Verbindung von IPv6 zu DualStack VPN-Server (Fritzbox 7362 SL)

[Dondondon333]

Hallo Zusammen,

ich habe hier schon viel durchsucht, leider habe ich mein Problem in dieser Konstellation nicht gefunden.

Also es gibt 3 Standorte:
1. Standort hat eine Fritzbox 7362 SL mit echtem Dual Stack dort ist die Fritzbox als VPN-Server tätig.
2. Standort hat auch eine Fritzbox und nur IPv4 agiert als VPN-Client und funktioniert.
3. Standort hat Unitymedia-Drecksrouter und nur DS-Lite bzw. nur IPv6 dort funktioniert der VPN-Client nicht.

Zu dem Thema Unitymedia und seinem IPv6 VPN Problem habe ich hier viel gefunden, jedoch hat nichts davon funktioniert und meistens ist dort das Problem umgedreht das der VPN-Server die DS-Lite Verbindung hat.
Der Unitymedia Anschluss kann die DynDNS-Adresse des VPN-Servers pingen und kriegt dort dann auch die richtige IPv6 Adresse zurück.

VPN-Client:
Ich benutze den von AVM empfohlenen Shrew-Soft VPN-Client
Dort sieht man auch nicht den Hauch einer Spur von irgendwelchen IPv6 Einstellungen...

VPN-Server:
Läuft über Port 500 (IPsec wenn ich mich nicht täusche)
Authentifizierungsmethode: Mutual PSK + XAuth

Frage:
Ist es möglich den VPN-Server (FritzBox 7362 SL) so einzustellen das er VPN-Tunnel für IPv4 sowie IPv6 etabliert?
Oder ist das standartmäsig der Fall und mann muss "nur" einen IPv6 fähigen VPN-Client haben?

Lösung:
"FritzFernzugang einrichten" in dem Netzwerk konfigurieren wo auch der VPN-Server sitzt und dann importieren.


Vielen Dank für eure Hilfe
mit freundlichen Grüßen
Marco

 

[DeusoftheWired]

Laut AVM ist die Verbindung möglich. Wichtig ist nur, daß der empfangende Server eine öffentliche IPv4 hat. Das hat die 7362 SL an Standort 1 bei dir ja.

Brauchst du eine IPv6 an Standort 1? Wenn nicht, kannst du den Bezug ja mal deaktivieren.

Der Unitymedia Anschluss kann die DynDNS-Adresse des VPN-Servers pingen und kriegt dort dann auch die richtige IPv6 Adresse zurück.

Laß den DynDNS-Namen mal nicht auf die IPv6 sondern auf die IPv4 zeigen. Oder richte einen zweiten DynDNS-Namen ein, der ausschließlich auf die IPv4 zeigt. Zu diesem mußt du dich von Standort 3 aus dann verbinden.

 

[Dondondon333]

Also ich habe mich etwas doof ausgedrückt, es ist kein DynDNS sondern der MyFritz Service von AVM, dort habe ich keine Einstellung gefunden welche mir erlaubt die Adresse explizit anzugeben.

Ich werde nun mal probieren die IPv6 an der Fritzbox zu deaktivieren

 

[DeusoftheWired]

Jo, kannst du probieren. Oder einen anderen DynDNS-Dienst definieren. Internet → Freigaben→ DynDNS

 

[Dondondon333]

Also IPv6 ausgemacht, Standort 3 hat gepingt und bekam diesmal eine IPv4 Adresse zurück.
Verbindung klappt trotzdem nicht.
Wir haben dort auch Portforwarding betrieben, obwohl das bei Port 500 eigentlich nicht sein müsste.
Und allmählich wissen wir echt nicht mehr weiter. Wir werden nun mal Unitymedia selber anrufen.

Irgendwo hatte ich mal gelesen das Unitymedia VPN-Verbindungen sperren würde, kann ich mir zwar eigentlich nicht vorstellen da VPN Tools wie Tunngle auch an diesem Standort funktioniert haben.

DynDNS wechseln wüsste ich nicht warum, weil das ja funktioniert, wir haben es auch schon mit der direkten IP versucht, also ohne die DNS Adresse.
Sonst noch irgendwelche Tipps?

 

[DeusoftheWired]

Puh … das kann jetzt am Protokoll, an den Subnetzen oder an einem Parameter der VPN-Einstellungen liegen. Welches Subnetz verwendet Standort 1, welches Standort 3?

Ansonsten kannst du noch wie von AVM beschrieben den Shrew Soft VPN Client probieren. Die Anleitung dazu findet sich noch im Google-Cache: https://webcache.googleusercontent....-shrew-soft-vpn-client-einrichten-windows-10/

 

[error]

Moin,

was ist denn nun genau das Problem?

Standort 2 und 3 verbinden sich vian VPN zu Standort 1. Und von dort aus sollten alle drei Standorte im LAN erreichbar sein.
Alle Clients (Laptops/etc. ) mit Shrew sollten sich zu Standort 1 verbinden und dann darüber auf alle Ressourcen zugreifen.

Standort 3 wird NIE von extern (aus dem Internet) via VPN erreichbar sein, da Unitymedia nur ungenattetes IPV6 anbietet. Die Fritzbox erwartet aber eine IPv4-Adresse. Und Unitymedia nattet alle IPv4 Verbindungen nochmal um öffentlciiche IP-Adressen zu sparen.

Wenn der Standort 3 auch aus dem Internet erreichbar sein soll, dann solltest du dir Gedanken über eine Business-Anschluss machen. Kostet mehr, bietet aber eine statische IPv4 und IPv6 als DualStack.

gruß

EDIT:

Verstehe ich dich grade falsch?
Du willst vom Standort 3 eine VPN-verbindung zu Standort 1 aufbauen?
Und das funktioniert nicht?
Nutzt du bei Standort 3 den selben, internen IP-Adressbereich wie bei Standort 1?
Was für Fehler kommen im Shrew?

 

[Dondondon333]

@ DeusoftheWired
Ich nutze schon diesen Shrew Soft VPN Client, funktioniert auch bei allen Standorten oder Unterwegs mit einem Handy-Hotspot.
Nur bei Standort 3 mit dem DS-Lite Zugang halt nicht

@error
Ja genau Standort 1 ist der VPN-Server und Standort 3 kann nicht darauf zugreifen.
Als Fehler kommt schlichtweg ein Timeout beim Versuch den Tunnel aufzubauen.

Die Subnetze sind überall unterschiedlich also das Netzwerk wo der Server läuft hat:
192.168.90.0
255.255.255.0

Alle Netze die darauf zugreifen können haben 192.168.x.0 wobei x ungleich 90 ist und 255.255.255.0 als Maske.
Ich bin mir nicht ganz sicher, aber es könnte sein das der Unitymedia-Router keine IPv4 Adresse intern nutzt, das werde ich nochmal nachhaken.

Nutzt Unitymedia wirklich gar kein NAT für IPv4 -> IPv6?
AVM meinte ja auf einer Seite das IPv6-Client eine Verbindung zu IPv4-Server aufbauen könnte...
Oder liegt es daran das wir IPSec verwenden und IPv6 das nicht von IPv4 aus tunneln kann weil verschlüsselt?

 

[DeusoftheWired]

Gut, dann fallen die Subnetze als Ursache raus.

Hast du’s mal mit FRITZ!Fernzugang statt Shrew als Client von Standort 3 aus probiert?

 

[Dondondon333]

Ja Fritz!Fernzugang habe ich mal getestet, das funktioniert nirgends...
Also man muss ja mit dem Einrichtungstool etwas erstellen und dann auf die Fritzbox importieren, das hat funktioniert.
Jedoch kommt da keine Verbindung zustande, ich sah auch nirgendswo wo ich den pre-shared-Key eingeben konnte, vielleicht wird der beim Einrichtungstool generiert aber da hab ich keine Ahnung.

 

[DeusoftheWired]

Das ist unter Punkt 3 und 4 beschrieben. Vielleicht Expertenansicht in der FRITZ!Box aktivieren.

 

[Dondondon333]

So, es läuft nun!

Ich hatte den FritzFernzugang schon einmal probiert, jedoch hatte ich die Einrichtungsdatei auf einem anderen Netzwerk (Standort 2) erstellt und dann bei Standort 1 importiert, dann hatte der VPN-Zugang nirgends funktioniert.
Anscheinend zieht sich das Programm (FritzFernzugang einrichten) irgendwas von der FritzBox in seinem Erstellungs-Netz.

Lösung:
"FritzFernzugang einrichten" in dem Netzwerk konfigurieren wo auch der VPN-Server sitzt und dann importieren.

Keine Ahnung warum es mit dem "Shrew Soft" VPN-Client nicht von Standort 3 (IPv6 DS-Lite) aus funktioniert.
Mit "FritzFernzugang" funktioniert es nun.

Vielen Dank für eure Hilfe
Vielleicht hilft dies ja auch zukünftigen

Viele Grüße
Marco

 

[DeusoftheWired]

Halleluja, es hat geklappt. Gratuliere!

 

[bernd1234567]

Ich hatte das gleiche Problem. Am Ende half es an der MTU zu drehen. Möglicherweise kommt es wegen des Overheads durch den zusätzlichen DS-Lite Tunnel zu Problemen. MTU im Bereich um 1300 funktioniert bei mir einwandfrei. Benutze unter Linux vpnc anstatt shrew-soft als Client.