VPN mit Fritzbox

[gintonik]

Hallo CB,

ich verzweifle gerade an einem VPN, was zwei FritzBoxen verbinden soll. Meine 6591Cable ist im Netz und unter meiner myfritz erreichbar. Die 7590AX von meinem Kumpel hängt an DSL und scheint mir der Schuldige zu sein. Während meine mir unter Diagnose alles OK meldet, erhält mein Kumpel folgenden Status:

ihre fritz!box ist bei myfritz! registriert. ihre myfritz!-adresse konnte aber nicht ermittelt werden.

Wir haben über eine Stunde verteilt mehrere Email-Adressen ausprobiert, aber unter Myfritz kommt immer wieder die Nachricht, dass der Status am aktualisieren ist. Dann passiert aber nichts mehr. Wenn ich bei meiner das Myfritz-Konto ändere, ist das innerhalb einer Minute passiert, hier passiert sogar nach Tagen nichts.

Dann bin ich auf die Idee gekommen, dass man anstatt der Myfritz ja auch die IPv6 nehmen könnte. Aber auch hier kein Erfolg, die Boxen sehen sich nicht bzw. bauen kein VPN zueinander auf. Beide haben verschiedene Subnetze bekommen (178.0 bzw. 188.0), ein gemeinsames Passwort und jeweils die Adresse der Gegenstelle. Ich habe mir auch einige Videos angeschaut und dort sind die Boxen innerhalb weniger Minuten miteinander vernetzt. So habe ich es auch versucht aber wie gesagt, kein Erfolg!

Hat irgendeiner ähnliche Erfahrungen gemacht oder aber einen Super Hinweis, was ich noch versuchen könnte?

 

[Pete11]

Kennst Du die VPN-Service-Seite von AVM (blauen Link anclicken). Dort gibt es Hilfe zu verschiedenen VPN-Möglichkeiten - unter anderem auch für FritzBox-FritzBox Kopplung.
Dabei ist folgendes zu beachten (steht auch immer wieder in den AVM-Anleitungen):

• mindestens eine der beiden FritzBoxen muß über eine öffentliche IPv4-Adresse erreichbar sein.
• die IP-Bereiche der beiden FrritzBoxen müssen unterschiedlich sein. Beispiel: FritzBox 1 hat 192.168.178.x (das ist der Standard bei FritzBoxen), die zweite muß dann 192.168.188.x haben.

Bei mir läuft die Verbindung zwischen 2 FritzBoxen nach dieser Anleitung.

 

[Sephe]

Wenn man ein Site2Site VPN macht, darf keine der fritzboxen das 192.168.178.0/24 Netz nutzen.

Also Netz anpassen.

 

[Pete11]

Ich weiß nicht, was unter einer Site2Site VPN zu verstehen ist - abei die Einstellungen, die ich oben beschrieben habe, funktionieren.

 

[till69]

darf keine der fritzboxen das 192.168.178.0/24 Netz nutzen

So? Warum?

 

[gintonik]

Kennst Du die VPN-Service-Seite von AVM (blauen Link anclicken). Dort gibt es Hilfe zu verschiedenen VPN-Möglichkeiten - unter anderem auch für FritzBox-FritzBox Kopplung.
Dabei ist folgendes zu beachten (steht auch immer wieder in den AVM-Anleitungen):

• mindestens eine der beiden FritzBoxen muß über eine öffentliche IPv4-Adresse erreichbar sein.
• die IP-Bereiche der beiden FrritzBoxen müssen unterschiedlich sein. Beispiel: FritzBox 1 hat 192.168.178.x (das ist der Standard bei FritzBoxen), die zweite muß dann 192.168.188.x haben.

Bei mir läuft die Verbindung zwischen 2 FritzBoxen nach dieser Anleitung.

Es laufen beide ja in unterschiedlichen Netzen (178,188), aber wir haben beide eine IPv6 und was anderes wird´s auch nie wieder geben. Meine sieht auch normal aus, wird unter DIAGNOSE auch als "alles OK" angezeigt. Ich sehe die Probleme bei der V-DSL Box meines Kumpels, allerdings auch keine Möglichkeit selbst was zu ändern.

Ergänzung (24. Juli 2022)

Wenn man ein Site2Site VPN macht, darf keine der fritzboxen das 192.168.178.0/24 Netz nutzen.

Also Netz anpassen.

Hmmm. Wieso nicht? Im VPN Konfigurator wird dies nicht explizit verboten, sondern nur darauf hingweisen, dass beide Ihr eigenes Netz haben müssen, was sie auch haben (178,188). Das ist mir tatsächlich neu, wenns so sein sollte.

 

[Pete11]

Wenn keine der beiden FritzBoxen eine öffentliche IPv4-Adresse hat, mußt Du die Fritzboxen mit einer Laborversion der FritzBox-Firmware ausrüsten. Dann kannst Du über das WireGuard-Protokoll eine VPN-Verbindung einrichten. Das geht aber nur mit neueren FritzBoxen.
Daß das die Zukunft ist, sehe ich auch so.

WireGuard und Labor-Software bringe ich hier nur als Schlagworte - eigene Erfahrung damit habe ich nicht.

 

[gintonik]

Da ist schon das erste Problem: Ich habe eine kastrierte Mietbox von Vodafone, dort ist der Button "UPDATE" entfernt worden.

 

[Sephe]

Das mit dem 178er Netz stand irgendwo im kleingedruckten in einem AVM Artikel. Willst du es nicht mal eben versuchen?

Mit dem 188er wäre ich auch vorsichtig, weils normalerweise das Subnetz des Gast-Netzwerks ist. (D.h auf der einen Fbox gibt es das 188er Gastnetz UND das entfernte 188er LAN. Scheisse fürs Routing)

Nimm 192.168.100.x und 192.168.101.x z.B.

 

[Pete11]

Nimm 192.168.100.x und 192.168.101.x z.B.

So ein Quatsch!

 

[gintonik]

Das mit dem 178er Netz stand irgendwo im kleingedruckten in einem AVM Artikel. Willst du es nicht mal eben versuchen?

Mit dem 188er wäre ich auch vorsichtig, weils normalerweise das Subnetz des Gast-Netzwerks ist. (D.h auf der einen Fbox gibt es das 188er Gastnetz UND das entfernte 188er LAN. Scheisse fürs Routing)

Nimm 192.168.100.x und 192.168.101.x z.B.

Ich habe zuviele feste IPs um von meinem 178er wegzuziehen. Die Partnerbox könnte auch ein anderes nehmen, aber ich denke das Problem ist, dass die sich erst nicht sehen, der grüne Punkt bleibt grau in der Übersicht. Dazu kommt, dass mein Kumpel heute nach 3h keinen Bock mehr hat, deswegen kann ich es auch nicht probieren.

 

[hanse987]

aber wir haben beide eine IPv6 und was anderes wird´s auch nie wieder geben.

Sagt wer, dass man keine IPv4 nicht mehr bekommt? Ja man bekommt diese oft nicht mehr automatisch, aber wenn man dort anruft und danach bittet wird diese oft geschaltet.

 

[gintonik]

Sagt wer, dass man keine IPv4 nicht mehr bekommt? Ja man bekommt diese oft nicht mehr automatisch, aber wenn man dort anruft und danach bittet wird diese oft geschaltet.

Naja, die ganz vielen Menschen im Vodafone-Forum berichten, dass man nur noch eine IPv4 bekommen kann, wenn man seinen Anschluss auf Business umstellt und dementsprechend löhnt! Ich selbst bin wirklich kein Feind von IPv6, aber es kann doch nicht sein, dass ein Standard, den es schon seit über 20 Jahren gibt, so Stiefmütterlich behandelt wird und oft nicht kompatibel ist.

Sollte die Aussage stimmen, dass man mit IPv6 only kein VPN von der Fritz zur Fritz aufbauen kann (mit der offiziellen Firmware), währe das ein richtiges Armutszeugnis, dann sollten die das von vornherein abstellen oder explizit drauf hinweisen.

 

[Pete11]

aber wenn man dort anruft und danach bittet wird diese oft geschaltet.

Das kommt sehr auf Deinen Internet-Provider an. Bei meinem (Deutsche Glasfaser) gibt es das nicht mehr. Da müßte ich mir bei einem anderen Anbieter eine IPv4-Adresse mieten (monatlich um die 5 €)

 

[riversource]

Wir haben hier definitiv 2 Probleme: Keine öffentliche IPv4 und eine Box ist auf dem 178er Netz. Siehe Anleitung von AVM. Ich zitiere:

• Mindestens eine der beiden FRITZ!Boxen muss vom Internetanbieter eine öffentliche IPv4-Adresse erhalten.

Und:

Da alle FRITZ!Boxen in den Werkseinstellungen das IP-Netzwerk 192.168.178.0 verwenden, müssen Sie Sie in den FRITZ!Boxen IP-Adressen aus anderen IP-Netzwerken einrichten.

 

[xexex]

Sollte die Aussage stimmen, dass man mit IPv6 only kein VPN von der Fritz zur Fritz aufbauen kann (mit der offiziellen Firmware), währe das ein richtiges Armutszeugnis,

Die FB ist was "richtige" Routingfunktionen angeht nun mal ein "Armutszeugnis", IKEv2 gibt es schon seit vielen Jahren und IPv6 VPN beherrschen andere Geräte seit einer Ewigkeit.

Bei AVM soll es aber in naher Zukunft ebenfalls IPv6 VPN geben, also einfach abwarten oder FB als Modem nutzen und anderen Router kaufen. Alternativ bräuchtest du eine eigene FB und die bereits erwähnte Labor Firmware.

 

[chrigu]

Das Problem. Du musst über ipv4 verbinden, wahrscheinlich hat der „angerufene“ aber ds-lite und somit nicht erreichbar. Über ipv6 ist fritzbox momentan ( seit über 4 Jahren) nicht möglich das fritzvpn zu nutzen.
Einzige Möglichkeit wäre entweder beim VPN Server eine öffentliche ipv4 zu erhalten oder über Wireguard ipv6 (fritzbox Labor Version) oder ein raspi mit VPN Server ins Netzwerk zu integrieren

 

[gintonik]

Die FB ist was "richtige" Routingfunktionen angeht nun mal ein "Armutszeugnis", IKEv2 gibt es schon seit vielen Jahren und IPv6 VPN beherrschen andere Geräte seit einer Ewigkeit.

Bei AVM soll es aber in naher Zukunft ebenfalls IPv6 VPN geben, also einfach abwarten oder FB als Modem nutzen und anderen Router kaufen. Alternativ bräuchtest du eine eigene FB und die bereits erwähnte Labor Firmware.

Ich könnte eine andere nehmen, wollte aber eigentlich nicht kaskadieren; nochmal ein Gerät mehr, was Strom frisst und administriert werden möchte.

Das Problem. Du musst über ipv4 verbinden, wahrscheinlich hat der „angerufene“ aber ds-lite und somit nicht erreichbar. Über ipv6 ist fritzbox momentan ( seit über 4 Jahren) nicht möglich das fritzvpn zu nutzen.
Einzige Möglichkeit wäre entweder beim VPN Server eine öffentliche ipv4 zu erhalten oder über Wireguard ipv6 (fritzbox Labor Version) oder ein raspi mit VPN Server ins Netzwerk zu integrieren

Eine IPv4 bekomme weder ich (Vodafone), noch mein Kumpel (1&1), zumindest nicht ohne Aufpreis. Denn bleibt mir wahrscheinlich nur OpenVPN übrig, wovon ich aber überhaupt keine Ahnung habe und auch nicht weis, ob ich da die volle Bandbreite nutzen kann. Ich muss im Prinzip nur zwei Geräte miteinander verbinden, aber eigentlich wollte ich das gerne mit Bordmitteln machen, ich hab keinen Bock auf den 87. Cloud-Dienst der irgendwas managet.

 

[chrigu]

Raspi mit vpn hat aber sowas von nichts mit clouds zu tun.

es ist leider so, das man immer das günstigste Internet mit dem schnellsten tarif will, aber die negativen Seiten ausblendet. Das Ding mit ipv4 und ds-lite gibt es nicht erst seit gestern. Für den normaluser eigentlich auch kein Problem, für Leute mit höheren Bedürfnissen gibt es ja den zubuchbaren Business-Tarif. Aber das will man nicht, weil zusatzkosten.
openvpn am pc bleibt somit deine Lösung, und da wird halt „die volle datenbandbreite“ nicht möglich sein.

 

[gintonik]

Mit "Cloud" bezeichne ich im allgemeinen Dienste, die ich außerhalb nutze bzw. außerhalb etwas steuern. DynDNS war immer so etwas. Tja, die Bedürfnisse ändern sich und als Privatmann macht es auch keinen Sinn anstatt 50€ im Monat 200€ ausgeben zu müssen. Und im Grunde ist es doch so, dass Dinge, die in der Vergangenheit reibungslos funktioniert haben, ohne ersichtlichen Grund, abgeschaltet wurden.