VPN-Verbindung ohne Verschlüsselung?

[ne20002]

Hi,

ich plane einen VPN-Tunnel um Sat-IP-Daten zu übertragen. Da die Inhalte nicht kritisch sind, muss es keine Verschlüsselung auf dem Tunnel geben. Eben nur den Tunnel, d.h.: Zugriff auf die Gegenseite per IP, inkl Autorisierung, damit der Zugriff privat bleibt.

Frage: geht das? Ich habe zwei 7590er

Die Alternative, den Server einfach per Port-Weiterleitung freizugeben fällt aus, da dieser keine Autorisierung für den Zugriff erlaubt.

Ohne Verschlüsselung möchte ich, um die Last der Fritzboxen zu reduzieren.

Danke für jede Hilfe
S.

 

[PeterPawn]

Dazu müssen die Konfigurationsdateien auf beiden Seiten nachträglich von Hand editiert werden, weil AVM keine Auswahl per GUI anbietet. Trotzdem gibt es bereits ein Set für diese "Null-Verschlüsselung" ... dazu einfach für Phase2 das Set "esp-null-sha/ah-no/comp-no/no-pfs" einstellen.

Wie das Editieren funktioniert (Export, Ändern, Prüfsumme (kein "NoChecks", das funktioniert nicht mehr), Import - alles nur, sofern man keinen Shell-Zugang hat), ist mehrfach abgehandelt in anderen Threads.

 

[Shirocco88]

Export, Ändern, Prüfsumme (kein "NoChecks", das funktioniert nicht mehr), Import

Hinweis: beim Importieren einer VPN-Configurations-Datei (vpn.cfg) wird eigentlich keine Prüfsumme gecheckt, beim Importieren einer Fritzbox-Sicherungsdatei wird die Prüfsumme gecheckt.

 

[PeterPawn]

Ich bin auch von der Bearbeitung der Export-Datei ausgegangen (daher das "nachträglich" im Satz). Natürlich kann man auch einzelne VPN-Konfigurationen bearbeiten/erstellen und importieren, aber dann muß man eben auch die dort enthaltenen verschlüsselten Daten (sofern die Vorlagen aus einem Export stammen) entweder durch "decoder" jagen und entschlüsseln lassen oder durch andere/neue Klartextdaten ersetzen - dann kann man auch gleich komplett mit einem neutralen Template starten und braucht gar keinen Export.

 

[Shirocco88]

die Verwendung der Export-Datei (Sicherungsdatei) hat IMHO zwei Nachteile:
o es ist Prüfsummen-Generator erforderlich (Java-Programm FBEditor, eportsum.pl oder
https://github.com/PeterPawn/YourFritz/blob/master/export/checksum)
o DECT-Geräte müssen i.A. neu registriert werden
daher bevorzuge ich das Importieren der vpn.cfg Datei
oder wenn Shell-Zugang vorhanden, die Anpassung der Datei "/var/flash/vpn.cfg"

 

[PeterPawn]

Es gibt inzwischen ein komplettes C-Programm zum Behandeln (fast) aller Aspekte einer FRITZ!Box-Datei mit verschlüsselten Daten (https://github.com/PeterPawn/decoder), damit kann man auch "nur" die Prüfsumme korrigieren lassen.

Das mit den DECT-Geräten ist wohl etwas komplizierter ... es ist auch mir tatsächlich inzwischen schon das eine oder andere Mal gelungen, DECT-Registrierungen über das Wiederherstellen von Einstellungen hinaus am Leben zu erhalten, insbesondere dann, wenn kein größerer zeitlicher Abstand zwischen Ex- und Import lag und es sich um eine Sicherung von genau dieser Box handelte (also kein teilweiser Import ausgeführt wurde), wobei auch ein partieller Import tatsächlich noch eine Möglichkeit wäre, den von Dir geschilderten Problemen von vorneherein aus dem Weg zu gehen. Ob allerdings der ausschließliche Import von VPN-Verbindungen aus einer Export-Datei funktioniert, habe ich in aktueller Firmware auch nicht gesondert getestet (und im "Normalbetrieb" gibt es bei mir keine Notwendigkeit für dieses Vorgehen) - ich würde trotzdem einfach mal vermuten, daß es kein Problem dabei gibt.

Es ging mir hier weniger um das generelle Vorgehen (da empfehle ich selbst ja auch die Verwendung eines Templates, wenn man wirklich bei Null beginnt und eine Vorstellung hat, was da an welcher Stelle einzutragen ist -> das ist nämlich noch etwas mehr "Lernstoff" als das einfache Ersetzen der (unverschlüsselten) Angabe des Sets für P2) als um das Aufzeigen einer Möglichkeit, das nachträglich zu konfigurieren, weil AVM eben über das GUI keine Auswahl des Proposal-Sets erlaubt. Das ist auch bei AVM nicht nur ein fehlendes "Offenlegen" eines vorhandenen Parameters im HTML-Formular, das fehlt im Interface zum "ctlmgr" ganz einfach als Einstellmöglichkeit, ebenso wie die Auswahl der eigenen ID für P1, falls sowohl MyFRITZ! als auch DynDNS konfiguriert wurde.

 

[Micha0815]

Hinweis: beim Importieren einer VPN-
...
daher bevorzuge ich das Importieren der vpn.cfg Datei
...

Dem stimme ich vollumfänglich zu mit dem Layer8-Hinweis(als was man ständig von dem Herrn im Elfenbeinturm abgestraft wird), dass manche Templates, wenn dortens ganze Abschnitte kopiert werden als Vorlage, u.U. in anderen Fritz!Boxen mit u.U. älterer FW nicht korrekt importierbar sind!

Reproduzierbares Bsp. ?

...
editable = yes;
conn_type = conntype_lan;
...

wird bei ansonsten korrekter Syntax von älterer FW/Boxen als Import verweigert.

Ohne "editable" klappt es.

LG

 

[woprr]

ich plane einen VPN-Tunnel um Sat-IP-Daten zu übertragen. Da die Inhalte nicht kritisch sind, muss es keine Verschlüsselung auf dem Tunnel geben. .

Super Idee, dann klink ich mich da ein und schick deinen SAT-IP clients nen deftigen Porno

Bitte Grundlagen über Sinn und Zweck von Verschlüsselung und Authentifizierung einlesen.

Mannomann...

 

[Theo Tintensich]

Super Idee, dann klink ich mich da ein und schick deinen SAT-IP clients nen deftigen Porno

das wird bei einem WPN-Tunnel, auch ohne dass in diesem eine Veschlüsselung vorhanden ist, etwas schwieriger werden.

 

[ne20002]

Eben, Authentifizerung und Autorisierung sollten auch ohne Verschlüsselung gegeben sein. Die Daten zu verschlüsseln scheint mir bei der Art der Daten eher unkritisch (und btw, ich bin volljährig).

Ich habe trotzdem einen anderen Weg gewählt (der auch noch nicht ganz funktioniert).

Immerhin ergab ein Test mit der default-LAN-LAN-Kopplung (in der Fritzbox selbst definiert) einen Durchsatz zwischen 32 und 34 MBit/s. Ist nicht schlecht ... aber nutzt nicht die verfügbaren 50MBit/s aus. .

S.

 

[Shirocco88]

Ich habe zwei 7590er

Immerhin ergab ein Test mit der default-LAN-LAN-Kopplung (in der Fritzbox selbst definiert) einen Durchsatz zwischen 32 und 34 MBit/s. Ist nicht schlecht ... aber nutzt nicht die verfügbaren 50MBit/s aus. .

Welche Internet-Anbindung/Speed (UL/DL) hast Du ?

 

[ne20002]

Einmal 500/50 MBit/s, auf der anderen Seite 50/50 MBit/s. Sollte für einen Sat>IP Stream in HD reichen ...