VPN Notebook - FB 7390 klappt nicht

[lewis]

Hallo, ich hoffe, das mir hier jemand helfen kann. Ich möchte eine VPN-Verbindung von meinem Notebook auf meine FB 7390 (letzte Labor-FW) herstellen. Habe mehrfach nach der Step-by-Step-Anleitung von AVM die cfg-Dateien erstellt und importiert. Es klappt aber nicht. Ich bekomme keine Verbindung.

Auch habe ich Probleme, mit VpnCilla auf meinem HTC One eine Verbindung herzustellen. Zuhause klappt es innerhalb von Sekunden, auch, wenn ich die Verbindung nicht über WLAN, sondern über Mobilnetz herstelle. War gerade in England und habe bei gleichen Einstellungen nie eine Verbindung herstellen können.

Weiß vielleicht jemand Rat?

 

[Telefonmännchen]

Wenn der UMTS-Provider keine öffentlichen IPs vergibt, dann gibt es regelmäßig Probleme mit dem VPN. Es kann auch sein, dass VPN beim Provider gänzlich gesperrt ist. Kommt ganz auf das Medium an, welche Du für's VPN nutzt. Es muss also nicht an Deiner Konfiguration liegen.

Gruß Telefonmännchen

 

[lewis]

Hallo Telefonmännchen,
danke für den Hinweis, aber das kann nicht der Grund sein. Ich war heute in der Uni und habe mich in das dortige WLAN-Netz eingebucht. Mit meinem HTC One habe ich über VpnCilla sofort eine Verbindung zur Fritzbox herstellen können. Mit dem Notebook über FritzFernzugang nicht. Hinzu kommt, dass nach einem vergeblichen Versuch, eine Verbindung herzustellen, einige (seltsamerweise nicht alle) Internetseiten nicht mehr aufgerufen werden können. Das kann offenbar nicht an der FB oder deren Firmware liegen.

 

[SaschaBr]

Des weiteren solltest Du in Zukunft darauf achten, dass Deine heimische Box (bzw. die Box zu der Du den Tunnel aufbauen willst) eine andere IP-Konfiguration als 192.168.178.x nutzt. Sonst kannst Du, wenn Du einen VPN-Tunnel aus einem Netzwerk mit "Standard-AVM-IP-Konfiguration" eine Verbindung aufbauen willst, keine Verbindung zu Deiner Box (mit gleicher "Standard-AVM-IP-Konfiguration") aufbauen.

 

[lewis]

Deshalb habe ich versucht, aus dem Universitätsnetz eine Verbindung herzustellen. Über Selfhost klappt es mit dem HTC auch zuhause.

 

[SaschaBr]

Welchen DDNS-Provider Du nutzt, spielt hier keine Rolle (außer das er funktionieren muss).

 

[lewis]

Das ist mir schon klar. Ich hatte das nur erwähnt auf Deinen Hinweis, dass es aus dem Adressraum einer "Standard-AVM-IP-Konfiguration" nicht klappen kann. Ich will in diesem Zusammenhang auch noch mal anmerken, dass die VPN-Verbindung mit dem HTC klappt, mit dem Notebook aber nicht.

 

[jmittelst]

Ich hatte hier http://www.ip-phone-forum.de/showthread.php?t=262175&p=1941697&viewfull=1#post1941697 schon einmal von einem ähnlichen Problem berichtet.
Mein Verdacht ist mittlerer Weile, das das AVM-Tool 64bit unter Win7HomePremium in der aktuellen Version nicht klappt - oder das das Ding nicht mit meinem Atheros-Treiber klar kommt.

cu
Jens

 

[Telefonmännchen]

... HTC One habe ich über VpnCilla sofort eine Verbindung zur Fritzbox herstellen können. Mit dem Notebook über FritzFernzugang nicht...
... einige (seltsamerweise nicht alle) Internetseiten nicht mehr aufgerufen werden können ...

Ich würde auch mal ausschließen, dass es grundsätzlich an der FritzBox liegt, allerdings können in der cfg-Datei durchaus Einstellungen sein, die eine Kommunikation verhindern. Ohne die zu kennen, wird es schwierig.

Das mit den Internetseiten kann auch den Hintergrund haben, dass dort noch einige Sachen im Cache des Rechners waren und somit dargestellt wurden. Die anderen Sachen eben nicht, weil das Routing bei Aktivierung des VPNs auf diesen Tunnel umgelegt wurde, der am anderen Ende ein Problem hat. Womit es damit durchaus wieder die Einstellungen in der FritzBox sein könnten, die mit der cfg-Datei impotiert wurden.

Das sind die relevanten Bestandteile der cfg-Datei für mein Notebook:

targets {
        policies {
                name = "NNNNNN.dyndns.tld";
                connect_on_channelup = no;
                always_renew = no;
                reject_not_encrypted = no;
                dont_filter_netbios = yes;
                localip = 0.0.0.0;
                virtualip = 192.168.XXX.201;
                remoteip = 0.0.0.0;
                remotehostname = "NNNNNN.dyndns.tld";
                localid {
                        user_fqdn = "mobil";
                }
                mode = mode_aggressive;
                phase1ss = "all/all/all";
                keytype = keytype_pre_shared;
                key = "XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX";
                cert_do_server_auth = no;
                use_nat_t = yes;
                use_xauth = no;
                use_cfgmode = no;
                phase2localid {
                        ipaddr = 192.168.XXX.201;
                }
                phase2remoteid {
                        ipnet {
                                ipaddr = 192.168.XXX.0;
                                mask = 255.255.255.0;
                        }
                }
                phase2ss = "esp-all-all/ah-none/comp-all/pfs";
                accesslist = "permit ip any 192.168.XXX.0 255.255.255.0", 
                             "reject udp any any eq 53", 
                             "reject udp any any eq 500", 
                             "reject udp any any eq 4500", 
                             "permit ip any any";
                wakeupremote = no;
        }
}

... und das für die gleiche Verbindung in der cfg-Datei für die FritzBox

                enabled = yes;
                conn_type = conntype_user;
                name = "mobil";
                always_renew = no;
                reject_not_encrypted = no;
                dont_filter_netbios = yes;
                localip = 0.0.0.0;
                local_virtualip = 0.0.0.0;
                remoteip = 0.0.0.0;
                remote_virtualip = 192.168.XXX.201;
                remoteid {
                        user_fqdn = "mobil";
                }
                mode = phase1_mode_aggressive;
                phase1ss = "all/all/all";
                keytype = connkeytype_pre_shared;
                key = "XXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXXX";
                cert_do_server_auth = no;
                use_nat_t = yes;
                use_xauth = no;
                use_cfgmode = no;
                phase2localid {
                        ipnet {
                                ipaddr = 192.168.XXX.0;
                                mask = 255.255.255.0;
                        }
                }
                phase2remoteid {
                        ipaddr = 192.168.XXX.201;
                }
                phase2ss = "esp-all-all/ah-none/comp-all/pfs";
                accesslist = 
                             "permit ip 192.168.XXX.0 255.255.255.0 192.168.XXX.201 255.255.255.255", 
                             "permit ip any 192.168.XXX.201 255.255.255.255";
        }
        ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500", 
                            "udp 0.0.0.0:4500 0.0.0.0:4500";
}

Kannst ja mal einen Vergleich anstellen. Wichtig sind die jeweiligen accesslist-Einsträge.

Gruß Telefonmännchen

 

[lewis]

den Verdacht habe ich auch. An der FB kommt laut Protokoll (unter System) gar nichts an. Auch der Umstand, dass nach einem vergeblichen Kontaktversuch und nach dem Schließen des FritzFernzugangs Internetseiten nicht mehr aufgerufen werden können, deutet darauf hin. Ich habe das Problem jetzt auch an den AVM Support gemeldet.
Schöne Grüße,
Lewis

 

[lewis]

Hallo Telefonmännchen,
herzlichen Dank für die beiden Listings! Ich habe sie mit meinen cfg-Dateien verglichen. Der einzige Unterschied besteht darin, dass meine FB die Adresse 192.168.178.1 hat. Welche Windowsversion verwendest Du?
Der Hinweis auf den Browsercache leuchtet ein. Daran hatte ich nicht gedacht.
Schöne Grüße,
Lewis

 

[jmittelst]

Also meine Einstellungen sind (bis auf Passwort, Name usw.) identisch, dennoch will mein Notebook nicht über das AVM-Tool Verbinden.
Das es nicht an der FB liegt, sollte dadurch deutlich werden, dass der Shrew Soft VPN Client auf dem Notebook ja problemlos den Tunnel aufbaut.

cu
Jens

 

[Telefonmännchen]

... Shrew Soft VPN Client auf dem Notebook ja problemlos den Tunnel aufbaut.

Jetzt kommts raus!

Lies mal dazu das Statement von AVM: http://www.avm.de/de/Service/Servic...die_Hotline/anderer_vpn_client.php?portal=VPN

Gruß Telefonmännchen

 

[jmittelst]

Nö, denn der wurde erst nachträglich installiert und ist auch nur kurz installiert gewesen für Tests (die alle (!) erfolgreich waren).

cu
Jens

 

[lewis]

Ich habe in der Tat auch OpenVPN installiert. Das benötige ich, damit ich mich in das interne Universitäts-WLAN einbuchen kann. Falls das das Prolem sein sollte, habe ich ein Problem.

 

[SaschaBr]

Das könnte durchaus Dein Problem sein, denn ich glaube OpenVPN wird (genau wie alle anderen Software-Lösungen) einen "dazwischenhängenden" Treiber installieren. Du könntest versuchen, diesen Treiber testweise zu deaktivieren (Eigenschaften der Netzwerkkarte).

 

[lewis]

Ja, das werde ich in den nächsten Tagen mal machen (bin gerade in Berlin und habe wenig Zeit zum Testen)

 

[Telefonmännchen]

OpenVPN ist nicht IPSec und bei AVM wird nur das angeführt. Ob OpenVPN auch einen ähnlichen Mechanismus einsetzt entzieht sich meiner Kenntnis. Ich meine mich aber erinnern zu können, dass ich auch beides parallel installiert hatte und auch beides ohne Probleme nutzen konnte. Ist allerdings schon eine Weile her.

Allerdings hast Du wohl den Shrew später installiert, der Dir das Device von AVM durchaus verbogen haben kann und nach seiner Deinstallation nicht wieder gerichtet. Ich würde die AVM-Soft mal de- und wiederinstallieren.

Gruß Telefonmännchen

 

[jmittelst]

@Telefonmännchen: Deinstallation und auch komplette Deinstallation des Wlan-Treibers haben keinen Effekt gehabt.
Ich bin jetzt aber erstmal bis Dezember außen vor, da mein Notebook bis dahin wieder ausschließlich im heimischen Netz werkelt.
Im Dezember werde ich dann die dann aktuelle Version von AVMs Fernzugangssoftware erneut installieren und dann erneut probieren.
Und wenn das dann nicht klappt, dann wird halt der Shrew Soft VPN Client wieder installiert.

cu
Jens