VPN-Verbindung über Fritz-Box 7170

[Tom]

Hello,

ich hatte schon mal einen Anlauf genommen, leider hat der nicht geklappt.
Deshalb neuer Versuch:

Aufgabe: _mehrere_ VPN-Client-Zugänge zu einem Netzwerk über eine Fritz-Box 7170 als VPN-Server

Es gibt eine Konfigurationsdatei für die Box, die per Upload installiert werden muss.

/*
 * Kommentare
 */

vpncfg {
        connections {
                enabled = yes;
                conn_type = conntype_user;
                name = "[e-mail]";
                always_renew = no;
                reject_not_encrypted = no;
                dont_filter_netbios = yes;
                localip = 0.0.0.0;
                local_virtualip = 0.0.0.0;
                remoteip = 0.0.0.0;
                remote_virtualip = 192.168.101.250;
                remoteid {
                        user_fqdn = "[e-mail]";
                }
                mode = phase1_mode_aggressive;
                phase1ss = "all/all/all";
                keytype = connkeytype_pre_shared;
                key = "0fe3>eb84d7e7d7c7157c97?857bfq1d0f";
                cert_do_server_auth = no;
                use_nat_t = no;
                use_xauth = no;
                use_cfgmode = no;
                phase2ss = "esp-all-all/ah-none/comp-all/pfs";
                accesslist =
                             "permit ip 192.168.101.0 255.255.255.0 192.168.101.250 255.255.255.255";
        }
        ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500",
                            "udp 0.0.0.0:4500 0.0.0.0:4500";
}

// EOF

Kann mir jemand sagen, ob man durch entsprechende Änderung dieser Konfiguration auch mehreren Clients (gleichzeitig) den Zugang ermöglichen kann?

Jeder Tipp kann hilfreich sein.

Ein harzliches Glückauf

Tom vom Berg

[Samoht]

Gudn!

Ich kann Dir leider nicht konkret weiterhelfen. Aber vielleicht bringt es Dir etwas, dass es eine neue Firmware gibt, die zahlreiche neue Funktionen (AFAIK auch bzgl. VPN) bietet: http://webgw.avm.de/download/Download.jsp?partid=13172

Gruß aus Fürth in Mittelfranken,
Samoht

[Tom]

Hello,

Ich kann Dir leider nicht konkret weiterhelfen. Aber vielleicht bringt es Dir etwas, dass es eine neue Firmware gibt, die zahlreiche neue Funktionen (AFAIK auch bzgl. VPN) bietet: http://webgw.avm.de/download/Download.jsp?partid=13172

Leider hilft das nicht weiter.
Habe das Updatge gefahren.
Danach kann man aus der Bedienungsoberfläche die Konfigurationsdatei (siehe oben) laden und aktivieren. Danach geht VPN für _einen_ Client, sow ich ich das verstehe.

Wie brauchen aber VPN für vier Clients...

Nun war die Idee, dies eventuell einfach durch Modifikation der Config-Datei zu ermöglichen.

Leider weiß ich nichts über den in der Fritz-Box verwendeten VPN-Server/Dienst.

Wofür ist:

remote_virtualip               ## kann man da eventuell mehrere angeben?
  remoteid { user_fqdn ... }     ##   "
  accesslist                     ## da stehen in einer anderen Beispielconfiguration mehrere drin

Ein harzliches Glückauf

Tom vom Berg

[Tom]

Hello,

es ist noch nicht die Auflösung des Knotens, aber nachdem ich eine dieser Config-Dateien hochgeladen habe, hat die Fritzvox ein Menu angezeigt. In diesem bietet sie das Löschen des Client-Zuganges an.

Außerdem ist das Uploadformular auch wieder da.

Das lässt die Vermutung zu, dass mehrere Client-Zugänge parallel möglich sind.
Leider konnte ich es eben nicht mehr ausprobieren... Kunde drängelte, damit er wenigstens mit einem Zugang rankommt.

Bleibt für mich aber erstmal die Frage, wofür dann das "accesslist = " steht, bei dem in einer anderen Beispieldatei auch noch "any" verwendet wird.

accesslist = "permit ip any 192.168.178.0 255.255.255.0 192.168.178.201 255.255.255.255";

Ein harzliches Glückauf

Tom vom Berg

[Andreas Görtz]

Hi Tom,

Aufgabe: _mehrere_ VPN-Client-Zugänge zu einem Netzwerk über eine Fritz-Box 7170 als VPN-Server

AVM hat ein eigenes VPN-Service-Portal eingerichtet, da sollten eigentlich alle deine Fragen beantwortet werden. Da gibt es sogar einen Assistenten zum Erstellen der Konfigurationsdateien zum Download.

Gruß,
Andreas.

[Tom]

Hello,

Aufgabe: _mehrere_ VPN-Client-Zugänge zu einem Netzwerk über eine Fritz-Box 7170 als VPN-Server

AVM hat ein eigenes VPN-Service-Portal eingerichtet, da sollten eigentlich alle deine Fragen beantwortet werden. Da gibt es sogar einen Assistenten zum Erstellen der Konfigurationsdateien zum Download.

Vielen Dank für die Links.
Die Inhalte der Dokumente habe ich schon seit ein paar Tagen nahezu auswendig gelernt.
Ich habe heute auch mit dem Support telefoniert und ein paar weitere Hinweise bekommen.

Die Frage, ob nun mehrere Benutzer (Clients) gleichzeitig über VPN verbinden können, wird leider nirgends konkret beantwortet. Ich fand jedoch Hinweise auf "Bugs" und dass ggf. der Soeicher der Box nicht ausreicht, je nachdem, was man sonst noch alles gestartet hat.

Ein harzliches Glückauf

Tom vom Berg

[Andreas Görtz]

Hi Tom,

Die Frage, ob nun mehrere Benutzer (Clients) gleichzeitig über VPN verbinden können, wird leider nirgends konkret beantwortet.

die Antwort zu dieser FAQ, insbesondere der erste Satz ("Es können mehrere VPN-Verbindungen zu unterschiedlichen Zielen eingerichtet und auch gleichzeitig aufgebaut werden."), müsste deine Frage doch konkret beantworten?!

Ich fand jedoch Hinweise auf "Bugs" und dass ggf. der Soeicher der Box nicht ausreicht, je nachdem, was man sonst noch alles gestartet hat.

den Problemen solltest du dich erst zuwenden, wenn es soweit ist...

Gruß,
Andreas.

[Tom]

Hello Andreas,

den Problemen solltest du dich erst zuwenden, wenn es soweit ist...

das ist im realen Leben gar nicht so einfach :-(

Die Box muss eingerichtet und dann ausgeliefert werden und dann soll sie laufen...
Das Testen ist recht schwierig, wenn man nur einen Internet/DSL-Zugang hat.
Jedenfalls ist mir noch nichts vernünftiges eingefallen, wie ich das testen könnte.
Die Zeit war allerdings heute auch nicht so prall vorhanden, vernünftig darüber nachzudenken.

Vielleicht hast Du ja den Schubs in die passende Richtung für mich?

Ein harzliches Glückauf

Tom vom Berg

[Tom]

Hello,

Auf der Fritz-Box (Netzseite) der VPN-Verbindung sind wir drauf.

Aber wie kommt man nun ins Netz?
Windows soll den Server erreichen können...

Ein harzliches Glückauf

Tom vom Berg

[Tom]

Hello,

haben uns gerade ausgesperrt, als wir eine neue fritzbox.conf per durch den VPN-Tunnel initierten HTTP-Upload in die Box geladen haben.

Danach kam nur noch die Meldung, dass die Identität auf der Box nicht bekannt sei.

Hintergrund war eine Korrektur an einer Netzwerkmaske, die vermeintlich falsch generiert wird durch das Einrichte-Tool.

siehe hierzu http://ip-phone-forum.de/showthread.php?t=146337

Bin also zum Kunden gefahren und habe die Box neu bestückt mit fritzbox.conf.

Leider nimmt sie nur eine davon an. Wie soll man da also mehrere VPN-Verbindungs-Definitionen gleichzeitig bereithalten?

Ein harzliches Glückauf

Tom vom Berg

[Tom]

Hello,

Bin also zum Kunden gefahren und habe die Box neu bestückt mit fritzbox.conf.

Habe die Version benutzt mit "korrigierter Maske", also mit 255.255.255.0

accesslist =
                             "permit ip 192.168.0.0 255.255.255.0 192.168.0.250 255.255.255.0";
                                                                                           ----

Nun kommen wir wieder nicht mehr drauf.

"Die verwendete Identität ist der Gegenstelle nicht bekannt"

kommt als Meldung im AVM-VPN-Client.

Was bedeutet also diese Maske?
Ist es ein Filter?
Hat jemand schon mal in den Source-Code geschaut?

Ein harzliches Glückauf

Tom vom Berg

[Tom]

Hello,

255.255.255.255 als Maske für virtuelle Client-IP ist OK
  Es hängt zusammen mit P2P statt P2Net oder Net2Net
  ganz verstanden habe ich es aber noch nicht.

Was bedeutet also diese Maske?

Kann es jemand erklären?

Ein harzliches Glückauf

Tom vom Berg

[Jens Holzkämper]

Tach,

255.255.255.255 als Maske

Was bedeutet also diese Maske?

dass in diesem Subnetz nur eine IP existiert.

mfg
Woodfighter

[Tom]

Hello,

255.255.255.255 als Maske

Was bedeutet also diese Maske?

dass in diesem Subnetz nur eine IP existiert.

*ah*  *Groschen klingeln hör*

Das klingt so plausibel, dass sogar ich Dir das sofort abkaufe.
Habe aber kein Geld im Moment. Nimmst Du auch ein 'A'?

Ein harzliches Glückauf

Tom vom Berg

[Jens Holzkämper]

Tach,

Das klingt so plausibel, dass sogar ich Dir das sofort abkaufe.
Habe aber kein Geld im Moment. Nimmst Du auch ein 'A'?

WAS, EIN A?

mfg
Woodfighter

[Tom]

Hello,

Das klingt so plausibel, dass sogar ich Dir das sofort abkaufe.
Habe aber kein Geld im Moment. Nimmst Du auch ein 'A'?

WAS, EIN A?

*Pssst*

<ton vol="leise">ich könnte Dir auch ein nagelneues 'B' anbieten</ton>

Na, mal sehen, ob ich auch die OpenVPN Lösung mit der 7050 hinbekomme, wenn mir jetzt eine zum Speilen in die Finger gerät.

Mit der 7170 läuft das jedenfalls noch nicht rund. Man kann nur ein VPN-Profil in die Box laden. Nimmt man ein zweites hinzu, wird das erste gelöscht. Es ist also nicht möglich, mehr als eine identifizierende VPN-Verbindung gleichzeitig damit aufzubauen.

Ich nehem ja an, dass wir immer noch etwas falsch machen. Auch wenn es noch den Status "Labor" oder "Beta" hat, haben diese Dinge bei AVM bisher immer funktioniert.

Ein harzliches Glückauf

Tom vom Berg