[Frage] Welche IKE/IPSec Strategie ab FW 7.2x?

[Killom]

Guten Tag an alle,

seit der 7.2x funktioniert das IKE DH15 Proposal "dh15/aes/sha" (bei meiner 3490/6490) FritzBox nicht mehr ordentlich, man bekommt keine Verbindung mehr zu Stande. (Vermute beim DH14 und DH5 wirds ähnlich aussehen) Der Support bei AVM weiß natürlich von nix, und bekommt (angeblich) von den Entwicklern auch kein Feedback dazu. (Falls hier AVM intern wer mit liest: Ticket-ID 4489365) Es wird lediglich dazu geraten, die internen Assistenten zu verwenden. Vor der 7.2x lief es zumindest stabil und der Durchsatz reichte für RDP Sitzungen / flüssige Wiedergabe von FLAC-Audio (im Schnitt so 1,2MB/s). Seit der 7.2x wurde die Sache aber scheinbar kaputt optimiert. AVM zu AVM funktioniert gar nicht mehr und AVM zu LANCOM ist nicht mehr stabil.

Mit dem "LT8h/all/all/all" Proposal läuft die Verbindung wieder sauber - aber "nur" in DH2. AVM schreibt auf deren Seite:
"Die FRITZ!Box nutzt beim Schlüsselaustausch über Diffie-Hellman initial 1024 Bit (DH-Gruppe 2). Sie akzeptiert danach aber auch 768, 1536, 2048 und 3072 Bit (DH-Gruppe 1, 5, 14 und 15)."

Wie bringe ich die Box denn dazu, danach in eine andere DH Gruppe zu wechseln? Oder kann die das nicht selber und muss das die Gegenseite regeln? Initial scheint DH15 nicht mehr zu funktionieren (ging unter 7.12 noch!)

 

[GokuSS4]

am besten einfach auf Wireguard umsteigen, dazu reicht ein Raspberry Pi
damit hat sich das ganze AVM VPN gefrickel auch erledigt

 

[Killom]

Ja ist mir schon klar. Aber ich hatte nicht vor zu resignieren

Klar könnte ich mir nen RPI hinstellen. Habe dann aber wieder Geld ausgegeben und ein zusätzliches Gerät im Haus, welches Strom frisst. Die FB habe ich da - und im Produktivbetrieb. Für meinen Privatkram reicht die "Leistung" der Box auch aus und prinzipiell funktioniert die VPN mit den Boxen ja auch - nur halt mit Luft nach oben.

 

[OctoMax]

Vielleicht plattform-spezifisch? Läuft bei mir zwischen einer 7590 und 7590 AX mit dh15 und LT8h problemlos seit zig Firmware-Updates.

 

[StAugustin]

Hier juckelt ein Lancom 1781 VAW erst zu einer 7530 und nun zu einer 5490 mit DH15/AES256/SHA2-512 quasi ununterbrochen rum.
Ich habe an der Lifetime nicht gedreht, sie beträgt 3600.

 

[Killom]

Vielleicht plattform-spezifisch? Läuft bei mir zwischen einer 7590 und 7590 AX mit dh15 und LT8h problemlos seit zig Firmware-Updates.

Anhang anzeigen 113642

Hier juckelt ein Lancom 1781 VAW erst zu einer 7530 und nun zu einer 5490 mit DH15/AES256/SHA2-512 quasi ununterbrochen rum.
Ich habe an der Lifetime nicht gedreht, sie beträgt 3600.

Könnt ihr mal die Configs posten? Vielleicht mache ich ja bei mir etwas anders oder falsch xD

 

[OctoMax]

klar

vpncfg {
vpncfg_version = 1;
connections {
enabled = yes;
editable = yes;
conn_type = conntype_lan;
name = "R407";
boxuser_id = 0;
always_renew = no;
reject_not_encrypted = no;
dont_filter_netbios = no;
localip = 0.0.0.0;
local_virtualip = 0.0.0.0;
remoteip = 0.0.0.0;
remote_virtualip = 0.0.0.0;
remotehostname = "xxx.myfritz.net";
keepalive_ip = 0.0.0.0;
localid {
fqdn = "xxx";
}
remoteid {
fqdn = "xxx";
}
mode = phase1_mode_aggressive;
phase1ss = "dh15/aes/sha";
keytype = connkeytype_pre_shared;
key = "xxx";
cert_do_server_auth = no;
use_nat_t = yes;
use_xauth = no;
use_cfgmode = no;
phase2localid {
ipnet {
ipaddr = 192.168.124.0;
mask = 255.255.255.0;
}
}
phase2remoteid {
ipnet {
ipaddr = 192.168.116.0;
mask = 255.255.255.0;
}
}
phase2ss = "LT8h/esp-all-all/ah-none/comp-all/pfs";
accesslist = "permit ip any 192.168.110.0 255.255.255.0";
app_id = 0;
}
}

 

[StAugustin]

Hier die main mode cfg zum Lancom:

vpncfg {
connections {
enabled = yes;
conn_type = conntype_lan;
name = "NamederVPNVerbindung";
always_renew = yes;
reject_not_encrypted = no;
dont_filter_netbios = yes;
localip = 0.0.0.0;
local_virtualip = 0.0.0.0;
remoteip = 0.0.0.0;
remote_virtualip = 0.0.0.0;
remotehostname = "dyndns.adresse.gegenstelle";
localid {
fqdn = "Name der Fritzbox";
}
remoteid {
fqdn = "Name des Lancom";
}
mode = phase1_mode_idp;
phase1ss = "dh15/aes/sha";
keytype = connkeytype_pre_shared;
key = "sehrlangerkey";
cert_do_server_auth = no;
use_nat_t = no;
use_xauth = no;
use_cfgmode = no;
phase2localid {
ipnet {
ipaddr = 192.168.23.0;
mask = 255.255.255.0;
}
}
phase2remoteid {
ipnet {
ipaddr = 192.168.42.0;
mask = 255.255.255.0;
}
}
phase2ss = "esp-aes256-3des-sha/ah-no/comp-lzs-no/pfs";
accesslist = "permit ip any 192.168.42.0 255.255.255.0";
}
ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500",
"udp 0.0.0.0:4500 0.0.0.0:4500";
}


// EOF