[Problem] VPN-Tunnel zwischen 2 Fritzbox tunnelt nicht den gesamten Traffic

[superfun]

Hallo,

ich habe ein Problem, ich möchte eine 7330sl und eine 7490 per VPN verbinden, dabei hängt die 7490 an VDSL und die 7330sl "nur" an einer Netzwerkdose und hat deswegen auch nur eine private IP.

Jedoch sollte das kein Problem darstellen, wenn die VPN-Verbindung von der 7330sl ausgeht, da die 7490 eine öffentliche IP hat und außerdem DDNS UND Myfritz aktiviert.
Aber ich bekomme beim Versuch auf die 7490 zu connecten immer ein TimeOut (IKE 0x2027).

Ich finde jedoch meinen Fehler nicht.

Hier mal kurz, wie beide aktuell konfiguriert sind:

7490:
passwort: abc123
internetadresse: ***vorsorglich DDNS von der 7330 eintragen, da Feld nicht leer sein darf***
entferntes Netzwerk: 192.168.190.0
Subnetzmaske: 255.255.255.0
VPN-Verbindung dauerhaft halten: inaktiv ***da 7330 der Initiator sein soll***

7330sl:
passwort: abc123
internetadresse: DDNS der 7490 sowie Myfritz-Url versucht
entferntes Netzwerk: 192.168.10.0
Subnetzmaske: 255.255.255.0
VPN-Verbindung dauerhaft halten: aktiv

Ich habe die 7490 zusätzlich nach dem gleichen Schema mit einer anderen 7490 bei meinen Eltern gekoppelt, das geht einwandfrei.. ein Problem bei der 7490 schließe ich daher aus..

Was mache ich ggf. falsch?

Wäre ein alternativer VPN-Client etwas, wenn ich z.B. beide Boxen freetzen würde?

 

[PeterPawn]

Das funktioniert mit VPN-Verbindungen, die direkt über das GUI der FRITZ!Box konfiguriert wurden, einfach nicht. Das Thema ist aber auch mehr als einmal hier diskutiert und daher würde ich vorschlagen, daß Du dort nachliest.

Die 7490 braucht auf der einen Seite einen "Namen" der 7330SL für P1 beim ISAKMP und darf auf der anderen Seite keinen Hostnamen für den Peer in der Konfiguration haben. Das geht mit dem eingebauten "Wizard" einfach nicht, da der (bzw. es ist sogar der "ctlmgr" im Hintergrund, der dafür wirklich verantwortlich ist, sonst könnte man da am GUI irgendetwas patchen) die Angabe für den Peer nimmt und in diese beiden Werte einsetzt. Damit kann das nicht einmal "leer" und einmal "korrekt eingetragen" sein und somit muß man die VPN-Verbindung (zumindest in der 7490) von Hand konfigurieren (direkt in der Box oder eine fertige VPN-Datei importieren).

Eine zweite Hürde ist bei der Verwendung des GUI-Wizards immer wieder die parallele Verwendung eines DynDNS-Anbieters und einer MyFRITZ!-Anmeldung. Wenn sich das nicht inzwischen geändert hat, konfiguriert der Wizard für die eigene ID für P1 immer zuerst eine vorhandene MyFRITZ!-Adresse ... dann führt die Verwendung der DynDNS-Adresse in der Konfiguration der Gegenstelle dazu, daß zwar die richtige IP-Adresse aufgelöst wird (beide Namen sollten ja auf dieselbe Adresse zeigen), aber die eigene ID stimmt dann eben nicht mit der von der Gegenstelle gesendeten überein und damit findet der "avmike" dann die passende Konfiguration nicht (zumindest war es mal so), weil die eben durch jeweils über Kreuz identische IDs für P1 identifiziert wird (also beide IDs passen müssen, damit der richtige PSK zum Entschlüsseln der Daten beim "aggressive mode" gefunden wird).

 

[superfun]

kannst du mich ggf. mal in das Thema verlinken, wo das bereits erfolgreich behandelt wurde? Ich hab heute den ganzen Tag schon gesucht und nichts besseres als DAS gefunden

Ich habe eben mal 2 vpn.cfg´s mit dem fernzugang-erstellen-toll gebastelt und die dann händisch angepasst (7490 als Responder und 7330sl als Initiator), dennoch wird die Verbindung nicht aufgebaut.. weiterhin IKE 0x2027 TimeOut

 

[Micha0815]

Lässt sich denn die 7330sl über die Option "Verbinden zu einem Firmen-VPN" mit einem entsprechend angelegten Benutzerkonto in der FB7490 nicht einfach konfigurieren? Ist eine LAN2LAN VPN zwingend notwendig?

Lese ich "Netzwerkdose" gehe ich naiv von einer steten/konstanten I-Netverbindung aus. Falls "vor der Dose" entsprechende Ports nicht geblockt werden, sollte dies imho wergeln.
LG

 

[PeterPawn]

kannst du mich ggf. mal in das Thema verlinken, wo das bereits erfolgreich behandelt wurde?

Könnte ich vermutlich ... will ich aber nicht (und sei es nur aus falscher (gespielter) Bescheidenheit, weil ich nicht gerne auf meine eigenen Beiträge verlinke).

Wenn Du den ganzen Tag gesucht hast, laß uns an den dabei verwendeten Suchbegriffen feilen (das erfordert erst einmal, daß Du die von Dir verwendeten niederschreibst), dann findest Du (und nach Dir auch der nächste Leser dieses Threads) die richtigen Stellen auch alleine.

Dabei wirst Du dann (fast zwangsläufig) auch über diverse Wiederholungen stolpern, was alles zu einer "Fehlermeldung" bei einem solchen VPN-Problem gehören sollte, damit man wirklich helfen kann - auch das will ich nicht erneut (zumindest nicht detailliert) aufschreiben, weil eine weitere Fundstelle eine (auch spätere) Suche eben gerade nicht erleichtert.

Du magst zwar genau wissen, was Du unter "händisch angepaßt" verstehen möchtest ... alle anderen hier müssen das aber erraten. Da wäre vermutlich das "Zeigen" der verwendeten Konfigurationsdateien ein probates Mittel gegen (unnötige) Spekulationen ... das dann noch mit Protokolldateien garniert und es besteht eine (nicht von der Hand zu weisende) Chance, das Problem zu erkennen und Dir Hinweise zu einer möglichen Lösung zu geben und das auch, ohne Dir (erneut) alle möglichen Stolperdrähte bei einer VPN-Konfiguration aufzuzählen.

 

[superfun]

@PeterPawn Ich habe inzwischen den Fehler gefunden, ich hatte in meiner "händisch angepassten" cfg einen Zahlendreher mit der IP der 7490.. nun steht die Verbindung

 

[superfun]

Hallo,

ich habe gestern einen VPN-Tunnel zwischen 2 FritzBoxen aufgebaut, um eine Box mit privater IP so nutzen zu können, dass angeschlossene Geräte DDNS nutzen können.
VPN-Verbindung steht auch soweit, aber die Geräte nutzen nicht die öffentliche IP der 2ten Box, sondern gehen weiter mit der privaten IP ins Netz, die ich von meinem Vermieter bekomme.

hier mal die configs beider Boxen, vielleicht findet jemand den Fehler, warum nicht der gesamte Verkehr getunnelt wird.

Box1 (public IP)

Box2 (private IP)

da [dieser Bilderhoster] hier anscheinend gesperrt ist, bitte die URL manuell anpassen

Edit: Ich habe schon mit dem Mini-Howto: Kompletten Internetverkehr über AVM VPN routen versucht die Accesslist anzupassen, aber egal was ich versuche, es geht nicht.

[Edit Novize: Threads zusammengefasst]

 

[PeterPawn]

Warum muß man als "Hilfewilliger" jetzt hingehen und sich erst irgendwelche URLs zusammenbasteln, um die Konfigurationen zu sehen?

Dafür gibt es in BBCODE entsprechende Möglichkeiten - erwartet man selbst Hilfe von anderen, sollte man vermutlich auch selbst entsprechenden Aufwand betreiben und versuchen, den beim Leser so gering wie möglich zu halten.

Ansonsten ist tatsächlich auch dieses Thema hier im IPPF so oft durchgekaut worden, daß es (bei halbwegs sinnvollen Suchbegriffen und etwas mehr Stamina als in einem einzigen Versuch zum Ausdruck käme) eigentlich fast unmöglich ist, die entsprechenden Threads nicht zu finden.

[Edit Novize: Threads zusammengefasst]

 

[Novize]

Hallo,
...bitte die URL manuell anpassen

Nix da, dass dieser wie auch andere nervende Bilderhoster gesperrt ist, hat seinen Grund. Lade alle(!) Bilder zu Deinem Beitrag hier in den Anhang.
Des weiteren habe ich mal zusammengefasst, was zusammen gehört.