VPN mit Fritzbox: Routing?

[ntloader]

Hallo,

ich möchte mit einer FritzBox eine VPN Verbindung in ein anderes Netz aufbauen. Dazu habe ich folgendes Configfile verwendet. Die Verbindung wird auch hergestellt, allerdings kann ich keine Systeme im entfernten Netz erreichen. Die Verbindung zwischen den zwei Netzen steht aber wie gesagt.
Hab ich einen Fehler in meinem Configfile?
Oder muss ich separat noch irgendwo das Routing für das entfernte Netz eintragen?

Danke, ntloader

vpncfg {
        connections {
                enabled = yes;
                conn_type = conntype_lan;
                name = "20.xx.xx.1";
                always_renew = no;
                reject_not_encrypted = no;
                dont_filter_netbios = yes;
                localip = 0.0.0.0;
                local_virtualip = 0.0.0.0;
                remoteip = 20.xx.xx.1;
                remote_virtualip = 0.0.0.0;
                localid {
                        fqdn = "xxxxxxxxxxxxx.myfritz.net";
                }
                remoteid {
                        ipaddr = 20.xx.xx.1;
                }

                mode = phase1_mode_aggressive;
                phase1ss = "all/all/all";
                keytype = connkeytype_pre_shared;
                key = "mysupersecretkey";
                cert_do_server_auth = no;
                use_nat_t = yes;
                use_xauth = no;
                use_cfgmode = no;
                phase2localid {
                        ipnet {
                                ipaddr = 192.168.1.0; <<------ das lokale Netz
                                mask = 255.255.255.0;
                        }
                }
                phase2remoteid {
                        ipnet {
                                ipaddr = 10.0.250.0; <<------ das entfernte Netz
                                mask = 255.255.255.0;
                        }
                }

                phase2ss = "esp-all-all/ah-none/comp-all/no-pfs";

                accesslist = "permit ip any 10.0.0.0 255.255.0.0",

                 "permit ip any 10.1.250.0 255.255.255.0";

        }

        ike_forward_rules = "udp 0.0.0.0:500 0.0.0.0:500",

                            "udp 0.0.0.0:4500 0.0.0.0:4500";

}

 

[Lawnmower]

Kein System erreichen - wie hast Du das getestet? Ping IP von Remote Gateway? Ping IP von einem Remote System? Ping DNS?

So spontan fällt mir nur gerade auf dass in der Config bei remoteip (Zeile 11) eine 20.xx.xx.1 steht aber dann die phase2 config auf ein 10.0.250.0 Netz geht - stimmt das so?

 

[ntloader]

Ping System im 192er Netz auf ein System im 10er Netz.

 

[error]

Wenn es Windows PCs sind blockt die Windows Firewall alles was nicht lokal ist....

Also bitte folgendes testen:
Erreichst du die entfernte Fritzbox? Wenn ja, dann Windows FW prüfen.

 

[^R4iD]

kleiner Tipp.. NetBIOS Filter..

 

[ntloader]

@error : An der Windows Firewall liegt es nicht. Die ist aus.

@^R4iD : Denke nicht. Es ist ein IPSec VPN Tunnel. Hat nix mit Netbios zu tun.

 

[till69]

Config bzw. Routing der Gegenseite?

So spontan fällt mir nur gerade auf dass in der Config bei remoteip (Zeile 11) eine 20.xx.xx.1

Das ist die öffentliche IP der Gegenstelle

 

[Lawnmower]

Mit .1?
Aber egal, die Verbindung ist ja scheins TE aufgebaut - wenn das nicht stimmen würde, täts schon woanders scheitern.

 

[ntloader]

Ich hab der Einfachheit hier durch die .1 ersetzt. In echt ist's natürlich ne andere Adresse.
Edit.
Ich habe das jetzt mal mit einem Windows Server RRAS nachgebaut. Dort kann die Verbindung ebenfalls aufgebaut werden und wenn ich die Routen wie im Screenshot zu sehen eintrage, kann ich auch vom dem 192er Netz die 10er Netze erreichen. Allerdings geht's andersherum nicht. Was müsste ich da hier noch einstellen, damit er das auch durchroutet?

[img=https://abload.de/thumb/screenshot2021-07-221u9jb2.png]

 

[snaxilian]

Na die Route in die Gegenrichtung musst noch eintragen (am Gerät was Router spielen soll) damit auch die Antworten ihren Weg zurück finden.

 

[ntloader]

Na die Route in die Gegenrichtung musst noch eintragen (am Gerät was Router spielen soll) damit auch die Antworten ihren Weg zurück finden.

Danke soweit war ich auch schon. Wenn du mir jetzt noch genau verräts wie, würde es mir auch helfen. Welches Interface muss ich z.B. auswählen? Das vom VPN Adapter oder die normale Nic?

 

[snaxilian]

Als Interface IP ist am Router immer das Interface einzutragen aus dem die Pakete raus gehen in Richtung des Zielnetzes. Ich finde, dass man dies hier an diesem Beispiel recht gut nachvollziehen kann: https://de.wikipedia.org/wiki/Routingtabelle#Beispiel