FritzBox 7490 - VPN über Windows-PC nicht (mehr) möglich

[cosmos321]

Hallo zusammen,

mein Schwiegervater hat sich ne neue 7490 von AVM geholt und wollte VPN einrichten. Ich selbst besitze eine "alte" 7240 und habe auch alle Extras am laufen und funktioniert 1A.

Nur leider will die 7490 mal so überhaupt keine VPN-Verbindung annehmen. Korrekt eingerichtet (über die Tools von AVM) ist alles.

Wenn ich nun aber eine Verbindung über "FRITZ!Fernzugang" (Win 8.1 64bit) von meinem Netzwerk aus aufbauen möchte, dann kommt nach einiger Zeit nur die Meldung, dass die Gegenstelle nicht antwortet. Haben nun sowohl testweise einen DynamicDNS (no-ip.org) eingerichtet, wie auch den hauseigenen Service über myfritz.net !

Es geht über beide nicht (Zugriff auf die Box per no-ip als auch myfritz über einen Browser ist aber möglich). Die IP-Konfiguration meiner FritzBox ist angepasst (192.168.10.1), die meines Schweigervaters nach wie vor auf Werkseinstellungen (192.168.178.1); hier sollte also kein Adressenkonflikt auftreten (AVM beschreibt es ja selbst in ihren Anleitung, dass das nicht funktioniert).

Woran kann das liegen? Vielleicht sogar an Windows 8.1? Netzwerktechnisch wurde da ja einiges überarbeitet. Laufen die Clients womöglich nicht mehr korrekt?

Konfigurationsfehler kann ich ausschließen, da ich es selbst bei meiner Box zu genüge eingerichtet habe und bisher immer alles ging. Wir habe auf seiner Box sowohl den "manuellen" Weg, direkt über das WebIF der Box in den VPN Einstellungen versucht, als auch die klassische Variante über das Erzeugen einer CONFIG-DATEI mittels des AVM-Tools und dann Einspielen in die Box.

Hat jemand eine Idee woran es hapern könnte? Ist es vlt. doch die Connection AVM zu AVM-Box das Problem?

 

[Sc0rc3d]

Hast du einen Benutzer auf der FRITZ!Box auch einen Benutzer die VPN-Rechte zugewiesen?

Probiere es mal bitte so:
http://service.avm.de/support/de/sk...Box-unter-Windows-einrichten-FRITZ-Fernzugang

Und achte darauf das du den aktuellen FRITZ!Fernzugang nutzt:

 

[cosmos321]

Kann beides bestätigen. Beim Benutzer ist "VPN" angehakt und die Software nutze ich ja auch (für Win 8.1 64bit)! Alles Punkt-für-Punkt nach Anleitung auch schon probiert!

 

[frankpr]

Sämtliche Versionen des VPN Tools haben bei mir eine fehlerhafte Konfiguration erzeugt, mit der ich keinen VPN Tunnel aufbauen konnte. Die Lösung habe ich dann in irgend einem Forum gefunden und meine Konfig entsprechend angepaßt. Vergleiche mal Deine mit meiner .cfg für die Box:

/*
 * C:\Users\*****\AppData\Roaming\AVM\FRITZ!Fernzugang\*****\fritzbox_*****.cfg
 * Fri Nov 01 17:44:21 2013
 */

vpncfg {
        connections {
                enabled = yes;
                conn_type = conntype_user;
                name = "Username";
                always_renew = no;
                reject_not_encrypted = no;
                dont_filter_netbios = yes;
                localip = 0.0.0.0;
                local_virtualip = 0.0.0.0;
                remoteip = 0.0.0.0;
                remote_virtualip = 192.168.100.199;
                remoteid {
                        key_id = "Username";
                }
                mode = phase1_mode_aggressive;
                phase1ss = "all/all/all";
                keytype = connkeytype_pre_shared;
                key = "*************";
                cert_do_server_auth = no;
                use_nat_t = yes;
                use_xauth = yes;
                xauth {
                        valid = yes;
                        username = "Username";
                        passwd = "Userpasswort";
                }
                use_cfgmode = no;
                phase2localid {
                        ipnet {
                                ipaddr = 0.0.0.0;
                                mask = 0.0.0.0;
                        }
                }
                phase2remoteid {
                        ipaddr = 192.168.100.199;
                }
                phase2ss = "esp-all-all/ah-none/comp-all/no-pfs";
                accesslist = 
                             "permit ip any 192.168.100.199 255.255.255.255";
        }
        ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500", 
                            "udp 0.0.0.0:4500 0.0.0.0:4500";
}


// EOF

Username, Userpaßwort, "*****" sowie IP Adressen mußt Du natürlich entsprechend Deinen Gegebenheiten anpassen.
Ich baue den VPN Tunnel zu meiner dyndns.com Adresse auf, funktioniert von allen Devices und aus allen Netzen inkl. MoFu problemlos. Getestet mit Windows 8.1, OSX Mavericks, IOS und Android.

 

[cosmos321]

Danke für den Tipp, werde ich testen. Hast du ebenfalls eine 7490?

Merkwürdig dann ja auch, dass es nicht geht wenn ich die VPN Einstellungen manuell in der Box anlegen und eben nicht über das Erstellen und Einspielen der Konfigdateien.

Werde dann aber mal vergleichen.

 

[frankpr]

Ich habe die 7490. Software ist 06.05.
Das Konfigurationsprogramm erzeugt falsche IP Einträge. Also speziell den unteren Bereich vergleichen.
Ich habe mir die Seite, woher ich den Tipp hatte, leider nicht als Favoriten gespeichert, sonst hätte ich mal den Link posten können.

 

[cosmos321]

Ok gut, das lässt ja hoffen dass es dann in unserem Szenario auch geht. Aber mal ehrlich, wie kann das sein? Bei den alten Boxen/alten Softwareversionen ging es bei mir bisher immer problemlos. Ist das AVM selbst noch nicht aufgefallen? Oder gibt es einfach zu wenige die das VPN nutzen und AVM hier zu wenig Feedback bekommt?

Müsste man ja eigentlich mal den Support anschreiben und darauf aufmerksam machen! Das Problem dürften dann ja eigentlich sehr viele haben!

 

[frankpr]

Keine Ahnung, ob niemand Feedback an AVM weitergibt. In dem Forum oder Blog, wo ich das gefunden hatte, haben sich relativ viele User mit dem gleichen Problem gemeldet.

 

[cosmos321]

Also in den FritzBox-Config sind bei uns folgende Einträge verschieden: (blau deine, rot unsere)

remote_virtualip = 192.168.100.199;

remote_virtualip = 192.168.178.202;

remoteid {
key_id = "Username";
}

remoteid {
                        user_fqdn = "********";
                }

use_xauth = yes;
    xauth {
    valid = yes;
    username = "Username";
    passwd = "Userpasswort";
    }

use_xauth = no;

phase2localid {
    ipnet {
    ipaddr = 0.0.0.0;
    mask = 0.0.0.0;
    }
    }

phase2localid {
                        ipnet {
                                ipaddr = 192.168.178.0;
                                mask = 255.255.255.0;
                        }
                }

phase2remoteid {
    ipaddr = 192.168.100.199;
    }

phase2remoteid {
                        ipaddr = 192.168.178.202;
                }

phase2ss = "esp-all-all/ah-none/comp-all/no-pfs";

phase2ss = "esp-all-all/ah-none/comp-all/pfs";

Also doch schon erhebliche Unterschiede, im ganzen sieht unsere Config so aus (zurzeit gerade 2 Benutzer angelegt, war zu Testzwecken):

vpncfg {
        connections {
                enabled = yes;
                conn_type = conntype_user;
                name = "*******";
                always_renew = no;
                reject_not_encrypted = no;
                dont_filter_netbios = yes;
                localip = 0.0.0.0;
                local_virtualip = 0.0.0.0;
                remoteip = 0.0.0.0;
                remote_virtualip = 192.168.178.202;
                remoteid {
                        user_fqdn = "*********";
                }
                mode = phase1_mode_aggressive;
                phase1ss = "all/all/all";
                keytype = connkeytype_pre_shared;
                key = "**************************";
                cert_do_server_auth = no;
                use_nat_t = yes;
                use_xauth = no;
                use_cfgmode = no;
                phase2localid {
                        ipnet {
                                ipaddr = 192.168.178.0;
                                mask = 255.255.255.0;
                        }
                }
                phase2remoteid {
                        ipaddr = 192.168.178.202;
                }
                phase2ss = "esp-all-all/ah-none/comp-all/pfs";
                accesslist = 
                             "permit ip 192.168.178.0 255.255.255.0 192.168.178.202 255.255.255.255", 
                             "permit ip any 192.168.178.202 255.255.255.255";
        } {
                enabled = yes;
                conn_type = conntype_user;
                name = "**************";
                always_renew = no;
                reject_not_encrypted = no;
                dont_filter_netbios = yes;
                localip = 0.0.0.0;
                local_virtualip = 0.0.0.0;
                remoteip = 0.0.0.0;
                remote_virtualip = 192.168.178.201;
                remoteid {
                        user_fqdn = "****************";
                }
                mode = phase1_mode_aggressive;
                phase1ss = "all/all/all";
                keytype = connkeytype_pre_shared;
                key = "*************************";
                cert_do_server_auth = no;
                use_nat_t = yes;
                use_xauth = no;
                use_cfgmode = no;
                phase2localid {
                        ipnet {
                                ipaddr = 192.168.178.0;
                                mask = 255.255.255.0;
                        }
                }
                phase2remoteid {
                        ipaddr = 192.168.178.201;
                }
                phase2ss = "esp-all-all/ah-none/comp-all/pfs";
                accesslist = 
                             "permit ip 192.168.178.0 255.255.255.0 192.168.178.201 255.255.255.255", 
                             "permit ip any 192.168.178.201 255.255.255.255";
        }
        ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500", 
                            "udp 0.0.0.0:4500 0.0.0.0:4500";
}


// EOF

Ergänzung (15. März 2014)

Ich glaube ich werde einfach deine mal kopieren, meine IPs und Benutzernamen einsetzen und einspielen. Mal sehen ob es dann auf Anhieb funktioniert!

 

[cosmos321]

@frankpr: Hätte mal noch ne Frage an dich:

Ich habe jetzt nochmal etwas getestet und die VPN-Verbindung nach deiner Config oben funktioniert nun prima mit meinem Android-Handy.

Wie aber verbindest du dich per Windows (7/8/8.1)mit der Box über VPN? Ich habe nun Shrew Soft VPN als auch den NCP Secure Entry Client NACH AVM ANLEITUNG ausprobiert.

Doch leider kommt keine Verbindung zustande. Beim einen bleibt er immer bei "bringing up tunnel" hängen und bricht dann mit "negotiation timout occurred" ab. Beim anderen kommt dann irgendwann ein "VPN Gateway not responding". Woran kann das liegen? Welche Programme nutzt du zum Aufbau der VPN Verbindung in Windows? Hast du dafür dann ein anderes VPN-Profil in der FB angelegt oder nutzt du für den Zugriff von Android/iOS aus das gleiche wie für Windows?

Übrigens funktioniert VPN auch wenn ich direkt über den VPN-Assistenten in der Box ein Profil anlege (und eben den Haken bei VPN setze) und mich dann mittels Android verbinde. Hier scheint der Assistent also eine "korrekte" Config anzulegen. Über ShrewSoft/NCP VPN bekomme ich da aber auch keine Verbindung!

Ich habe übrigens dann auf meinem Handy auch den "NCP VPN Client" installiert in der Hoffnung mit diesem über Android ebenfalls erfolgreich eine Verbindung aufbauen zu können und dann eben über die Export-Funktion die Konfiguration auf dem NCP-Windows-Client zu importieren. Doch leider schlägt die VPN Verbindung auch in Android über den NCP-Client fehl. Habe sie so eingerichtet wie nach AVMs Anleitung.

Schon seltsam dass der in Android integrierte VPN-Client problemlos eine Verbindung aufbaut, aber Drittsoftware nicht. Irgendwie stimmen da eben die Einstellungen nicht. Kann mich irgendwer auf den rechten Pfad führen , wo liegt da der Fehler begraben?

EDIT: Problem gelöst, hab die falschen Einstellungen gefunden, nun geht alles mit dem ShrewSoft VPN Client!

 

[uwe6a]

@cosmos321

Könntest Du Deiner Erkenntnisse zu den "falschen Einstellungen" in Bezug auf ShrewSoft den anderen Unwissenden hier im Forum vielleicht zuteil werden lassen? Das wäre großartig! Danke im Voraus.

 

[cosmos321]

Kurz und knapp: an DIESE ANLEITUNG halten, dann klappt alles! Die Anleitungen von AVM waren (seiner Zeit) leider unvollständig bzw. fehlerhaft für meine Konfiguration.

 

[Olunixus]

Hey,
ich habe das VPN eben bei meinem Winxp-Laptop erfolgreich nach der Anleitung aus #12 eingerichtet, allerdings muss man jetzt immer das PW eingeben. In den Kommentaren der Anleitung wird vorgeschlagen das per Batch zu machen (mit PW im Klartext) - wollte ich eigentlich vermeiden.
In den Kommentaren habe ich aber noch einen 2. Eintrag gefunden:

Zweite Frage wäre, wieso tut das VPN nicht mit der von AVM vorgeschlagenen Methode, nur “Mutual PSK”. Dann müsste man nicht immer das Passwort eintippen. Mache ich das aber so, komme ich nur auf die Fritzbox, aber nicht ins Internet, d.h. man muss auf der “Policy” Seite “Tunnel All” abwählen.

Mit diesen Einstellungen solls ja dann funktionieren ohne jedes mal das PW eintippen zu müssen, aber wenn ich "Tunnel All" abwähle wird doch nichtmehr der gesamte Traffic durchs VPN geleitet, oder?!

 

[Garf]

FritzBox 7490 - VPN über Laptop mit Win 8.1 (64bit) nicht möglich

Hallo Zusammen,

ich bin mit meinem Latein nun nach einer Woche des Versuchens am Ende. Leider finde ich keine weiter Hilfe mehr im Netz und der Support von AVM hilft einem nicht wirklich weiter mit seinen mehr als allgemeinen Aussagen.

Ihr seit jetzt meine letzte Hoffung hier. Ja ich weiß, ich platze hier so einfach in das Forum und möchte jetzt auch noch eure Hilfe in Anspruch nehmen. Aber was habe ich noch für eine Wahl, außer hier im Hilfe zu bitten.

Mein Problem sieht wie folgt aus:

Ich würde gerne mit meinem neuen Laptop (Win 8.1 64bit) eine VPN Verbindung zu meiner FritzBox 7490 aufbauen. Dies will mir aber weder mit dem ShrewSoft Client noch mit dem AVM-Fernzugang gelingen.

Der ShrewSoft Client bringt folgende Fehlermeldung:

config loaded for site '*********.myfritz.net'
attached to key daemon ...
peer configured
iskamp proposal configured
esp proposal configured
client configured
local id configured
remote id configured
pre-shared key configured
bringing up tunnel ...
negotiation timout occurred
tunnel disabled
detached from key daemon

Und der AVM-Fernzugang schreibt, dass er sich verbindet, aber nach einer längeren Zeit steht dort wieder "......abgebaut" und es hat nie eine Verbindung gegeben.

Zum Glück habe ich mehrere ältere Laptops zur Verfügung und konnte es damit ebenfalls versuchen.

1. Laptop_alt1 = Windows 7 (32bit):
* AVM Fernzugang eingerichtet, funktioniert alles einwandfrei, Verbindung wird über Mobilfunknetz einwandfrei aufgebaut und ich komme in das Heimnetz.
* Shrew Soft Client, gleicher Fehler wie oben
2. Laptop_alt2 = Windows 8 (32bit):
* AVM Fernzugang eingerichtet, funktioniert alles einwandfrei,......
* Shrew Soft Client, gleicher Fehler wie oben

Der Zugang über MyFritz.net funktioniert einwandfrei und über die Eingabe des Benutzers und des PW komme ich auch an die Box. VPN ist eingerichtet und vorhanden. Ich jedenfalls habe keine Ahnung woran es liegen könnte und was ich noch machen soll, damit es auch auf dem neuen Laptop funktioniert. Denn dieser soll die alten, unhantlichen und leistungsschwachen Laptops eben ablösen.

Habt ihr noch eine Idee, was ich machen kann bzw. muss. Ich hoffe ihr könnt mir helfen.

Garf

 

[cosmos321]

Bist du mal meine Anleitung aus #12 durchgegangen? Die Anleitungen von AVM funktionieren nicht.

Habe ebenfalls Win8.1 und mein Zugriff auf die 7490 funktioniert. Nicht mit dem AVM Fernzugang aber eben mit ShrewSoft nach der Anleitung.

 

[cosmos321]

P.S. übrigens sowohl aus dem Mobilfunknetz (O2) als auch logischerweise über die normale DSL-Verbindung!

 

[Garf]

Bist du mal meine Anleitung aus #12 durchgegangen? Die Anleitungen von AVM funktionieren nicht.

Einmal??? Gefühlt 100 mal, aber es kommt die oben beschriebene Fehlermeldung.


Aber mir ist über Nacht noch eine Idee gekommen, woran s evtl. liegen könnte. Im Moment habe ich einen Benutzer für den VPN Zugang in der FritzBox eingetragen und freigeschaltet. Dieser wird unter VPN angelegt und auch angezeigt. Darauf hin habe ich dann noch die Daten vom AVM Einrichtungsassistenten unter VPN eingelesen (Importiert). Den Zugang kann ich jetzt auch mit dem AVM Fernzugang von den alten Laptops mit Win 7/Win 8.1 (32 bit) nutzen.
Kann ich diesen Zugang überhaupt mit dem Shrew Soft Client nutzen, denn der AVM Fernzugang legt sich ja ganz eigene Keys an und bei dem Shrew Soft Client gebe ich ja die Daten wie in der Anleitung aus deinem Post #12 beschrieben ein.

Wie hast Du den VPN Benutzer in deiner FritzBox angelegt?
Benutzt Du auch den Zugang über myfritz.net?
Welche Einstellung hast Du bei dem Shrew Soft Client gewählt, gesamter Datenverkehr, oder lokales FritzBox-Netz?

Von AVM hört man leider nichts mehr. Ich habe das Gefühl dort sitzen irgendwelche Studenten der Informationstechnik, die in den Abendstunden sich etwas dazuverdienen und wahrscheinlich nur allgemeine Hilfestellungen geben können. Alle Antworten kamen deutlich nach 18:00 Uhr und waren absolut nicht hilfreich. Am Ende steht dann es müsse wohl am Computer liegen und man solle dort einmal die Einstellungen überprüfen. Ein echter Witz wie ich finde.

Danke schon einmal dafür, dass Du gantwortet hast. Dass gibt mir wieder Mut und wenn es bei dir funktioniert, dann sollte ich doch auch die richtigen Stellschrauben finden.

 

[cosmos321]

Also eigentlich gibt es ja nur die 2 Wege zum Einrichten:

1) du nutzt die AVM Tools, also sowohl um die Config-Dateien zu erzeugen sowie dich dann per Fritz!Fernzugang über VPN zu verbinden

oder

2) du nutzt das Webinterface zur Erzeugung eines Users welcher auch für VPN freigeschaltet ist und bekommst dann die Möglichkeit dir am Ende den Ausdruck zu erzeugen, auf welchem die ganzen Daten stehen um dich bspw. mit einem Android-Phone/iPhone per VPN zu verbinden. GENAU DIESE DATEN benötigst du für den ShrewSoft Client.

P.S. Ob dabei der gesamte Verkehr getunnelt wird oder nicht ist dabei unerheblich. Da kommt es dann nur auf die jeweilige EInstellung im Client an. Ich habe für beide Profile angelegt und nutze sie eben je nach Situation.

Übrigens nutze ich auf Myfritz als Dienst.

Die Daten welche ich meine sind übrigens diese hier:



Am Ende kann man sich diese ja anzeigen lassen. Welche Daten hast du jetzt genutzt? Die Configs von AVM und dann die anderen Daten in ShrewSoft funtioniert nicht.

Also wie gesagt, entweder Variante (1) oder (2).

P.S.2: Hab das Menü zum Erstellen des Benutzers jetzt nicht mehr genau im Kopf. Ich selbst habe ja "nur" die 7240 und mein Schwiegervater die 7490. Aber du kannst einfach in dem Menü wo du den Benutzer in der FritzBox einstellen kannst einen neuen anlegen und dann GANZ UNTEN am Ende den Haken bei VPN setzen. Dabei wird er dann auch automatisch als VPN-Zugangsprofil eingerichtet und du hast dann eben die Möglicheit dir die Zugangsdaten, wie oben auf meinem Bild zu sehen, anzeigen zu lassen. Mit diesen arbeitest du dann in ShrewSoft.

Im Moment habe ich einen Benutzer für den VPN Zugang in der FritzBox eingetragen und freigeschaltet. Dieser wird unter VPN angelegt und auch angezeigt. Darauf hin habe ich dann noch die Daten vom AVM Einrichtungsassistenten unter VPN eingelesen (Importiert). Den Zugang kann ich jetzt auch mit dem AVM Fernzugang von den alten Laptops mit Win 7/Win 8.1 (32 bit) nutzen.
Kann ich diesen Zugang überhaupt mit dem Shrew Soft Client nutzen, denn der AVM Fernzugang legt sich ja ganz eigene Keys an und bei dem Shrew Soft Client gebe ich ja die Daten wie in der Anleitung aus deinem Post #12 beschrieben ein.

Ja genau das ist das Problem. Scheint du willst mit dem ShrewSoft über die AVM-Config die VPN-Verbindung aufbauen. Das geht nicht, zumindest nicht in der Variante wie das AVM-Tool die Config erstellt. Man könnte diese jetzt auch manuell abändern, aber das ist zu umständlich.

Wenn du es über den VPN-Benutzer und dann die dafür generierten Zugangsdaten machst ist es viel einfacher.

 

[Garf]

Wenn du es über den VPN-Benutzer und dann die dafür generierten Zugangsdaten machst ist es viel einfacher.

Den Weg werde ich dann einmal versuchen, auch wenn ich damit den bereits funktionierenden AVM-Fernzugang wieder entfernen muss. Aber den kann ich ja under Windows 8.1 eh nicht nutzen.
Leider kann ich noch nicht abschätzen, wann ich dafür wieder Zeit finde. Durch die tagelangen Versuche bin ich mit der sonstigen Arbeit mächtig in Rückstand geraten. Ich werde aber mit Sicherheit eine Rückgmeldung geben.

Erschreckend finde ich nur, dass man mit dem Service von AVM seit 4 Tagen keinen Milimeter vorwärts gekommen ist, unnötig Zeit verplempert hat und hier einem in wenigen Stunden geholfen wird. Solche Foren wie dieses hier sind echt unbezahlbar und sollten nach meiner Meinung von den Herstellern wie AVM und Co entsprechend gesponsert werden.

Dir cosmos321 schon einmal vielen Dank für deine schnelle Hilfestellung. Ich denke in Kürze wird es auch bei meinem Rechner funktionieren. Zumal ich meine auch ganz am Anfang einen VPN Zugang über den ShrewSoft Client gesehen zu haben. Leider war da noch alles für mich absolutes Neuland.

 

[cosmos321]

Den Weg werde ich dann einmal versuchen, auch wenn ich damit den bereits funktionierenden AVM-Fernzugang wieder entfernen muss. Aber den kann ich ja under Windows 8.1 eh nicht nutzen.

Der bereits bestehenden AVM-VPN-Zugang, den du über das Tool generiert hast, wird dabei nicht entfernt. Und den musst du auch manuell nicht entfernen. Einfach einen neuen Benutzer (mit anderem Namen) in der FritzBox einrichten und gut ist.