es wohl nicht. Anderswo habe ich auch schon gelesen, dass vpn-connections bei O2 einen gesonderten tarif benoetigen - vielleicht ist das bei dir auch so.

Viel erfolg!
Chris

 

[itenos]

Teilweise geloest

Nach unendlichen Versuchen ist es mir nun endlich gelungen meine UMTS Verbindung zu tunneln. Die entscheidende Hilfe habe ich hier http://www.ip-phone-forum.de/showpost.php?p=1156290&postcount=5 gefunden. Es fehlte das Umsetzen auf YES in der NAT_T Zeile...

Fuer alle die vor dem gleichen Problem stehen, hier meine komplette Zeile:

accesslist = "deny ip any 62.13.171.2 255.255.255.255", "deny ip any 62.13.171.1 255.255.255.255", "deny ip any 78.34.0.0 255.255.0.0", "permit ip any any";

wobei die ersten 2 IP Adressen, die durch IPCONFIG /ALL ermittelten DNS Server sind.
Komischerweise habe ich die einfachere Variante, mich ueber meine DSL Leitung zu tunneln, noch nicht hingekriegt

 

[buecke]

Komischerweise habe ich die einfachere Variante, mich ueber meine DSL Leitung zu tunneln, noch nicht hingekriegt

Hej itenos!

Cool, dass du den Tunnel über UMTS hinbekommen hast Dass es über dein WLAN nicht funktioniert, liegt vermutlich daran, dass du bei der lokalen und der entfernten FRITZ!Box die gleichen IP-Bereiche (192.168.178.x) hast...

Viele Grüße
buecke

 

[hiddenbit]

Hat es denn mittlerweile auch jemand mit einem alternativen Client hinbekommen?

Bei einigen Leuten, z.B. mir, funktioniert der original Client nämlich nicht und für AVM stellt das auch ein Rätsel dar.

MfG

 

[m.klein]

Hallo Buecke,

ich habe leider das gleiche Problem und konnte dieses trotz deiner super Beschreibung leider nicht loesen. Ich habe zwar Remote Zugriff auf meine Fritzbox (geht ueber einen Telekomanschluss ins Netz), leider aber keine Chance ins Internet zu kommen. ich bin ueber meinen Notebook mit WLAN im Netz. Folgede IP Infos werden bei ipconfig/all angezeigt:
IPv4: 192.168.1.2
Subnet:255.255.255.0
Gateway: 192.168.1.1
DNS Servers: 59.125.112.116 und 168.95.1.1

ich habe die accesslist wie folgt geaendert bekomme aber keinen zugang:
accesslist = "deny ip any 192.168.1.2 255.255.255.0", "deny ip any 168.95.1.1 255.255.255.255", "deny ip any 59.125.112.116 255.255.255.255","deny ip any 91.37.0.0 255.255.0.0", "permit ip any any";

kannst du mir bitte helfen? wie muss die accesslist richtig lauten?
danke
vg
michael

 

[cmmehl]

Hallo Michael,

schau dir doch noch mal die beitraege 5 - 8 in diesem thread an, dort steht die loesung fuer das szenario mit router.

Mir scheint, du hast fuer die connection von hand einen DNS server eingegeben - eigentlich sollte dort nur 192.168.1.1 stehen. Mach mal einen rechtsklick auf deine wlan connection in den netzwerkverbindungen und waehle eigenschaften, dann schau dir dort die eigenschaften von TCP/IP and, was dort unter DNS steht.

Viel erfolg wuenscht
Chris

 

[m.klein]

Hallo Chris,

ich habe auch schon 192.168.1.1 probiert ohne die DNS Eintraege. leider klappt das auch nicht.
Unter TCP/IP steht unter DNS:
59.125.112.116 und
168.95.1.1

vg
michael

 

[cmmehl]

Unter TCP/IP steht unter DNS:
59.125.112.116

Mach das wech und dann die accesslist wie in posting 8 beschrieben.