vpn auf fritzbox

[big-bastian]

Hallo zusammen,

ich habe in meiner wohnung eine fritzbox7170. VPN habe ich über das AVM Tool eingerichtet. Jetzt bin ich bei meinen Eltern und wollte mich mit meiner Fritzbox verbinden. Das VPN Client Tool sagt auch das die Verbindung besteht. Doch wenn ich meine Fritzbox anpinge (192.168.2.1) antwortet nicht. Habe hier an dem PC die IP 192.168.2.55 und Gateway 192.168.2.3! Eigentlich ist das doch richtig so oder?

was mache ich falsch?

mfg
basti

 

[LPW]

Hallo,

Falls ich Dich richtig verstehe: Zielnetz - das LAN bei Dir zu Hause - und Ausgangsnetz - das LAN bei Deinen Eltern - müssen verschiedene Subnetze haben; bei Dir sind sie aber gleich. Wenn Du zu Hause also 192.168.2.0/255.255.255.0 hast, müßtest Du bei Deinen Eltern etwas anderes nehmen, z.B. 192.168.3.0/255.255.255.0. Anderenfalls kann Dein Rechner (genauer: die IPsec-Treibererweiterung von AVM) bei aufgebautem Tunnel nicht unterscheiden, ob ein Datenpaket nun für das LAN Deiner Eltern oder für Dein Zuhause bestimmt ist. Als virtuelle Adresse für Deinen PC solltest Du dagegen eine IP-Adresse aus Deinem LAN zu Hause verwenden, die dort natürlich nicht anderweitig verwendet werden darf.

Das wird aber auch auf dem VPN-Portal von AVM erklärt:
http://www.avm.de/de/Service/Service-Portale/Service-Portal/index.php?portal=VPN

Subnetze wie 192.168.2.0/255.255.255.0 wirst Du unterwegs recht häufig antreffen, ändern kannst Du das vielleicht bei den Eltern, aber sonst ja eher nicht. Deshalb empfiehlt es sich, zu Hause ein "ungewöhnliches" Subnetz zu verwenden, also etwa 192.168.57.0/255.255.255.0. Bei mir und bei meinen Eltern habe ich mich einfach am Geburtstag des "Netzbesitzers" orientiert. 192.168.178.0/255.255.255.0 ist allerdings auch schlecht, denn das ist die Werkseinstellung der Fritz!Boxen und folglich auch häufig anzutreffen.


Blöde ist, daß die IPsec-Treibererweiterung von AVM zum Bluescreen neigt, und das bei WLAN-Karten ganz unterschiedlichen Alters. Selbst beim AVM Fritz!WLAN USB Stick N passiert das. Es nützt auch nichts, in der Konfiguration der Netzwerkkarte den Haken bei den Netzwerkkarten zu entfernen, über die man die VPN-Verbindung eh nie aufbaut.

Mit freundlichen Grüßen
LPW

 

[big-bastian]

ls virtuelle Adresse für Deinen PC solltest Du dagegen eine IP-Adresse aus Deinem LAN zu Hause verwenden, die dort natürlich nicht anderweitig verwendet werden darf.



wo stelle ich die virtuelle Adresse ein?


mfg

 

[LPW]

Hallo,

die virtuelle Adresse wird beim Erstellen einer *.cfg-Datei durch die AVM-Software "Fritz!Fernzugang erstellen" eingestellt. Es ist diejenige IP-Adresse, unter der sich der ferne PC bei Dir zu Hause im LAN darstellen soll.

Mit freundlichen Grüßen
LPW

 

[himinternational]

Das kann man doch gar nicht falsch machen wenn man sich die Anleitung durchliest und auf die Hinweise durch die Konfigurationssoftware achtet. Also, 2 verschiedene Subnetze,z.B. 192.168.1.0 u. 192.168.2.0 zwei DynDNS Adressen und gut ist. Den Rest macht die Einrichtungssoftware. cfg's importieren - basta !

 

[LPW]

Hallo,

Also, 2 verschiedene Subnetze,z.B. 192.168.1.0 u. 192.168.2.0 zwei DynDNS Adressen und gut ist.

Das Subnetz 192.168.1/24 für das heimische LAN, mit dem man sich aus der Ferne verbinden möchte, ist in Sachen VPN wohl noch schlimmer als 192.168.2/24. Solange er sich nur von einem bestimmten fremden LAN mit abweichendem Subnetz aus verbindet, funktioniert das natürlich problemlos. Aber wenn man schon mal dabei ist, sollte man es auch gleich richtig machen und gut überlegen: Wenn man das heimische Subnetz ändert bzw. ändern muß, müssen allein schon wegen der virtuellen IP auch alle VPN-Konfigurationen neu angelegt und importiert werden.

Da ist OpenVPN besser, weil die IP-Konfiguration vom Server vorgegeben und bei Verbindungsaufnahme zum Client "gepusht" werden kann.

Mit freundlichen Grüßen
LPW

 

[big-bastian]

Wie sieht es aus wenn ich mich mit umts über mein Notebook verbinden will?

 

[LPW]

Hallo,

das geht vom IP-Subnetz her immer problemlos, da das Notebook dabei selbst eine öffentliche IP-Adresse bekommt und sich dadurch zwangsläufig in einem anderen Subnetz als ein LAN mit seinen privaten Adressen befindet.

Bei mir geht das problemlos. Ich habe es aber auch schon erlebt, daß sich der eine Nutzer über Netscreen Remote mit einem Funkwerk-Router per IPsec verbinden konnte und ein anderer dagegen überhaupt nicht, obwohl beide den gleichen Mobilfunkvertrag und das gleiche Smartphone-Modell nutzen. Du solltest es also mal ausprobieren, bevor Du Dich unterwegs darauf verläßt.

Mit freundlichen Grüßen
LPW

 

[big-bastian]

danke für die hilfe! das vpn funzt jetzt! kann auch auf die fritzbox zugreifen. Aber an der Freigaben von dem PC der an den Box hängt komme ich nicht. Was muß ich da noch einstellen. Der Ping auf die box 192.168.2.1 klappt aber der ping auf dem pc 192.168.2.10 klappt nicht. Muß ich da an der Box noch eine weiterleitung einstellen?

 

[LPW]

Hallo,

keine Weiterleitung, denn Du solltest mit Deinem PC über die aufgebaute VPN-Verbindung direkt in Deinem LAN sein. Allerdings klappt über diese Verbindung erstmal kein NetBIOS, Du mußt den Rechner mit der Freigabe also direkt über seine IP-Adresse ansprechen: \\192.168.2.55\<Name der Freigabe>, falls sich die Freigabe auf 192.168.2.55 befindet.

Mit freundlichen Grüßen
LPW

 

[big-bastian]

habe alles so gemacht! Doch leider funzt das nicht.Es kommt immer das die freigabe nicht gefunden wird. auf den pc wo ich darauf zu greifen will läuft windows 2000 liegt es vielleicht daran?


mfg

 

[frank_m24]

Hallo,

bist du sicher, dass die VPN Einrichtung richtig ist, vor allem die Subnetzmaske (255.255.255.0)? Wenn man im VPN Einrichtungs-Tool nicht das Zielsubnetz, sondern die Ziel-IP der Box einstellt, dann stellt sich die Subnetzmaske auf 255.255.255.255, und man kann nur noch auf die Fritzbox der anderen Seite zugreifen, aber nicht auf die Rechner dahinter.

 

[big-bastian]

danke für die hilfe! Aber es funzt immer noch nicht.

Meine fritzbox hat die ip 192.168.2.1

und so sehen meine VPN einstellung aus! Müßte doch stimmen oder?


http://www.bilder-hochladen.net/files/6coi-4-jpg-nb.html

 

[LPW]

Hallo,

und so sehen meine VPN einstellung aus! Müßte doch stimmen oder?

http://www.bilder-hochladen.net/files/6coi-4-jpg-nb.html

Doch, das stimmt. Allerdings scheint sich Deine Freigabe auf 192.168.2.10 zu befinden, so daß Du mit \\192.168.2.10\<Name der Freigabe> da herankommen müßtest. <Name der Freigabe> ist natürlich ein Platzhalter, da ich nicht wissen kann, wie Du Deine Freigabe benannt hast.

Welche IP-Adresse hat Dir das Netz Deiner Eltern zugeteilt?
Oder testest Du mit dem Internetzugang über Dein Handy? In diesem Fall mußt Du die Netzwerkkarte, mit der Du in Deinem LAN hängst, deaktivieren, bevor Du den VPN-Fernzugang aufbaust.

Mit freundlichen Grüßen
LPW

 

[big-bastian]

habe es hin bekommen ! in dem ich die vpn dienste neugestartet habe!


danke

 

[peter2006]

Hallo liebes Forum,

habe nun auch mal einen Versuch gemacht eine VPN Verbindung in meiner 7270 mit FW 54.04.55 zu importieren und anschließend mit einem Laptop darauf zuzugreifen.

Kurzfassung: ich bekomme es nicht hin.

Zu meiner Konstellation:
FBF 7270 mit FW 54.04.55
Auf einem Rechner im LAN wurde die Software Fernzugang einrichten installiert.

IP FB7270: 172.30.0.1 / 16/255.255.0.0
DynDNS konfiguriert

Im Einrichtungstool Fernzugang wurde ein Name statt Email vergeben (lt. AVM ok), als Adresse der FB im Internet der DynDNS-Name, als IP-Netz: 172.30.0.0 mit Sub 16/255.255.0.0, als IP-Adr. des VPN-Client: 172.30.0.190 (die ..190 hat sonst kein anderer PC im LAN)

Danach wurde in der FB7270 die Datei fritzbox.cfg importiert.


Auf dem Client (Laptop mit XP SP2) wurde die Software Fritz Fernzugang installiert. Die Windows Firewall (Dienst) ist abgeschaltet. Es ist nod32 als Virenscanner installiert aber keine Desktop Firewall. Die Datei vpnuser.cfg wurde in Fritz Fernzugang importiert.
Die Netzwerkkarte des Laptop im entfernten LAN hat IP: 192.168.1.123 / 255.255.255.0.
Der Laptop hängt im entfernten LAN an einem Netgear WGR614 mit der LAN-IP: 192.168.1.1 / 255.255.255.0 - damit in einem anderen Netz als das "lokale" Netz der FB7270. Im Netgear habe ich zudem die Option "Ping auf Internet Port WAN erlauben" aktiviert (lt. Netgear sollte damit VPN Passthrough aktiv sein).


Wenn ich nun aus dem Netz 192.168.1.1 den Fernzugang starte steht eine Weile "...Verbindung zu <mein.DynDNS-Name> wird aufgebaut..." danach kommt Fehler mit "..Gegenstelle hat nicht geantwortet..".
Ein Ping auf mein DynDNS Namen vom entfernten LAN (192.168.1.1) liefert 20-23 ms / Ping - geht grds. also.
In der FB7270 zu Hause steht zeitgleich unter VPN:
Aktiv Name = mein.vergebener.VPN-Name
Adresse im Internet = WAN IP des Netgear (Unitymedia IP Adresse)
danach nichts mehr unter lokale Netz, entfernte Netz.

Jemand 'ne Idee wo mein Denk- / Konfigurationsfehler liegt?

 

[frank_m24]

Hallo,

@peter2006:Entweder hat das Notebook ein Problem mit dem Internetzugang oder mit dem VPN Passthrough am Netgear Router.

 

[LPW]

Hallo,

war da nicht irgendwas mit, daß der Fernzugang nur mit 24er-Subnetzen umgehen kann? Er hat ja zu Hause ein voluminöses 16er.

Mit freundlichen Grüßen
LPW

 

[peter2006]

[Edit frank_m24: Mehrere Beiträge innerhalb weniger Minuten zusammengefasst. Man kann seine Beiträge auch editieren. Lies noch mal die Forumregeln.]
Wahrscheinlich wird es die VPN-Client Seite sein, die Ärger macht.

Hab schon bei Netgear nachgelesen.
Die haben als Lösung für VPN Passthrough

Ping auf WAN Port erlauben
MTU auf max. 1430 (besser 1400) setzen
Ports 50-51 TCP/UDP auf VPN-Client forwarden
Port 500 UDP
Port 4500 UDP

Half aber alles nichts.

Am Notebook hatte ich dann mal den nod32 "tot" gelegt - noch kein Erfolg.

Heute Nachmittag muss ich mir dann mal einen anderen Anschluss mit anderem Router suchen oder versuchen das Notebook mal direkt an das Modem zu hängen.

[Edit frank_m24: Beitrag 2:]

..

war da nicht irgendwas mit, daß der Fernzugang nur mit 24er-Subnetzen umgehen kann?

Funzt das nicht mit 16/255.255.0.0?

Hab' zwar jetzt noch nicht bei AVM nachgefragt, aber eine Einschränkung in dieser Richtung geben die Anleitungen auf avm.de/vpn nicht an.

Wäre ja dann auch noch eine Möglichkeit.