[Gelöst] VPN zw. DSL-Box in D und UMTS-Box in ES - ES-Verbindung hat 2 IPs (1 priv 1 öffentl)?

[voipspain]

Wow, danke!
Da ich mir Yoigo nur für Internet zugelegt habe, brauche ich kein GSM-Gateway.

Bedenke, dass eine permanente LAN2LAN-VPN-Verbindung bei Yoigo -im Leerlauf ohne grössere Zugriffe mit einer registrierten VOIP-Nr.- ~200-300 MB Traffic/Monat verursacht.

Der Traffic dürfte nicht das Problem sein. Habe Tarif SinFin mit 20GB Datenvolumen. Gab es vor kurzem als Promo.

Nachtrag: Steht die VPN LAN2LAN-Verbindung, kannst Du als VPN-Client (Fritz!Fernzugang) hinter einer der beiden FBs diesen nicht nutzen.
Aber wenn ich an Standort C bin, dann könnte ich mich per Fernzugang in die DE-7390 FTTH (öffentliche IP) einwählen?
Und hätte ich dann auch den Zugriff auf die Yoigo-7490 (keine öffentliche IP) samt dem daran angeschlossenen NAS?

 

[Micha0815]

Mittlerweile, falls ich zuvor nicht blind war, hast Du ja eine Signatur eingefügt.
Nach meiner Erinnerung -ohne Gewähr!- kommst Du von einem x-beliebigen Anschluss als VPN-Client auf die FTTH-Box und von dort aus auf die UMTS-Box. U.U. musst Du noch etwas mit den "permit-IP-Einstellungen" probieren. Dein NAS sollte auch korrekt in das UMTS-Interne FB-NAS eingebunden sein. Im lokalen Netz der UMTS-FB sind kleine+feste IPs für nachgelagerte Clients sinnvoll ggfs. mit Portfreigaben (OT: Hinter meiner Kanaren UMTS-FB hängt eine VU+DUO inkl. HDD, auf die die ich gelegentlich zugreifen muss, falls Transponder-Änderungen anstehen).

Btw. Da imho Yoigo -falls verfügbar am Standort der UMTS-FB- mittlerweile auch 4G-Zugriff zulässt, kannst Du mal über einen Huawei E3372 Stick nachdenken. Der E3133 ist zwar einer der schnellsten UMTS-Sticks m.W. im UMTS-Netz (bis 21Mb/s) was in ES als 3.5G beworben wird, aber im 4G (LTE-Netz) könnte es noch schneller zugehen, zumal u.U. noch nicht allzuviele andere Clients mit LTE-fähiger Hardware eingebucht sind und je nach genutzem Frequenz-Band, der Empfang etw. besser sein kann. Persönlich werde ich das bei meinem nächsten Kanarenaufenthalt (Als Kunde von Masmovil im Orange-Netz) mal antesten. Dummerweise will mir mein Movil-Provider dazu extra eine neue SIM ... 4G-fähig? zusenden. Bisher kommt dort ein K3765HV mit 7,2Mb/s zum Einsatz, was als GSM-Gateway nicht verkehrt, um aus DE mal die Service-Kurzwahl kostenlos zu bemühen.

LG

Nachtrag+edit: Lt. Signatur Anbindung1 hast Du zwei Anschlüsse? FTTH bedarf imho eines Kabelmodems? Und dahinter hängt eine FB7390 als Client und gleichzeitig als Router für die RDSI-Anbindung? Schaltest Du diese zw. Router+Clientmodus stets um? Beides gleichzeitig kann dies Imho nicht?

 

[Docmarten]

Aber wenn ich an Standort C bin, dann könnte ich mich per Fernzugang in die DE-7390 FTTH (öffentliche IP) einwählen?
Und hätte ich dann auch den Zugriff auf die Yoigo-7490 (keine öffentliche IP) samt dem daran angeschlossenen NAS?

Ja. Ist auch irgendwo in diesem Thread beschrieben. Du hast über den Fernzugang zur DE-Box vollen Zugriff auf das Heimnetz der ES-Box.
Falls Du Windows 10 verwenden solltest: Damit geht der AVM Fernzugang nicht mehr.
Grüße
Martin

 

[voipspain]

Bei mir sind beide Anschlüsse in Spanien auf den Balearen.
Ja, habe am FTTH Standort 2 Anschlüsse. 1 x RDSI für Telefon und 1 x FTTH mit Telefonnummer für Fax. Dort hat es ein ONT Huawei HG8240H. Dort ist direkt das Fax angeschlossen und die 7490 ist per LAN (Lan1) mit der ONT verbunden:
Internet - Zugangsdaten - Internetzugang:
Anschluss: Externes Modem oder Router
Betriebsart: Internetverbindung selbst aufbauen
Zugangsdaten: adslppp@telefonicanetpa - adslppp
VLAN-ID: 6
Die 7490 managed also RDSI, Internet und internes Netzwerk. Ausgehende Telefonate laufen läuft über DX800a (gleichzeitig max. 2 VoIP und 2 ISDN-Leitungen oder 4 VoIP-Leitungen) angeschlossen am S0 der 7490 und per Lan für Internettelefonie.
Das ganze funktioniert reibungslos. Hatte schon einmal überlegt, RDSI abzumelden, aber ich brauche am Standort Fax, 2 Leitungen für eingehende Anrufe.
Müsste mal über All-IP nachdenken. Das hat aber auch den Nachteil, daß wenn eine Leitung eine Störung hat, alles brach liegt.

Am UMTS Standort komme ich mit dem 3G gut aus. Geschwindigkeit genügt für Internettelefonie und surfen. Über ADSL hätte ich dort weniger Gewschwindigkeit, weil die Kabel in der Strasse uralt sind. Dort soll es (hoffentlich) bald auch FTTH geben. Dann wäre UMTS nur noch eine Hilfslösung.

Aber bis dahin will ich mich auch mit dem UMTS Standort verbinden können.
Und das werde ich jetzt mal ausprobieren, sobald ich Zeit finde.

Nochmal vielen Dank für Deine Hilfe. Denke, daß das auch anderen in Spanien hilft. Denn Zugriff von der Ferne eröffnet ja ungeahnte Möglichkeiten (Haussteuerung, Überwachung, Zähler ablesen ......).

 

[Micha0815]

Danke

@Voipspain für das Aufdröseln. Ich ging davon aus, dass neben dem RDSI-Anschluss über diesen (Kupferkabel nebst Microfiltros o.ä.) auch ADSL zur Verfügung steht. Deshalb war ich etwas irritiert, wie Du I-Net Bonding über die DSL-Buchse und einem LAN/WAN-Port (für FTTH) an der FB realisert hast?

Interessierte Nachfrage @Docmarten

Nach nun rd. 10Monaten ... wie stabil lief/läuft Deine Kombi FB7490+E3131 (@Yoigo) bzgl. Dauerleistung mit VPN LAN2LAN? Keinerlei physische Neustarts/Reboots bisher notwendig gewesen?

LG

 

[Docmarten]

Interessierte Nachfrage @Docmarten
Nach nun rd. 10Monaten ... wie stabil lief/läuft Deine Kombi FB7490+E3131 (@Yoigo) bzgl. Dauerleistung mit VPN LAN2LAN? Keinerlei physische Neustarts/Reboots bisher notwendig gewesen?

Entschuldigung Micha, die Benachrichtigung über Deinen letzten Post scheint nicht bei mir angekommen zu sein.
Es läuft ausgesprochen stabil mit ganz seltenen Aussetzern, die sich meistens von selbst beheben. Dazu trägt sicher auch bei, dass im Dorf mit einer gewissen Regelmässigkeit der Strom ausfällt und so ein Zwangs-Reboot stattfindet. Daher habe ich bislang auch noch nicht manuell Neustarten (lassen) müssen.
Lustigerweise ist momentan gerade die VPN Verbindung zwischen den Boxen gestört. Ursachenforschung ist aus der Ferne natürlich immer etwas schwierig, also warte ich erst einmal ab, ob die Selbstheilung eintritt
Aber insgesamt (dank Eurer Hilfe) eine Super-Lösung, stabiler als das ADSL, das wir vorher hatten, und sichtbar (IP Cam) schneller.
Grüße
Martin

- - - Aktualisiert - - -

Lustigerweise ist momentan gerade die VPN Verbindung zwischen den Boxen gestört. Ursachenforschung ist aus der Ferne natürlich immer etwas schwierig, also warte ich erst einmal ab, ob die Selbstheilung eintritt

Das ist ein echter Vorführeffekt... ich habe mir mal die letzten Statusmails angeschaut. Das Problem ist offensichtlich der DNS bei der Yoigo-Verbindung. Nachdem das Log monatelang nur zwei Zeilen pro Tag hatte, ist es jetzt ziemlich beredt:

24.05.16 11:37:56    Anmeldung der Internetrufnummer 1234567### war nicht erfolgreich. Ursache: DNS-Fehler
[...]
24.05.16 10:03:16    Anmeldung der Internetrufnummer 1234567### war nicht erfolgreich. Ursache: Gegenstelle antwortet nicht. Zeitüberschreitung.
[...]
24.05.16 10:01:02    VPN-Fehler: ####.dyn.dns, IKE-Error 0x202d
24.05.16 09:59:22    VPN-Fehler: ####.dyn.dns, IKE-Error 0x203d
24.05.16 09:59:22    VPN-Verbindung zu ####.dyn.dns wurde getrennt. Ursache: 9 Dead Peer Detection
24.05.16 04:19:43    VPN-Verbindung zu ####.dyn.dns wurde erfolgreich hergestellt.

Und so geht es dann im Minutentakt weiter.
Die FB läuft, beim Anruf der Yoigo-Nummer springt der FB-AB ordnungemäß an.
Ich kann von hier aus naürlich nicht feststellen, ob das ein Yoigo- oder ein FB-Problem ist, also werde ich das Faktotum erstmalig bitten, zu rebooten.
Grüße
Martin

 

[Micha0815]

Danke für das Feedback. Über die Statusmails kannst Du m.E. die Stromausfälle nachvollziehen.
LG

 

[Docmarten]

Die Stromausfälle kann ich in der Tat durch die Statusmails nachvollziehen (die kommen nicht nur von der FB, sondern auch von der Haussteuerung und dem Poolcontroller). Nur kommen die halt nicht, wenn die Internetverbindung mangels DNS nicht steht
Die Kommunikation mit dem von Yoigo zugewiesenen DNS ist auch nicht bei einem Reconnect fehlgeschlagen, sondern hat sich anscheinend (s. letztes Statusmail) im laufenden Betrieb peu à peu verabschiedet.
Neustart der FB hat das behoben. Mir fehlt das Wissen, um zu beurteilen, ob das ein Problem der FB oder von Yoigo war.
Wie macht Ihr das mit DNS - automatisch oder fest zugewiesen (und wenn Letzteres: Irgendeinen freien DNS? OpenDNS?)?
Grüße
Martin

 

[Micha0815]

Die Stromausfälle kann ich in der Tat durch die Statusmails nachvollziehen (die kommen nicht nur von der FB, sondern auch von der Haussteuerung und dem Poolcontroller). Nur kommen die halt nicht, wenn die Internetverbindung mangels DNS nicht steht

Auf den Kanaren ist es schon vorgekommen, dass da "Unterseekabel" oder die Main-Nods streikten? Dann kommt es aus Client-Sicht=Verbunden zu kuriosen Effekten?

Die Kommunikation mit dem von Yoigo zugewiesenen DNS ist auch nicht bei einem Reconnect fehlgeschlagen, sondern hat sich anscheinend (s. letztes Statusmail) im laufenden Betrieb peu à peu verabschiedet.
Neustart der FB hat das behoben. Mir fehlt das Wissen, um zu beurteilen, ob das ein Problem der FB oder von Yoigo war.
Wie macht Ihr das mit DNS - automatisch oder fest zugewiesen (und wenn Letzteres: Irgendeinen freien DNS? OpenDNS?)?
Grüße
Martin

Neben dem internen DNS der Fritte, der wohl den DNS der Verbindung nutzt, habe ich 8.8.8.8 eingetragen (Google). Falls der streikt ist wohl die Welt verloren?

LG

 

[Docmarten]

Danke Micha, ich denke, dass ich auch mal manuell die DNS eintrage. Man müsste der Fritzbox beibringen können, einfach mal zu rebooten, wenn sie über längere Zeit DNS-Probleme registriert.
Ich hatte ja die Hoffnung, dass man mit diesen DECT-Steckdosen von AVM auch per Telefonanruf schalten könnte und so die FB aus der Ferne auch dann gezielt neustarten könnte, wenn man keine VPN-Verbindung zu ihr hat. Geht aber leider nicht.
Grüße
M.

 

[Docmarten]

Guten Morgen,
ich meine, ich hätte das schon einmal gewusst, finde es aber nicht mehr: Wenn ich die ES-Box (7490 mit OS 6.30) update: sind dann die unter Anleitung von PeterPawn durchgeführten Änderungen futsch oder ist "nur" der Telnet-Zugang weg?
würdet Ihr mir raten, upzudaten (bin derzeit vor Ort) oder sollte ich lieber für alle Ewigkeit bei 6.30 bleiben?
Grüße
Martin

 

[Micha0815]

Die 6.51 und die neueren Labor-Firmwares unterstützen den E3131. Mit Modfs musst Du aufpassen.

Gesendet von meinem SM-G900FD mit Tapatalk

 

[PeterPawn]

Wenn Du das Update mit "modfs" ausführen läßt, kannst Du Dir den Telnet-Zugang erhalten (würde ich bei einer entfernten Box nicht drauf verzichten - wobei besser abgesicherte Lösung mit SSH natürlich vorzuziehen wäre, aber hier wohl "verzichtbar", solange der Telnet-Zugang nur über VPN und nicht aus dem LAN (Klartext-Übertragung) genutzt wird).

Solange Deine Änderungen sich nur auf VPN-Einstellungen beziehen, sollte ein Update nichts ändern. Abgesehen davon machst Du ja ohnehin vorher ein Backup der Settings und legst Dir das passende Recovery-Programm lokal auf einem USB-Stick an der FRITZ!Box ab ... damit steht Dir immer ein Rückweg offen.

Bei der ES-Box könnte man mit dem Update etwas zögerlich sein, weil sie (wenn sich da nichts geändert hat) auf keinem Weg aus dem WAN zu erreichen ist und die VPN-Verbindung nur deshalb funktioniert, weil sie von der Box als ausgehende Verbindung aufgebaut wird.

Bei einer Box mit der Möglichkeit, von außen auf das Web-Interface zuzugreifen (dazu gehört jede Box, die mit einer FRITZ!App irgendwas aus der Ferne benutzt werden kann), verbietet sich so eine Frage (soll ich auf das Update verzichten?) von alleine ... spätestens das nächste Update ist dann wieder "mandatory", weil anstelle von L&F-Änderungen wie beim Übergang von 06.30 zu 06.5x dann auch wieder Lücken getilgt werden.

Die Liste der "offiziell gefixten Probleme" auf der AVM-Webseite für die - inzwischen ja wohl doch komplett erschienene - 06.50 wird wohl beim Start der 09.01-61234 als Laborversion dann aktualisiert werden im Frühsommer 2020.

 

[Docmarten]

Velen Dank für die Hinweise. Die D-Box hatte ich bereits aktualisiert, das war problemlos.
Dann werde ich mal die neuen Fremdworte wie modfs, Backup und Recovery studieren und es dann mit der ES-Box versuchen. Habe ich das richtig verstanden, dass wenn ich ein aktuelles Backup mit dem Recoveryprogramm einspiele, nicht die Werkseinstellungen wiederhergestellt werden, sondern die duchgeführten Modifikationen erhalten bleiben?

 

[PeterPawn]

Die Worte Backup und Recovery-Programm passen nur schlecht in einen Satz ... jedenfalls wenn es um die gemeinsame Verwendung geht.

- Backup -> Einstellungssicherung (einiges wird aber nicht gesichert, z.B. DECT-Kopplungen und ein von der Box generierter RSA-Schlüssel samt Zertifikat, wenn man also "certificate pinning" verwendet, gibt es nach der Wiederherstellung trotzdem ein neues Zertifikat auf der Box mit entsprechenden Warnungen)

- Wiederherstellung -> Ersetzen der bisher aktiven Einstellungen durch die aus einer vorher einmal erzeugten Sicherungsdatei ... wenn man zwischendurch kein Löschen der Einstellungen ausgeführt hat (Recovery oder FactoryReset), bleiben auch die DECT-Keys und der RSA-Key unverändert (sie sind eben in der Sicherung nicht enthalten und können damit auch nicht wiederhergestellt werden)

- Werkseinstellungen -> Firmware bleibt unverändert, Einstellungen werden (fast alle) gelöscht

- Update -> Einstellungen bleiben erhalten, Firmware wird aktualisiert (dabei gehen die eigenen Modifikationen an der Firmware verloren, weil die neue sie logischerweise nicht enthält)

- Recovery -> sowohl die Firmware wird auf die (im Recovery-Programm enthaltene) Version geändert (da geht auch ein Downgrade, also die Installation einer älteren Firmware) als auch die Einstellungen werden (noch etwas gründlicher als bei "Werkseinstellungen") gelöscht

Damit macht der Satz "... ein aktuelles Backup mit dem Recovery-Programm einspielen ..." einfach keinen Sinn und somit mußt Du da etwas falsch verstanden haben.

- - - Aktualisiert - - -

Beim Update mit "modfs" kann man dann eventuell vorhandene eigene Änderungen an der Firmware erneut ausführen lassen und dazu würde auch ein aktivierter Telnet-Zugang gehören, denn der war bei der 06.30 für die 7490 ja definitiv auch schon abgeschaltet und muß damit eine eigene Änderung sein.

- - - Aktualisiert - - -

Ich habe meine dBox(en) (war eine dBox2 von Sagem und eine von Nokia) inzwischen entsorgt ... es gibt bessere Geräte mit mehr Leistung.

 

[Docmarten]

Vielen Dank für die Aufklärung. Mit D-Box meinte ich BTW die 7490 in D(eutschland), im Gegensatz zur ES-Box.

 

[PeterPawn]

Jau, schon klar ... das letzte sollte auch nur "Späßle g'macht" sein.

 

[Docmarten]

Guten Tag zusammen,
ich hätte Statusbericht und eine Frage an die Experten:

Status
Läuft weiterhin überaus stabil. Allerdings haben wir kürzlich erstmalig das Kontingent von 20 GB/Monat verbraucht, so dass die Geschwindigkeit gedrosselt wurde. Naiverweise gingen wir davon aus, dass es nun zumindest mit 128 kbit weitergehen würde, doch weit gefehlt: Die Geschwindigkeit war praktisch nicht mehr messbar.
Anruf bei der Yoigo-Hotline: Das sei normal, es hieße ja (erst seit kurzen geändert) "mit bis zu 128 kbit"). Die gedrosselte Geschwindigkeit könne variieren, man könne das aber nicht beeinflussen. Also praktisch unbrauchbar, wenn man mehr als 20 GB/Monat braucht.

Problem/Frage
Kann es sein, dass durch die VPN-Verbindung das D-Netzwerk beim normalen Downloaden auch die Datenverbindung aus dem ES-Netzwerk nutzt?
Hintergrund: Diesen Monat war das Datenvolumen am 11. überraschenderweise erschöpft, obwohl wir nicht vor Ort waren. Normalerweise verbrauchen wir bei Nicht-Anwesenheit > 1 GB/Monat.
Eine Analyse der täglichen Statusmails der beiden Boxen zeigte, dass der sehr hohe Anteil an "Gesendeten Daten" der ES-Box von jeweils knapp 10 GB an zwei Tagen mit demselben Anstieg empfangener Daten in der D-Box korreliert.
An den betreffenden Tagen habe ich im D-Netzwerk fleißig Raspis installiert und per apt aktualisiert usw.

Falls ja: Kann ich das irgendwie sinnvoll verhindern?
Danke & Grüße
Martin

 

[Micha0815]

Die simpelste Methode dürfte sein, prophylaktisch die VPN-Verbindung der DE-Box temporär zu kappen. Was auf den raspis gerade läuft und eingerichtet wurde? im Netzwerk hinter der DE-Box.

Ansonsten schaue Dir die entsprechenden accesslist der beiden vpn.cfg`s genauer an, was erlaubt ist bzw. schränke den IP-Range ein auf ein/zwei Client-IPs.
LG

 

[PeterPawn]

Damit die Verbindung nach ES von den RasPis für den Download irgendwelcher Daten aus dem Internet verwendet wird, müßte die ja irgendwo als Standardgateway eingetragen sein.

Ansonsten stellt sich halt die Frage, was in D in der "accesslist" eingetragen ist. Wenn da kein Eintrag mit Zieladresse "any" oder einer Maske von "0.0.0.0" enthalten ist, dann gehen auch nur die Daten für die aufgeführten Zieladressen durch die VPN-Verbindung.

Selbst wenn ein RasPi mit irgendeiner Software das lokale Netz scannt, kann er nicht sehen, welche "entfernten Netze" in der FRITZ!Box existieren - der müßte als wirklich alles "abgrasen" und dabei auf eine Reaktion der FRITZ!Box in ES treffen und sich in der Folge sehr rege mit ihr "unterhalten".

Warum das der Fall sein sollte, wäre die erste Frage, die ich mir hier stellen würde ... das müßte schon eine komische Software sein, die da Netze außerhalb ihres eigenen LAN-Segments scannt.

Außer natürlich, man gibt irgendwie die Adresse des entfernten Netzes bekannt ... dann kann schon der Versuch irgendeines Mediaplayers, an der entfernten FRITZ!Box ggf. existierende Media-Dateien seinerseits zu indizieren (das geht bei Thumbnails los, die der selbst erstellen will und wo er erst einmal jede Menge Bilder von dort lädt), zu erheblichem Traffic führen.

Da ist "habe fleißig RasPis installiert" dann etwas dünn - zuviele denkbare Möglichkeiten, was sich dahinter verbergen könnte. Updates per "apt" über ES wären aber eben eher unwahrscheinlich - solange die Konfiguration stimmt.