VPN für FritzBox 7490 hinter Kabelrouter

[KunterBunter]

Ein Tunnel wird im ersten Fall ja nur dann aufgebaut, wenn dein Client Android-Handy S5 mit VPN-Cilla versucht, eine VPN-Verbindung herzustellen.

 

[kuki3112]

Danke für die vielen Antworten!

Leider läuft die Verbindung noch nicht.

 

[Shirocco88]

was steht denn in den Supportdaten http://fritz.box/?lp=support

##### BEGIN SECTION vpn VPN
...
##### END SECTION vpn


##### BEGIN SECTION dyndns DynDNS
...
##### END SECTION dyndns


##### BEGIN SECTION Networking Supportdata networking
...
##### END SECTION Networking Supportdata networking


##### BEGIN SECTION Events Events
...
##### END SECTION Events

ggf. bei vpn.cfg die Zeilen key, remoteip, remotehostname anonymisieren;
das ike.log sollte die Zeile "avmike:< add(appl=dsld,cname=" beginnend enthalten;
alles in CODE-Tags und dann kann man weiteres sagen.

 

[ready82]

Hi kuki3112,

ich verwende auch den Kabelrouter CH7485E an einem Tele Columbus / PYUR Anschluss (DS Lite) und habe ebenfalls eine Fritzbox hinter den Router geschaltet. VPN Funktioniert problemlos. Dazu gibt es jedoch ein paar kleine Fallstricke. Hier ein paar Infos, was man vielleicht prüfen sollte.
0) Finde heraus, ob dein Internetanbieter nur DS Lite zur Verügung stellt. Falls das so ist, musst du auf jeden Fall vom Internetprovider neben der IPv4 Adresse auch eine IPv6 Adresse geschaltet bekommen (andernfalls kannst du von außerhalb deine Fritzbox nicht direkt erreichen). Das musst du ggf. beim Anbieter speziell erfragen.
1) du solltest erst sicherstellen, dass die Internetverbindung deines Kabelmodems sauber funktioniert. Stecke dazu am besten direkt deinen PC / Notebook an einen LAN-Port (1-4) des Kabelrouters und prüfe eine funktionierende Internetverbindung.
2) Funktioniert dies, steckst du am besten an den gleichen LAN-Port des Kabelrouters (wo gerade der PC angeschlossen war) deine deine Fritzbox mit dem "LAN 1"
3) Port-Forwarding: Für VPN musst du unbedingt die ankommenden UDP Ports 500 und 4500 am Kabelrouter auf deine Fritzbox weiterleiten (Im Router > Heimnetz > Erweitert > Port Forwarding). Dazu musst du natürlich als IP Adresse die Adresse im IP Adressbereich des Kabelrouters eintragen (nicht die des Subnetzes der Fritzbox!).
4) Du solltest natürlich über einen DynDNS Service nachdenken, sodass du einen stabilen Hostnamen für dein VPN verwendest. Denn die IP Adresse deines Anschlusses ändert sich mit jeder Neueinwahl des Kabelrouters ins Internet. Ich habe das bei mir über das bestehende Synology NAS gelöst (der Server aktualisiert automatisch den DNS-Namen)
5) Anschließend konfigurierst du das VPN entsprechend und du solltest eine VPN verbindung von außerhalb aufbauen können.

 

[KunterBunter]

Vielleicht kehrt @kuki3112 ja deshalb nach einem halben Jahr wieder hierher zurück.

 

[Shirocco88]

ich verwende auch den Kabelrouter CH7485E an einem Tele Columbus / PYUR Anschluss (DS Lite)
...
0) Finde heraus, ob dein Internetanbieter nur DS Lite zur Verügung stellt. Falls das so ist, musst du auf jeden Fall vom Internetprovider neben der IPv4 Adresse auch eine IPv6 Adresse geschaltet bekommen

ein DS-Lite Anschluß hat eigentlich immer eine public IPv6 Adresse!
d.h. das ist überflüssig;
oder verwechselst Du DS-Lite mit CGNAT ?

3) Port-Forwarding: Für VPN musst du unbedingt die ankommenden UDP Ports 500 und 4500 am Kabelrouter auf deine Fritzbox weiterleiten (Im Router > Heimnetz > Erweitert > Port Forwarding). Dazu musst du natürlich als IP Adresse die Adresse im IP Adressbereich des Kabelrouters eintragen (nicht die des Subnetzes der Fritzbox!).

das verstehe ich auch nicht;
ein DS-Lite Anschluß verwendet eine "sharred IPv4", da kann man nicht wirklich ein Port-Forwarding einrichten, außer der Provider und der Edge-Router können PCP.

4) Du solltest natürlich über einen DynDNS Service nachdenken, sodass du einen stabilen Hostnamen für dein VPN verwendest. Denn die IP Adresse deines Anschlusses ändert sich mit jeder Neueinwahl des Kabelrouters ins Internet. Ich habe das bei mir über das bestehende Synology NAS gelöst (der Server aktualisiert automatisch den DNS-Namen)

was bringt ein DNS-A-Record auf eine "sharred IPv4" ?

 

[Shirocco88]

Die Unterschiede zwischen beiden zu erklären, ist schon fast philosophisch. Dual-Stack Lite ist ein CGN-Szenario, denn es benutzt Carrier-grade NAT.

DS-Lite verwendet public IPv6 zum CPE,

CGN benötigt kein IPv6, es wird NAT444 verwendet, d.h. in "Reihe geschaltete NAT-Router"

 

[KunterBunter]

Das von dir Gesagte schließt das von mir Gesagte nicht aus.

 

[treysis]

ich verwende auch den Kabelrouter CH7485E an einem Tele Columbus / PYUR Anschluss (DS Lite)

Ist zwar alt, aber: TeleColumbus vergibt IPv6, nutzt aber kein DS-Lite, sondern für IPv4 einfach nur CGNAT. Allerdings mit der Besonderheit, dass hier static-NAT verwendet wird. D.h. man teilt sich die öffentliche IPv4 nicht mit anderen Teilnehmern und es wird alles an die Public-IPv4 1:1 auf die private IPv4 umgesetzt. D.h. bei TeleColumbus/PYUR kann man trotz CGNAT von außen per IPv4 auf das Heimnetz zugreifen und dementsprechend am Kabelrouter auf Portfreigaben einstellen.