Pixel 7 Pro (Android 13) + myFritz VPN = Fail

[meph!sto]

Hi,
ich habe mir ein Pixel 7 Pro zugelegt.
Da ab Android 12 keine systemeigene VPN Verbindung (aufgrund fehlender IPSec XAuth PSK Unterstützung) zur Fritzbox mehr möglich ist, konnte ich bisher immer die myFritz App nutzen.
Unter Android 12 und meinem Oneplus 8T funktionierte das auch prächtig.
Mit meinem Pixel 7 Pro und Android 13 erhielt ich eine Fehlermeldung, dass ich keine IPv4 Adresse hätte (was aber nicht stimmt, denn in meiner Fritzbox 7590 ist eine öffentliche IPv4 zu sehen).
Im Wortlaut heißt die Fehlermeldung:

"Because of your internet connection, your FRITZ!Box cannot be reached from on the go. All MyFRITZ!App functions are still available in the home network"

Meine myFritz Kennung wird auch korrekt aufgelöst (getestet unter Windows 10 mit nslookup).

Fast vergessen: der Verbindungsaufbau zur Fritzbox über die myFritz APP erfolgt immer aus dem Mobilfunknetz heraus, nicht aus dem heimischen WLAN.

Hardware:

• Pixel 7 Pro inkl. aktuellster Software
• Fritzbox 7590 inkl. aktuellster, offizieller Software (7.29)
• myFritz App 2.18.9

Was ich bisher ausprobiert habe:

• IPv6 in der Fritzbox deaktiviert, sodass ich eine reine IPv4 Verbindung habe: kein Erfolg
• myFritz App neuinstalliert: kein Erfolg

Lustigerweise klappt die Verbindung (scheinbar, da das VPN icon erscheint) nach erstmaligem Einrichten in der App. Deaktiviere ich die Verbindung (z.B. weil ich ja zu Hause bin) und reaktiviere sie später (um außer Haus zu simulieren), funktionierts nicht mehr.

Was kann ich noch tun/ausprobieren ?

 

[chrigu]

Bist du sicher, das es eine eigene öffentliche ipv4 und nicht eine geteilte ist?

 

[DiedMatrix]

Teste doch mal die aktuelle Labor Firmware mit Wireguard

 

[Trefoil80]

Oder VPNCilla...

 

[kartoffelpü]

generelle Frage, da ich es nie getestet habe: Geht denn prinzipiell so eine Fritz-VPN-Verbindung zu "sich selber", wenn man im gleichen Netz ist?

@TE geht es denn, wenn du auf dem Pixel die Verbindung zum WLAN trennst?

 

[meph!sto]

Bist du sicher, das es eine eigene öffentliche ipv4 und nicht eine geteilte ist?

Wie kann ich herausfinden ob die geteilt ist, oder nicht ?

Teste doch mal die aktuelle Labor Firmware mit Wireguard

Ungern, ich warte auf das offizielle Release

Oder VPNCilla...

Danke für den Tip, bin aber großer Fan von "onboard" Mittel (Ja, ich weiß, die myFritz APP ist kein onboard Mittel)

Ergänzung (18. Oktober 2022)

...
@TE geht es denn, wenn du auf dem Pixel die Verbindung zum WLAN trennst?

Nein, leider nicht (die Info habe ich oben ergänzt).

 

[DiedMatrix]

Ungern, ich warte auf das offizielle Release

Ich auch, aber bevor du nun Stunden mit der Behebung für ein Problem verbringst, was demnächst mit WG vielleicht obsolet ist, würde ICH es kurz testen und dann kannste danach immer noch zurück auf die alte Firmware. Aber wenn es funktioniert, dann weißt du vllt dass du nur noch paar Wochen warten musst und dann ne vernünftige Lösung hast.

 

[snaxilian]

Benenne doch bitte mal die ersten zwei Blöcke der angezeigten IPv4 Adresse am WAN Port der Fritzbox.

Oder testest du den Verbindungsaufbau aus dem heimischen WLAN heraus?

 

[meph!sto]

Die ersten 2 Blöcke des WANs meiner Fritzbox: 84.163.xxx.xxx
Und den Verbindungsaufbau teste ich aus dem 5G Netz der Telekom..... könnte da der Fehler liegen ?

 

[Das MatZe]

https://avm.de/service/wissensdaten...eine-VPN-Verbindung-zur-FRITZ-Box-herstellen/
Könnte auf deine Konstellation passen.

Und IPSec Xauth PSK kann zumindest Android 12 noch.
Oder?
Wird mir zumindest bei meinem Xiaomi Mi 8 mit aktuellem LineageOS angeboten.

 

[Wilhelm14]

Da ab Android 12 keine systemeigene VPN Verbindung (aufgrund fehlender IPSec XAuth PSK Unterstützung) zur Fritzbox mehr möglich ist, konnte ich bisher immer die myFritz App nutzen.

Mal nachgehakt: kann die MyFritz-App überhaupt VPN? Ich dachte, die kann eh nur https und das kann sie auch über IPv6, falls IPv4 über CG-NAT läuft (DS-Lite).

Im Wortlaut heißt die Fehlermeldung:
"Because of your internet connection, your FRITZ!Box cannot be reached from on the go. All MyFRITZ!App functions are still available in the home network"
Meine myFritz Kennung wird auch korrekt aufgelöst (getestet unter Windows 10 mit nslookup).

Heißt eigentlich, dass dein Anschluss zu Hause nicht von unterwegs erreicht werden kann.
Welcher Internetanbieter kommt zu Hause zum Einsatz?
Logge dich hier ein: myfritz.net Da stehen zum Router die IPv4 und IPv6 und jeweils, ob aus dem Internet erreichbar. Das muss es sowieso, unabhängig ob VPN oder nicht.

 

[Creeping.Death]

Ich kann das Problem bestätigen. Mit meinem alten Xiaomi Mi 10 Pro (Android 12) hat das vor wenigen Tagen noch funktioniert.
Mit dem Pixel 7 Pro bekomme ich den gleichen Fehler wie @meph!sto

Jetzt habe ich mir wieder OpenVPN über mein Synology NAS eingerichtet. Das funktioniert.

 

[meph!sto]

https://avm.de/service/wissensdaten...eine-VPN-Verbindung-zur-FRITZ-Box-herstellen/
Könnte auf deine Konstellation passen.
...

Danke für den Link. Klappt bei mir bisher nicht, aber vllt. muss ich das mal in Ruhe angehen.

Mal nachgehakt: kann die MyFritz-App überhaupt VPN? Ich dachte, die kann eh nur https und das kann sie auch über IPv6, falls IPv4 über CG-NAT läuft (DS-Lite).


Heißt eigentlich, dass dein Anschluss zu Hause nicht von unterwegs erreicht werden kann.
Welcher Internetanbieter kommt zu Hause zum Einsatz?
Logge dich hier ein: myfritz.net Da stehen zum Router die IPv4 und IPv6 und jeweils, ob aus dem Internet erreichbar. Das muss es sowieso, unabhängig ob VPN oder nicht.

In der MyFritz-App steht oben rechts "VPN", also geh' ich als Laie davon aus dass es geht

• Zu Hause kommt die Telekom als ISP zum Einsatz
• die IPs passen

Danke @Creeping.Death, nun weiß ich dass ich nicht alleine bin.
Zum Glück nutze ich das VPN nicht wirklich oft, nur wenn ich von meiner VU+ Box was von unterwegs streamen möchte (aber auch das kommt sehr selten vor).

 

[Wilhelm14]

Oha. Das ist mir tatsächlich neu. Ich hatte immer noch eine alt eingerichtete VPN-Verbindung in Android mitgeschleppt. Nur die Neueinrichtung ging ja wegen IKEv2 nicht mehr.
In der MyFritz App war die Funktion zeitweise gestrichen:
https://avm.de/aktuelles/neues-von-...android-heimnetzverbindung-wieder-verfuegbar/
Ich wüsste gar nicht, wann die VPN-Funktion in die MyFritz-App überhaupt eingeführt wurde.

 

[Das MatZe]

Mit dem Pixel 7 Pro bekomme ich den gleichen Fehler wie @meph!sto

https://avm.de/service/wissensdaten...eine-VPN-Verbindung-zur-FRITZ-Box-herstellen/

Schau mal auf dem Link, den ich gepostet hab. Scheint tatsächlich bei AVM inzwischen ein "known Issue" zu sein, was Pixel-Smartphones und VPN angeht.

 

[Creeping.Death]

@Das MatZe das ist ein wenig seltsam...
Ich bin in das Menü mit den APNs gegangen und ja, hier ist "internet.v6.telekom" eingetragen.
Das habe ich vorerst so gelassen und erst mal nur bei APN-Protokoll exklusiv "IPv4" eingetragen (default: "IPv4/IPv6").
Anschließend ein kurzer Test mit der AVM-Heimnetzverbindung: funktioniert.

Jetzt aber das Seltsame an der Sache: ich bin dann nochmals zurück in das Menü und da war wieder "IPv4/IPv6" eingetragen (einfacher Grund: ich hatte vergessen in dem Dreipunkt-Menü das Ganze auch zu speichern).

Dennoch kann ich die VPN-Verbindung jetzt aktivieren und deaktivieren, wie es mir beliebt. Selbst nach einem Neustart des Telefons funktioniert es noch. Das ist irgendwie unlogisch.

 

[Wilhelm14]

Das ist aber wieder typisch AVM. 🙄
@Das MatZe Da verlinkt beschreibt die Android-interne VPN-Verbindung. Android nutzt in einem IPv4/IPv6 Netz wohl immer zuerst die IPv6 Verbindung und darüber kann man AVMs VPN wohl (noch nicht) nutzen. Daher der Tipp, IPv6 zu deaktivieren. Gleichzeitig müsste man aber eine öffentliche IPv4 am Router haben, sonst scheitert es bei IPv4 wieder an DS-Lite.
Über die MyFritz-App könnte ja ganz anders vorgegangen werden, bzw. könnte die App so programmiert sein, dass sie gar kein IPv6 nutzt, weil AVM um den Umstand weiß.

 

[meph!sto]

@Das MatZe das ist ein wenig seltsam...
...

Dennoch kann ich die VPN-Verbindung jetzt aktivieren und deaktivieren, wie es mir beliebt. Selbst nach einem Neustart des Telefons funktioniert es noch. Das ist irgendwie unlogisch.

Das geht bei mir auch, aber über die angebliche VPN Verbindung kann ich auf nichts im Heimnetz zugreifen.
Im Log der FB steht auch eine erfolgreiche Verbindung drin.

 

[Creeping.Death]

Warte eine Weile. Der Verbindungsaufbau dauert länger als gewohnt. Aber dann konnte ich auf Webseiten im Heimnetz zugreifen trotz deaktiviertem WLAN.

 

[snaxilian]

das ist ein wenig seltsam...

Nein, das ist normales Verhalten, Erklärung siehe weiter unten.

Android nutzt in einem IPv4/IPv6 Netz wohl immer zuerst die IPv6 Verbindung und darüber kann man AVMs VPN wohl (noch nicht) nutzen.

Jain. Android stellt hier keine Besonderheit dar sondern jedes halbwegs zeitgemäße OS egal ob Windows, Linux, Mac, iOS oder Android und auch alle Artverwandten davon bevorzugen schon seit einiger Zeit IPv6 ggü. IPv4 sofern verfügbar.

So und jetzt kommt die Inkompetenz oder mangelnde Umsetzbarkeitsbereitschaft von AVM ins Spiel:
Der dyndns Dienst von AVM stellt für die entsprechende myfritz Adresse sowohl einen A-Record (Name zu IPv4 Adresse) als auch einen AAAA-Record (Name zu IPv6 Adresse) zur Verfügung.
Den VPN-Service auf den Fritzboxen stellt AVM aber nur über IPv4 zur Verfügung.

Eure Clients sollen jetzt eine VPN Verbindung aufbauen. Zuerst wird also eine Namensauflösung gemacht und dann erfolgt ein Verbindungsversuch der eigentlichen Anwendung, VPN in dem Fall. Da die Namensauflösung klappt (vorhandener AAAA Record) aber der Dienst nicht antwortet, bekommst du die Fehlermeldung dazu.

Durch die Umstellung des APN auf IPv4 only löst AVM das hausgemachte Problem, verschweigt aber dabei, dass der Nutzer dadurch generell kein IPv6 Zugang ins Netz mehr hat von seinem Mobilgerät.

Da DNS Records eine gewisse zeitliche Gültigkeit haben, denkt dein Gerät durch die temporäre APN Umstellung: IPv6 gibt's nicht, IPv4 gibt's, also erfolgt die Verbindung per IPv4.
Sobald die TTL ausläuft und du keine aktive Verbindung hast, wirst du bald wieder das "Problem" haben.

Ein Fallback von IPv6 auf IPv4 gibt es afaik nur bei DNS. Bekomme ich keinen (gültigen) AAAA Record zu einem Hostname/FQDN dann wird IPv4 versucht aufzulösen. Wenn aber ein AAAA Record vorhanden ist, dann gehen die meisten Anwendungen davon aus, dass auch die jeweilige Anwendung per IPV6 erreichbar ist.