Habe interessiert eben alle Beiträge hier durchgelesen - Prinzip (hoffentlich) auch verstanden. Dennoch eine Abwandlung: der entfernte (IpSec)Client meiner zu Hause stehenden 7270 ist kein PC, sondern ein NOKIA-Handy. Im Normalfall geht dieser Handy-Client lokal über eine FB (7170), die wiederum selbst als Client (mit fester IP im internen Netz) an einer die WAN-Verbindung herstellenden 7240 (FW 73.04.87) hängt, ins Netz.
Für das NOKIA gibt es eigene Konfigurationsanleitungen des Herstellers (VPN Policy Richtlinie, Einzelheiten [post=1463312]hier[/post]), die eine Verwendung der FB-User-config ausschliessen. Serverseitig (7270 zu Hause) ist alles genau so wie auch bei der Anbindung eines PC oder einer entfernten FRITBox.
Die clientseitig abweichend erstellte VPN-Verbindung funktioniert sehr unzuverlässig. Aber selbst dann, wenn die VPN-Verbindung nicht hergestellt wird, ist doch auf der SERVER-FB zu erkennen "Verbindung wird aufgebaut" - schliesslich aber doch nicht hergestellt. Deshalb vermute ich, daß auch hier das Problem in der (in der Client-Konfiguration gar nicht vorhandenen) "accesslist" liegt.
Wie könnte ggfls. der geänderte Accesslist-Eintrag aus Ziff. 3 von #1 (accesslist = "deny ip any 192.168.0.0 255.255.255.0", "reject udp any any eq 53", "reject udp any any eq 500", "reject udp any any eq 4500", "permit ip any any") angepasst an die NOKIA-Client-VPN-Config übernommen werden?
Die (entfernte) Modem/Router-FB 7240 hat die übliche interne IP 192.168.178.1 mit Subnetz 255.255.255.0 - die 7170 hat eine feste IP an dieser FB.
Die zu Hause als Server stehende 7270 hat die IP 192.168.174.1 -Subnetz 255.255.255.0.
Eine Muster-NOKIA-VPN-Config hänge ich hier mal zur besseren Veranschauung an:
SECURITY_FILE_VERSION: 1
[INFO]
[email protected]
[POLICY]
sa
[email protected]_1 = {
esp
encrypt_alg 12
max_encrypt_bits 128
auth_alg 3
identity_remote 0.0.0.0/0
src_specific
hard_lifetime_bytes 0
hard_lifetime_addtime 3600
hard_lifetime_usetime 3600
soft_lifetime_bytes 0
soft_lifetime_addtime 3600
soft_lifetime_usetime 3600
replay_win_len 0
pfs
}
remote 0.0.0.0 0.0.0.0 = {
[email protected]_1(hansi.dyndns.org) }
inbound = { }
outbound = { }
[IKE]
ADDR: hansi.dyndns.org 255.255.255.255
IKE_VERSION: 1
MODE: Aggressive
REPLAY_STATUS: FALSE
USE_MODE_CFG: TRUE
IPSEC_EXPIRE: TRUE
USE_XAUTH: FALSE
USE_COMMIT: FALSE
ESP_UDP_PORT: 0
SEND_NOTIFICATION: TRUE
INITIAL_CONTACT: TRUE
USE_INTERNAL_ADDR: FALSE
DPD_HEARTBEAT: 90
NAT_KEEPALIVE: 60
REKEYING_THRESHOLD: 90
ID_TYPE: 3
FQDN:
[email protected]
PRESHARED_KEYS:
FORMAT: STRING_FORMAT
KEY: 35 dasvomFRITZ-Fernzugang generiertePW
DNS_SERVER: 192.168.174.1
GROUP_DESCRIPTION_II: MODP_1024
USE_NAT_PROBE: TRUE
PROPOSALS: 1
ENC_ALG: AES128-CBC
AUTH_METHOD: PRE-SHARED
HASH_ALG: SHA1
GROUP_DESCRIPTION: MODP_1024
GROUP_TYPE: DEFAULT
LIFETIME_KBYTES: 0
LIFETIME_SECONDS: 3600
PRF: NONE
Ist es evtl. ein Problem, daß als DNS Server die häusliche 7270 angegeben ist? Falls ja, was sollte ich an deren Stelle setzen?
