Kein VPN zu Fritzbox aus einem bestimmten Netzwerk heraus

[zahni 554]

 Geht es denn über Mobilfunk?

Im Fremden WLAN darf natürlich kein UDP gefiltert werden. Haben die User wirklich ungefilterten Internetzugang ohne Proxy, etc? 

[Canni 11]

Mobilfunk funktioniert, eigentlich von überall aus ging es bisher.

 

Laut Aussage der Admins wird nichts gefiltert (würde, wenn gefiltert wird, die VPN-Verbindung nicht garnicht erst aufgebaut werden?). Die Fritzbox scheint nicht damit klarzukommen, dass öffentliche IP = private IP (im Client-Netz).

[zahni 554]

Wieso ist die öffentliche IP = private IP? 

DIe FB verteilt VPN-IPs per default ab .201 i ihrem internen IP-Netz.

[Canni 11]

Na wie geschrieben, weil in dem Netzwerk, von dem aus ich Probleme habe, deren Router mir eine IP-Adresse zuweist, die gleichzeitig die öffentliche IP ist! Habe das zuvor auch noch nie wo gesehen.

 

Wenn ich www.wieistmeineip.de eingebe sehe ich exakt die IP, die ich auch sehe, wenn ich die Eigenschaften der Netzwerkverbindung ansehe. Und meiner Meinung kommt damit die Fritzbox als VPN-Server nicht klar.

[magheinz 110]

Die öffentliche IP sollte aber kein Problem sein sondern die Sache eher vereinfachen da NAT wegfällt.

Die Fritzbox darf damit auch kein Problem haben. Es kann ja nicht Voraussetzung sein das der VPN-Client hinter einem NAT-Gateway hängt.

Entweder ist die Konfig(Fritzbox, VLANs, DHCP-Server, VPN-Client) falsch oder es wird doch irgendwo etwas gefilter.

Könnte das auch ein IPv4-IPv6-Problems sein? Hast du eventuell am Client nicht nur die v4 sondern auch eine v6-Adresse und er versucht darüber zu verbinden und zu arbeiten?

[zahni 554]

Wenn die Client wirklich ungefiltert Zugang zum Internet hat (ohne NAT), dann müsste NAT-T im VPN Client eigentlich abgeschaltet werden, wenn ich https://supportforums.cisco.com/document/64281/how-does-nat-t-work-ipsecrichtig lese. Der VPN-Server der FB ist ja direkt erreichbar und hängt direkt am Internet mit einer öffentlichen IP-Adresse.

Sind "zu Hause" irgendwelche Router kaskadiert? 

Bei der FB muss u.U. NAT-T deaktiviert werden, wenn man das im VPN-Client nicht direkt abschalten kann:

 

http://www.nwlab.net/tutorials/VPN-FritzBox/

 

Option: use_nat_t = no;  

 

Hinweis: Üblicherweise hängen Client fast immer hinter  NAT-Gateways, auch bei mobilen Verbindungen. Daher ist eine öffentlich IP-Adresse eher unüblich. Manche  Universitäten haben sich aber wohl schon frühzeitig Adressen gesichert, bräuchten die aber  nicht mehr wirklich...

[magheinz 110]

Spätestens mut ipv6 sind dann wieder alle ips öffentliche.

das oft bei IPv4 NAT genutzt wird verdanken wir den wenigen v4adressen. Gedacht ist das eigentlich mal anders gewesen. Mein Brötchengeber hat z.b. auch genug öffentliche IPs. Hätte ich das Netz damals aufgesetzt würden wir auch kein NAT machen. Derjenige ders gemacht hat hält NAT aber vermutlich für ein Sicherheitsfeature...

[Canni 11]

Hallo zusammen,

 

danke für Eure Antworten und die Mühe.

 

Also über ipconfig /all kann ich nicht behaupten, dass da v6 im Spiel ist.

 

Die Konfiguration der FritzBox kann ich auch ausschließen (nicht aber die Fritzbox an sich, also AVM-seitig, was die Implementierung anbelangt). Ich habe 3 FritzBoxen zum testen und eine sogar komplett neu aufgesetzt - das Problem tritt an allen FritzBoxen (1 x Telekom-VDSL, 1 x Telekom-ADSL, 1 x Vodafone-ADSL) auf, aber eben - wie gesagt - nur aus diesem Netzwerk heraus auf.

 

Gefiltert wird laut Administratoren definitiv nichts. Ich bin auch der Meinung, wenn gefiltert werden würde, dann käme die VPN-Verbindung überhaupt nicht zustande. Außerdem funktioniert es ja, wenn ich unter Windows im Shrew Soft Client "force-rfc" unter "NAT-Traversal" aktiviere --> spricht doch alles für eine NAT-Geschichte. Spannend wäre es ja, unter der öffentlichen IP des Problemnetzwerkes testweise selber NAT zu bauen und von diesem "Client" aus dann VPN zu starten ...

 

Die Idee mit "use:nat_t = no" fand ich auch klasse, brauche aber leider nicht den gewünschten Erfolg.

 

In einem anderen Forum meinte jemand, man sollte verhindern können, dass er über UDP 500 verbindet, sondern direkt via UDP 4500. Das bekomme ich aber nicht eingestellt in der FritzBox.

 

Wie würdet ihr hier weiter vorgehen? So wie es bislang für mich aussieht, kommt die FritzBox nicht mit dem Netzwerk klar, nur weil dort öffentliche IP = private IP ist.

 

 

Danke Euch für jede Idee.

 

 

P.S.: NAT sehe ich im Unternehmensnetzwerk sehr wohl als Sicherheitsvorteil, schon allein, weil dadurch nicht alle Clients direkt aus dem Internet erreichbar sind.

bearbeitet 1. November 2015 von Canni

[Canni 11]

Niemand von Euch eine Idee?

[zahni 554]

Nö, da  fällt mir  dann nichts  mehr  ein. Frage doch mal bei AVM nach, was Du in der VPN-Config  einstellen sollst.

[Leuchtkondom 17]

Ohne mir die beiden Seiten komplett durchzulesen, habe ich glaube ein gleiches Problem. 

Eigentlich bin ich überhaupt gar kein Freund von diesem AVM Mist, Dienstlich setzen wir ordentliche UTM´s ein, aber ich bin jetzt jedoch umgezogen und darf dort die Internetleitung meiner Vermieter mit nutzen und spare mir so meinen eigenen Anschluß.

 

Damit ich von Unterwegs auf meinen Receiver etc. zugreifen kann, habe ich mir auf der Fritzbox meines Vermieters ein VPN eingerichtet.

Einwählen kann ich mich per Handy über WLAN eines Fremdnetzes sowie über das normale Vodafone Netz. Interessanterweise bekomme ich NUR ZUGRIFF wenn ich mich hinter einen WLAN Netz befinde, wenn ich mich über das UMTS / LTE Netz einwähle, steht zwar die Verbindung, aber ich bekomme keinen Zugriff auf das interne Netzwerk.

 

Da ich genug auf Arbeit zu tun habe und das für mich nicht sooooo wichtig war, habe ich mich mit dem Thema jetzt derzeit nicht weiter beschäftigt, scheint aber dann genau der gleiche Fall zu sein wie bei dem Threadersteller.

[zahni 554]

Kann gut sein, das Vodafone in Deinem Tarif VPN nicht  erlaubt. Dann geht  es auch nicht ;)

[Leuchtkondom 17]

definitiv nein, ich kann mich bei unseren Kunden einwählen, alles kein Problem. Nur das VPN zur Fritzbox hat dieses Problem ... ist mir auch nicht so wichtig, wollte es nur erwähnen da ja scheinbar das Problem identisch zu sein scheint