Suche VPN-Client (ipsec) für Win 11

[raimuell]

Hi,
ich habe auf einer Fritz 6490 einen VPN (ipsec) eingerichtet. Der Zugang über ein ipad funktioniert problemlos, ich möchte mich jetzt mit einem win11-Rechner in den VPN einloggen.
Für Win 11 brauche ich angeblich einen client, der die Verbindung realisiert. Shrew funktioniert nicht mit aktuellem win11-Treiber. Sobald ich shrew installiere, verhagelt es mir die Verbidung, so wie hier: https://www.ip-phone-forum.de/threads/windows-11-und-das-gute-alte-shrew-soft-vpn.314121/

Gibt es sonst noch einen win11-client?

Grüße
raimuell

 

[DHC]

Win 11 brauche ich angeblich einen client

Sicher?

Bei Windows 10 musste man in der Registry einen Eintrag hinzufügen, damit IPSec funktioniert.

Ergänzung (20. Oktober 2024)

 

[raimuell]

Habe ich zumindest auf der AVM Seite gelesen. Funktionieren die reg-Einträge auch bei win11?

 

[DHC]

@raimuell
Kann ich nicht sagen, da ich dein Win 11 habe.

Probiere es aus, dann weißt du es.

 

[ququ]

Wieso kein Wireguard über die Fritzbox?

 

[DHC]

Du musst halt nach der Änderung der Registry einen Neustart machen. Soweit ich das noch im Kopf habe.

 

[raimuell]

die 6490 kann kein wireguard

Ergänzung (20. Oktober 2024)

leider nein:

Wie gesagt, beim ipad funktioniert alles.

 

[EDV-Leiter]

Dss Problem liegt bei AVM.
Es wird das seit etlichen Jahren veraltete IKEv1 genutzt, Windows unterstützt dieses allerdings nicht (mehr).
Einen freien Client zu finden, der Windows 11 kompatibel ist (Shrewsoft VPN scheidet daher aus), scheint auch unmöglich zu sein, mit Ausnahme des AVM-eigenen "Fritz Fernzugangs", der allerdings gefühlt im Jahr 2003 stehengeblieben ist.
Einzige Möglichkeit sehe ich darin, einen weiteren Router hinter die Fritzbox zu setzen, der Wireguard oder besser OpenVPN beherrscht, da der Wireguard-Client unter Windows ebenfalls eine Zumutung ist. (keine GUI ohne Administratorrechte in der Defaulteinstellung, alternativ benötig der User, der Wireguard nutzen soll, Netzwerkverwaltungsrechte, was wieder andere Effekte nach sich zieht)

 

[DHC]

Wie gesagt, beim ipad funktioniert alles.

Hast du die Registry geändert, wie oben beschrieben?
Einen Schlüssel Assume... hinzugefügt?

 

[raimuell]

jepp, habe ich

Ergänzung (20. Oktober 2024)

Dss Problem liegt bei AVM.
Es wird das seit etlichen Jahren veraltete IKEv1 genutzt, Windows unterstützt dieses allerdings nicht (mehr).
Einen freien Client zu finden, der Windows 11 kompatibel ist (Shrewsoft VPN scheidet daher aus), scheint auch unmöglich zu sein, mit Ausnahme des AVM-eigenen "Fritz Fernzugangs", der allerdings gefühlt im Jahr 2003 stehengeblieben ist.
Einzige Möglichkeit sehe ich darin, einen weiteren Router hinter die Fritzbox zu setzen, der Wireguard oder besser OpenVPN beherrscht, da der Wireguard-Client unter Windows ebenfalls eine Zumutung ist. (keine GUI ohne Administratorrechte in der Defaulteinstellung, alternativ benötig der User, der Wireguard nutzen soll, Netzwerkverwaltungsrechte, was wieder andere Effekte nach sich zieht)

Danke für die ausführliche Antwort. Das ist ja echt ein Armutszeugnis von AVM.

 

[raimuell]

Noch eine Idee: Ich könnte das ganze doch über VRM lösen, oder? Also eine Win7-Installation in Win11 laufen lassen und dann Shrewsoft installieren. Würde das funktionieren?

 

[EDV-Leiter]

Theoretisch sicherlich möglich, allerdings sehe ich da eien nicht unerheblichen Auflwand. Es muß zwangsläufig die Routingtabelle vom Windows 11 angepasst werden, das Windows in der VM muß als Gateway fungieren.
Wäre es da nicht einfacher, einen kleinen Reiserouter oder eine (alte) Fritzbox mit aktiviertem Site2Site VPN vor den Windows 11 PC zu hängen?

 

[raimuell]

Eher nein. Mein Traffic soll nicht pemanent über die 6490 laufen, ich will mich nur zeitweise dort einloggen. Die 6490 steht in einer anderen Stadt, ich habe hier in unserem Haus eine 6591.
Mit win7 und shrewsoft funktioniert der Tunnelaufbau, allerdings habe ich in der VRM dann keinen Internetzugang mehr.

 

[EDV-Leiter]

Richte doch einfach ein Site2Site auf der 2. Fritzbox ein, falls du darauf Zugriff hast.
Dabei wird nur der Traffic ins andere Netz geroutet, der dort auch hin soll, der Rest gehts ins Internet.
Das Site2Site VPN kann bei Nichtnutzung auch über die Oberfläche ab- bzw angeschaltet werden.

 

[hildefeuer]

Funktioniert denn die vpn Soft von fritz? Die gab es ja nur für die 64bit version von Win10.
Probier die mal. Hab sie Dir hier hin gelegt: https://magentacloud.de/s/Kq5ZRWajKsjwtPT
Es gab auch noch einen cisco client vpne. Den hab ich Dir hier hin gelegt:https://magentacloud.de/s/Kq5ZRWajKsjwtPT
Ob beide unter 11 laufen weis ich nicht. Aber unter 10/64 laufen beide aber nur mit dem alten ike von AVM genutzt.

 

[raimuell]

Danke für die Tipps.
@EDV-Leiter, ich habe volle Kontrolle auf beide Fritzen. Es besteht schon ein Tunnel zwischen den beiden, um mein NAS regelmäßig zu backupen. Wie kontrolliere ich das mit dem anderen Traffic? Hast du da ne Anleitung für mich? Mein PC hier soll im Internet die IP der 6490 erhalten.
@hildefeuer, hatte ich schon probiert, die Software will eine config-Datei nach dem Start. Keine Ahnung, wo ich die herkriege.

 

[hildefeuer]

Die must Du bei AVM erzeugen und bei Cisco auch.
Das von Cisco gibt es bei Linux immer noch und da wird es auch noch supportet.

 

[raimuell]

OK, danke für die Info, ich muss dann über anydesk auf die 6490 zugreifen. Warum cisco?

 

[Datax]

@hildefeuer, hatte ich schon probiert, die Software will eine config-Datei nach dem Start. Keine Ahnung, wo ich die herkriege.

Es gibt von Hersteller "AVM" die Software "FRITZ!Box-Fernzugang einrichten", mit der du pro VPN-User insgesamt 2 Config-Dateien erstellst.

Die 1. Config-Datei ist zum Importieren in die FritzBox und die 2. Config-Datei ist die zum Impotieren in den VPN-Client "FRITZ!Fernzugang.

Unten ein Video von Hersteller "AVM", wo die komplette Einrichtung für 1 VPN-User beispielhaft gezeigt wird.

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

Unten noch die Downloads für "FRITZ!Box-Fernzugang einrichten" und "FRITZ!Fernzugang für Windows 10 (64Bit)".

https://avm.de/service/vpn-neu/downloads/

Ergänzung (28. Oktober 2024)

Einzige Möglichkeit sehe ich darin, einen weiteren Router hinter die Fritzbox zu setzen, der Wireguard oder besser OpenVPN beherrscht, da der Wireguard-Client unter Windows ebenfalls eine Zumutung ist. (keine GUI ohne Administratorrechte in der Defaulteinstellung, alternativ benötig der User, der Wireguard nutzen soll, Netzwerkverwaltungsrechte, was wieder andere Effekte nach sich zieht)

Ich sehe zwar auch die Vorteile von "WireGuard" wie zum Beispiel die recht einfache Einrichtung und auch den hohen VPN-Durchsatz, aber die benötigten Admin-Berechtigungen sind schon eine Art K.O.-Kriterium, um es auf Endgeräten von Mitarbeitern laufen zu lassen.

Gerade Admin-Berechtigungen will man ja bei Benutzerkonten auf Endgeräten von Mitarbeitern ja vermeiden,
damit sich eine eingefangene Schadsoftware nicht auch noch über Admin-Berechtigungen freuen kann.

Auch sehr nachteilig finde ich die fehlende Unterstützung einer User-Authentifizierung (Anmeldung mit Benutzername + Passwort + ggf. 2FA).

Bin gespannt, was sich bei der WireGuard-Entwicklung in der Zukunft noch so tun wird...

 

[EDV-Leiter]

Zu dem Thema "Admin-Berechtigungen bei Wireguard":
Ich habe auf einer Support-Website einer Hochschule (Ich weß aber leider nicht mer, welche Hochschule das war) von einem von derem RZ angepassten WG-Client gelesen, der es ermöglichen soll, Verbindungen auch ohne Adminrechte aufzubauen und zu verwalten.
Leider befindet sich der beschriebener Client im geschützen Bereich und steht ohne Anmeldung nicht zum Download bereit. Wäre schon schön wenn es solche Eigenentwickungen in den offiziellen Client schaffen würden.
Das Thema "Fehlende User-Authentifizierung" finde ich auch nicht so prickelnd, eigentlich darf man seine Client-Config nirgends "unbeaufsichtigt" liegenlassen, um nicht ein mögliches Rieseneinfallstor zu schaffen.
Allerdings für fest konfiguriertes Site2Site durchaus ausreichend.